multi-juicer

Eseguire CTF e corsi di sicurezza con OWASP Juice Shop è di solito piuttosto complesso, Juice Shop non è progettato per essere usato da più utenti contemporaneamente. Istruire tutti su come avviare Juice Shop sul proprio computer funziona, ma richiede troppo tempo prezioso.

MultiJuicer ti permette di eseguire istanze separate di Juice Shop per ogni partecipante su un cluster Kubernetes centrale, per organizzare eventi senza la necessità di istanze locali di Juice Shop.

Cosa fa:

• crea dinamicamente nuove istanze di Juice Shop quando necessario
• funziona su un singolo dominio, viene fornito con un LoadBalancer che invia il traffico all'istanza Juice Shop del partecipante
• una bella classifica che mostra i progressi di tutti i partecipanti
• una comoda pagina admin per gestire le istanze
• backup e applicazione automatica dei progressi delle sfide in caso di riavvio del container Juice Shop
• pulizia automatica delle istanze vecchie e non utilizzate

Per una descrizione dettagliata dell'architettura e dei singoli componenti, consulta la Documentazione dell'Architettura.

👉 Nuovo su MultiJuicer? Consulta la guida visiva per vedere come i partecipanti si registrano, ottengono le loro istanze JuiceShop e come i punteggi vengono tracciati nella classifica.

Installazione

MultiJuicer funziona su Kubernetes, per installarlo avrai bisogno di helm

helm install multi-juicer oci://ghcr.io/juice-shop/multi-juicer/helm/multi-juicer

Vedi le note per la produzione per una lista di valori che probabilmente dovrai configurare prima di utilizzare MultiJuicer in eventi reali.

Per configurare MultiJuicer con supporto per le sfide AI/LLM di JuiceShop v20+, consulta la guida di configurazione AI/LLM

Guide all'installazione per provider/ambienti cloud specifici

• Digital Ocean
• AWS
• OpenShift
• Plain Kubernetes
• Azure

Personalizzazione della configurazione

Hai diverse opzioni su come configurare lo stack, con alcune possibilità di personalizzare le istanze JuiceShop a tuo piacimento. Puoi trovare i valori di configurazione predefiniti in: helm/multi-juicer/values.yaml

Scarica e salva il file e indica a helm di usare il tuo file di configurazione al posto di quello predefinito eseguendo:

helm install -f values.yaml multi-juicer ./multi-juicer/helm/multi-juicer/

Per personalizzare il tema delle istanze JuiceShop e l'interfaccia di MultiJuicer (tema, logo, sfide abilitate, ...), consulta la guida alla personalizzazione di JuiceShop.

Disinstallazione

helm delete multi-juicer

FAQ

Quante risorse di calcolo richiederà il cluster?

Per essere sicuri, calcola con:

• 1GB di memoria e 1CPU di overhead, per MultiJuicer stesso
• 300MB e 0.2CPU * numero di partecipanti/squadre, per le singole istanze JuiceShop

I numeri sopra riflettono i limiti di risorse predefiniti. Possono essere modificati, vedi: Personalizzazione della configurazione

Quanti utenti può gestire MultiJuicer?

Non esiste un limite fisso reale. (Anche se puoi configurarne uno 😉) Il LoadBalancer personalizzato, attraverso cui passa tutto il traffico per le singole istanze, può essere replicato quanto vuoi. Puoi anche allegare un Horizontal Pod Autoscaler per scalare automaticamente il LoadBalancer.

Perché un LoadBalancer personalizzato?

Ci sono alcuni requisiti speciali che non abbiamo trovato facili da risolvere con un load balancer predefinito:

• Limitare il numero di utenti per un deployment ai soli membri di un determinato team.
• Il cookie del load balancer deve essere sicuro e non facile da falsificare per accedere a un'altra istanza.
• Gestire l'avvio di nuove istanze.

Se hai idee fantastiche su come superare questi problemi senza un load balancer personalizzato, scrivici, saremo felici di sentirti!

Perché un deployment Kubernetes separato per ogni team?

Ci sono alcune buone ragioni per questo:

• La possibilità di eliminare separatamente le istanze di un team. Ridimensionare in sicurezza, senza rimuovere le istanze dei team attivi, è molto complicato con un deployment scalato. Puoi solo scegliere la scala desiderata, non quali pod mantenere e quali eliminare.
• Per garantire che i pod siano ancora correttamente associati ai team dopo che un pod viene ricreato. Questo è un non problema con deployment separati e molto difficile con deployment scalati.
• La possibilità di incorporare il nome del team nel nome del deployment. Sembra una ragione stupida ma rende il debug MOLTO più semplice, usando solo kubectl.

Come gestire JuiceShop facilmente usando kubectl?

Puoi elencare tutti i JuiceShop con informazioni pertinenti usando la funzione custom-columns di kubectl.

$ kubectl get -l app.kubernetes.io/name=juice-shop -o custom-columns="TEAM:metadata.labels.team,SOLVED-CHALLENGES:metadata.annotations.multi-juicer\.owasp-juice\.shop/challengesSolved,LAST-REQUEST:metadata.annotations.multi-juicer\.owasp-juice\.shop/lastRequestReadable" deployments
TEAM         SOLVED-CHALLENGES   LAST-REQUEST
foobar       3                   Wed May 4 2042 18:14:22 GMT+0000 (Coordinated Universal Time)
team-42      0                   Wed May 4 2042 18:14:30 GMT+0000 (Coordinated Universal Time)
the-empire   0                   Wed May 4 2042 18:14:46 GMT+0000 (Coordinated Universal Time)

Da dove viene questo progetto?

Il progetto è iniziato presso iteratec, un'azienda tedesca di sviluppo software, per gestire i propri corsi di sicurezza per i propri sviluppatori e clienti. Il progetto è stato poi reso open source nel 2019 e donato all'organizzazione OWASP / al progetto OWASP Juice Shop nel 2023.

Parla con noi!

Puoi contattarci sul canale #project-juiceshop dell'OWASP Slack Workspace. Ci farebbe piacere ricevere qualsiasi feedback o report di utilizzo. Se non sei già nell'OWASP Slack Workspace, puoi unirti tramite questo link