A cooperação técnica e o alinhamento de padrões entre Red Hat e Canonical acaba de gerar um marco histórico para o ecossistema corporativo de código aberto. Enquanto a Red Hat detalhou em sua documentação oficial sobre computação confidencial e atestação de contêineres a arquitetura para isolar pods em hardware seguro, a Canonical também formalizou seus avanços em atestação remota e imagens seguras para ambientes de nuvem, convergindo para homologar protocolos unificados de validação criptográfica e integridade em imagens executadas com Docker, Podman e Kubernetes.
A iniciativa responde à preocupação crescente da indústria de software em relação à proliferação de malwares e vulnerabilidades injetadas na cadeia de suprimentos de software livre. Com repositórios públicos como o Docker Hub e o Quay sofrendo tentativas diárias de envenenamento de dependências, as duas gigantes uniram forças para garantir que nenhuma imagem de contêiner possa ser executada em servidores corporativos sem comprovação matemática e verificável de procedência.
Como funciona a atestação criptográfica de imagens
Historicamente, ferramentas de assinatura de contêineres (como o projeto aberto Sigstore e o Notary) operavam com fragmentação técnica dependendo do orquestrador ou da distribuição utilizada. O novo padrão unificado promovido por Red Hat e Canonical estabelece regras claras e interoperáveis:
- Assinaturas Baseadas em Chaves Efêmeras: Eliminação do risco de vazamento de chaves privadas estáticas de longo prazo. As assinaturas das imagens são geradas durante a compilação no pipeline de CI/CD utilizando certificados atestados por módulos de segurança de hardware (TPM e vTPM);
- Atestação de Compilação Confiável (SLSA): Além de assinar quem criou o pacote, o sistema atesta criptograficamente qual repositório de código-fonte foi usado, qual versão do compilador gerou os binários e quais testes automatizados foram aprovados antes do envio;
- Políticas de Admissão Nativas: Suporte sincronizado tanto em ambientes Red Hat OpenShift quanto em clusters Charmed Kubernetes da Canonical. Se uma imagem sofrer alteração de um único byte após ser construída, o nó de computação bloqueia a inicialização instantaneamente.
Benefícios concretos para administradores e DevOps
Para os profissionais que gerenciam infraestruturas de nuvem, a convergência técnica entre as duas líderes do Linux corporativo traz alívio operacional. Equipes que operam ambientes híbridos — utilizando, por exemplo, estações de trabalho Ubuntu Desktop para os desenvolvedores e servidores Red Hat Enterprise Linux (RHEL) no ambiente de produção — não precisarão mais manter pilhas duplicadas de ferramentas de conformidade e segurança.
Essa sinergia se apoia diretamente na postura da Canonical de certificar suas imagens para a concorrência: como anunciado na iniciativa oficial da Canonical de suporte estendido para contêineres OCI e Docker com validação para RHEL e OpenShift, e detalhado em seu guia técnico de atestação remota e computação confidencial no Ubuntu, um contêiner construído com ferramentas abertas e atestado no ecossistema da Canonical pode ser imediatamente verificado e aprovado pelos mecanismos de segurança SELinux e políticas de admissão do Red Hat OpenShift sem qualquer atrito de compatibilidade.
Fique por dentro das principais novidades da semana sobre tecnologia e Linux: receba gratuitamente a nossa newsletter!