НАЙС.ОС — минималистичен дистрибутив, събран от нулата и оптимизиран за контейнери

Проект НАЙС.ОС развива независима Linux дистрибуция, която се събира "от нула" от изходния код и поддържа собствена пакетна база, без да заимства сценарии за компилиране на пакети от други дистрибуции. Проектът развива своя инструментарий, свой набор от пачове и своя политика за компилиране. За сваляне е наличен iso-образ (603 MB), насочен към инсталация на виртуални машини (KVM, Proxmox, VMware, VirtualBox и др.).

Дистрибуцията се разпространява безплатно за частна и търговска употреба без ограничения на броя устройства. Лицензионното споразумение обаче забранява "модифицирането, адаптирането, превеждането, декомпилирането, дизасемблирането или по какъвто и да е начин опит да се получи изходният код, с изключение на случаите, изрично разрешени от действащото законодателство или условията на лицензите на отворените компоненти". Също така е забранено "да се предава, продава, да се дава под наем, да се предоставя за ползване, публикува или по какъвто и да е начин се разпространява софтуерният продукт без писмено съгласие на правопритежателя."

НАЙС.ОС се позиционира като сървърна система с дълъг срок на поддръжка (LTS), оптимизирана за виртуални машини, облачни системи и edge-узли. Ядрото, компилаторите, основните библиотеки, крипто-стекът — всичко е събрано под единни изисквания за възпроизводимост и безопасност. Проектът е включен в регистъра на руското ПО (регистрацията означава, че с него могат да се затварят изискванията за "родно ПО" в държавния сектор и при част от корпоративните клиенти).

Поддържат се два подхода: атомарно обновляем (immutable на база OSTree) и класически RPM (dnf/dnf5). В атомарния вариант процесор "/usr" се монтира в режим само за четене, обновленията се прилагат изцяло за цялата система, а за възстановяване при неуспешни обновления се използват Btrfs-снапшоти, версиите на базовата система се разглеждат като артефакти, които могат да се управляват и разпространяват по узли чрез OSTree-репозитория. Класическият RPM вариант използва управление на пакети чрез dnf и dnf5, поддържа ръчни и автоматични обновления и предоставя конзолен инсталатор "niceos-installer."

Дистрибутивът предлага минимална и предсказуема база за контейнери, без графично обкръжение, стартират се само основни услуги (systemd, мрежови утилити, SSH, firewall на nftables/firewalld, основни инструменти за мониторинг, а всичкото приложение се предлага да се инсталира в контейнери (Docker/Podman/Kubernetes) или отделни услуги над базата.

В Docker Hub има официални образи на контейнери. Подобни образи се изграждат на основата на същата минимална NiceOS Base, работят от непривилегирован потребител, съдържат вградени SBOM (CycloneDX/SPDX) и отчети за уязвимости (Trivy, Grype), оборудвани са с вградени отчети за офлайн одит направо в контейнера.

Има поддръжка на национална криптография (събран и тестван стек за тези, на които са им нужни ГОСТ изисквания и одити):

• GnuPG с ГОСТ (ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012), включително подписване, криптиране и проверка;
• OpenSSL с ГОСТ – TLS и CLI утилити с ГОСТ криптография;
• libksba/nettle – поддръжка на ГОСТ в CMS и X.509;
• OpenVPN с ГОСТ – готов сървър с ГОСТ шифри, има скрипт, който развива VPN (PKI, firewall, мониторинг, интеграция с Prometheus) за няколко минути;
• Утилити за контрол на целостта на ГОСТ хешове (gost12sum, профили в openssl dgst и т.н.).

Възможности за повишаване на сигурността:

• SELinux е включен по подразбиране;
• Използват се стандартни защитни флагове при сглобяване (PIE, RELRO, SSP, FORTIFY_SOURCE и т.н.);
• Реализирани са сценарии за контрол на целостта (Secure Boot, IMA, AIDE с ГОСТ алгоритми);
• Всеки RPM пакет е подписан, има модел Zero-Trust PKI: по подразбиране не се доверява на това, което не е преминало проверка;
• За пакетите и образите се генерират SBOM и отчети за уязвимости.

Възможности за виртуални и облачни системи:

• Обявена е поддръжка на конфиденциални виртуални машини (AMD SEV-SNP, Intel TDX). Има утилити за атестация на виртуални машини в такива сценарии.
• Официалният образ НАЙС.ОС 5.2 е наличен в Yandex Cloud Marketplace като виртуална машина, в която вече са включени Docker, glibc и Python 3.12; дистрибутивът е обозначен като находящ се в регистъра на руското софтуерно обеспечение;
• В Cloud.ru Marketplace дистрибутивът е описан като "руска минималистична ОС за контейнери. Образ за VM, Docker и Kubernetes";
• Отделна версия на NiceOS V е оптимизирана за хипервизори (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud и т.н.), с минимален набор от услуги и акцент върху автоматизирани инсталации чрез Kickstart/JSON.

Сред използваните версии:

• Linux 6.13.x,
• GCC 14.3, Glibc 2.41,
• OpenSSL 3.5.1 (с разширения за ГОСТ),
• systemd 257, coreutils 9.6.

Източник: opennet.ru