В NixOS е осигурена поддръжка на повторяеми сборки за iso образа

Разработчиците на дистрибуцията NixOS съобщиха за реализиране на поддръжка за верификация на цялостността на минималното iso-образ (iso_minimal.x86_64-linux) чрез механизма на повторяемите сборки. По-рано повторяемите сборки бяха налични на ниво отделни пакети, а сега са разширени и за цялото iso-образ. Всеки потребител може да сформира iso-образ, напълно идентичен с предоставения за изтегляне iso-образ, и да се увери, че е съставен от предоставените изходни текстове и не съдържа скрити промени. За автоматизация на проверката на iso-образа NixOS чрез повторяеми сборки е подготвен специален скрипт. На следващия етап се планира повторяемите сборки да бъдат осигурени за пълното iso-образ с работния плот GNOME.

Повторяемите сборки са важна част от осигуряването на сигурността, тъй като дават възможност на потребителите сами да проверят, че предлаганите от дистрибуцията сборки съвпадат байт за байт със сборките, които са събрани лично от изходните текстове. Без възможността да се провери идентичността на бинарната сборка, потребителят трябва да разчита на чужда инфраструктура за сборки, компрометирането на компилатора или инструментите за сборка, в която може да доведе до внедряване на скрити закладки. За осигуряването на повторяеми сборки е необходимо да се възпроизведат съставките и параметрите на сборната среда, да се използват идентични версии на програми, зависимости и стартови компоненти, да се изключат променливи данни (времеви марки, произволни запълнители и т.н.), както и да се запази реда на сглобяване на файловете и доставката на пакетите в iso-образа.

Напомняме, че дистрибуцията NixOS е базирана на пакетния мениджър Nix и предлага редица собствени разработки, които улесняват конфигурирането и поддръжката на системата. Например, в NixOS се използва единен файл за системна конфигурация (configuration.nix), предоставя се възможност за бързо връщане на обновления, има поддръжка за превключване между различни състояния на системата, поддържа се инсталирането на индивидуални пакети от отделни потребители (пакетът се инсталира в домашната директория) и е възможна едновременна инсталация на няколко версии на една програма. При използване на Nix, пакетите се инсталират в отделно дърво от директории /nix/store или поддиректория в потребителската папка. Например, пакетът се инсталира като /nix/store/f2b5…8a563-firefox-89.0.1/, където «f2b5…» е уникален идентификатор на пакета, използван за контрол на зависимостите.

Пакетите са оформени във вид на контейнери, съдържащи необходимите за работа на приложенията компоненти. Между пакетите е възможно определянето на зависимости, като за търсене на наличието на вече инсталирани зависимости се използва сканиране на хеш-идентификаторите в директорията с инсталираните пакети. Възможна е както загрузка на готови бинарни пакети от репозитория (при инсталиране на обновления за бинарни пакети се зареждат само delta-ревизии), така и събиране от изходен код с всички зависимости. Колекцията от пакети е представена в специален репозиторий Nixpkgs.

Източник: opennet.ru