НАЙС.ОС — минималистичен дистрибутив, събран от нулата и оптимизиран за контейнери

Проект НАЙС.ОС разработва независима Linux дистрибуция, строена "от нулата" от изходния код и поддържаща собствена пакетна база, без заимстване на сценарии за компилация от други дистрибуции. Проектът развива своите инструменти, свой набор от пачове и своя политика за компилация. За изтегляне е наличен iso образ (603 МБ), насочен към инсталиране на виртуални машини (KVM, Proxmox, VMware, VirtualBox и др.).

Дистрибуцията се разпространява безплатно за лична и търговска употреба без ограничения на броя устройства. Лицензионното споразумение обаче забранява "модифициране, адаптиране, превеждане, декомпилиране, дизасемблиране или по друг начин опити за получаване на изходния код, освен в случаите, изрично разрешени от действащото законодателство или условията на лицензите за отворени компоненти". Също така е забранено "прехвърляне, продажба, даване под наем, предоставяне за ползване, публикуване или по друг начин разпространение на софтуерния продукт без писмено съгласие на правоносителя".

НАЙС.ОС се позиционира като сървърна система с дълъг срок на поддръжка (LTS), оптимизирана за на виртуални машини, облачни системи и edge-узли. Ядрото, компилаторите, основните библиотеки, крипто-стекът — всичко е сглобено под единни изисквания за възпроизведимост и сигурност. Проектът е вписан в регистъра на руския софтуер (регистрацията означава, че може да покрива изискванията за "роден софтуер" в държавния сектор и при част от корпоративните клиенти).

Поддържат се два подхода: атомарно обновление (immutable на базата на OSTree) и класически RPM (dnf/dnf5). В атомарния вариант, разделът /usr се монтира в режим само за четене, обновленията се прилагат изцяло за цялата система, за връщане на неуспешни обновления се използват Btrfs-снапшотове, версиите на базовата система се разглеждат като артефакти, които могат да се управляват и разпространяват по възли чрез OSTree репозитория. Класическият RPM вариант използва управление на пакети чрез dnf и dnf5, поддържа ръчни и автоматични обновления и предоставя конзолен инсталатор "niceos-installer".

Дистрибуцията предлага минимална и предсказуема основа за контейнери, без графична среда, стартират се само базови услуги (systemd, мрежови утилити, SSH, защитна стена на nftables/firewalld, основни мониторингови утилити, а всичкото прикладно софтуерно приложение се предлага да се инсталира в контейнери (Docker/Podman/Kubernetes) или отделни услуги върху основата.

В Docker Hub има официални образи на контейнери. Подобни образи се изграждат на основата на същата минимална NiceOS Base, работят от непривилегирован потребител, съдържат вградени SBOM (CycloneDX/SPDX) и отчети за уязвимости (Trivy, Grype), снабдени са с вградени отчети за офлайн одит директно в контейнера.

Предлага се поддръжка на местна криптография (събран и тестван стек за тези, на които са нужни изискванията на ГОСТ и одити):

• GnuPG с ГОСТ (ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012), включително подписване, криптиране и проверка;
• OpenSSL с ГОСТ — TLS и CLI утилити с ГОСТ криптография;
• libksba/nettle — поддръжка на ГОСТ в CMS и X.509;
• OpenVPN с ГОСТ — готов сървър с ГОСТ шифри, наличен е скрипт, който развива VPN (PKI, защитна стена, мониторинг, интеграция с Prometheus) за няколко минути;
• Утилити за контрол на целостта на базата на ГОСТ хешове (gost12sum, профили в openssl dgst и т.н.).

Възможности за повишаване на сигурността:

• SELinux е включен по подразбиране;
• Използват се стандартни защити при компилация (PIE, RELRO, SSP, FORTIFY_SOURCE и т.н.);
• Реализирани са сценарии за контрол на целостта (Secure Boot, IMA, AIDE с ГОСТ алгоритми);
• Всеки RPM пакет е подписан, има модел на Zero-Trust PKI: по подразбиране не се доверява на това, което не е преминало проверка;
• За пакетите и образите се генерират SBOM и отчети за уязвимости.

Възможности за виртуални и облачни системи:

• Обявена е поддръжка на конфиденциални виртуални машини (AMD SEV-SNP, Intel TDX). Има утилити за атестация на виртуални машини в такива сценарии.
• Официалният образ НАЙС.ОС 5.2 е наличен в Yandex Cloud Marketplace като виртуална машина, в която вече влизат Docker, glibc и Python 3.12; дистрибуцията е обозначена като находяща се в регистъра на руското ПО;
• В Cloud.ru Marketplace дистрибуцията е описана като „руска минималистична ОС за контейнери. Образ за VM, Docker и Kubernetes“;
• Специализирана версия на NiceOS V, оптимизирана за хипервизори (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud и др.), с минимален набор от услуги и акцент върху автоматизираното инсталиране чрез Kickstart/JSON.

Използвани версии:

• Linux 6.13.x,
• GCC 14.3, Glibc 2.41,
• OpenSSL 3.5.1 (с разширения за ГОСТ),
• systemd 257, coreutils 9.6.

Източник: opennet.ru