NixOS осигури поддръжка на повторяеми сборки за iso изображение

Разработчиците на дистрибутива NixOS съобщиха за реализиране на поддръжка за проверка на целостта на минималния iso-образ (iso_minimal.x86_64-linux) чрез механизма за повторяеми сборки. Преди това повторяемите сборки бяха налични на ниво отделни пакети, а сега са разширени и за целия iso-образ. Всеки потребител може да създаде iso-образ, напълно идентичен на предоставения за изтегляне iso-образ, и да се увери, че е събран от предоставените изходни текстове и не съдържа скрити изменения. За автоматизация на проверката на iso-образа NixOS чрез повторяеми сборки е подготвен специален скрипт. На следващия етап се планира да се осигурят повторяеми сборки за пълен iso-образ с работен плот GNOME.

Повторяемите сборки са важен елемент за осигуряване на сигурността, тъй като дават възможност независимо да се провери, че предлаганите от дистрибутива сборки байт за байт съвпадат със сборките, сглобени лично от изходните текстове. Без възможност за проверка на идентичността на бинарната сборка, потребителят остава единствено да се довери сляпо на чуждата инфраструктура за сглобяване, компрометирането на компилатора или инструментарията за сглобяване, което може да доведе до поставяне на скрити заложници. За осигуряване на повторяеми сборки е необходимо да се възпроизведе съдържанието и параметрите на сглобяващата среда, да се използват идентични версии на програмите, зависимостите и зареждащите компоненти, да се изключи добавянето на променливи данни (времеви марки, случайни запълнители и т.н.), както и да се запази реда на сглобяването на файловете и доставката на пакетите в iso-образа.

Напомняме, че дистрибуцията NixOS е основана на пакетния мениджър Nix и предлага редица собствени разработки, които улесняват настройката и поддръжката на системата. Например, в NixOS се използва единен файл за системна конфигурация (configuration.nix), предоставя се възможност за бързо връщане на актуализации, налична е поддръжка за превключване между различни състояния на системата, поддържа се инсталиране на индивидуални пакети от отделни потребители (пакетът се инсталира в домашната директория) и е възможна едновременна инсталация на няколко версии на една и съща програма. При използване на Nix пакетите се инсталират в отделно дърво от директории /nix/store или поддиректория в потребителската директория. Например, пакетът се инсталира като /nix/store/f2b5…8a563-firefox-89.0.1/, където „f2b5…“ е уникален идентификатор на пакета, използван за контрол на зависимостите.

Пакетите са оформени като контейнери, съдържащи необходимите компоненти за работа на приложения. Между пакетите е възможно диаграмно определяне на зависимостите, като за търсене на наличието на вече инсталирани зависимости се използва сканиране на хеш идентификатори в директорията с инсталирани пакети. Възможна е както свалянето на готови бинарни пакети от репозитория (при инсталиране на актуализации на бинарни пакети се изтеглят само делта-промените), така и компилиране от изходен код с всички зависимости. Колекцията от пакети е представена в специален репозиторий Nixpkgs.

Източник: opennet.ru