Projekt NAIS.OS vyvíjí samostatnou linuxovou distribuci, která se sestavuje "od nuly" z původního kódu a podporuje vlastní balíčkovou základnu, která nepřebírá skripty pro sestavování balíčků z jiných distribucí. Projekt rozvíjí své nástroje, svůj soubor patchů a svou politiku sestavení. K dispozici je iso obraz (603 MB), zaměřený na instalaci na virtuální stroje (KVM, Proxmox, VMware, VirtualBox atd.).
Distribuce je zdarma dostupná pro soukromé i komerční použití bez omezení počtu zařízení. Licenční smlouva však zakazuje "modifikovat, přizpůsobovat, překládat, dekompilovat, disassemblovat nebo jinak se pokoušet získat původní kód, kromě případů, které jsou výslovně povoleny platnými právními předpisy nebo podmínkami licencí otevřených komponentů." Také je zakázáno "přenášet, prodávat, pronajímat, poskytovat k použití, publikovat nebo jinak distribuovat software bez písemného souhlasu držitele autorských práv."
NAIS.OS je umístěno jako serverový systém s dlouhodobou podporou (LTS), optimalizované pro virtuálních strojů, cloudové systémy a edge uzly. Jádro, kompilátory, základní knihovny, kryptografický zásobník – vše je sestaveno podle jednotných požadavků na reprodukovatelnost a bezpečnost. Projekt je zařazen do registru ruského softwaru (registrace znamená, že lze splnit požadavky na "domácí software" ve veřejném segmentu a u některých korporátních zákazníků).
Podporovány jsou dva přístupy: atomicky aktualizovaný (immutable na bázi OSTree) a klasický RPM (dnf/dnf5). V atomické variantě je oddíl /usr připojen v režimu pouze pro čtení, aktualizace se aplikují celkově pro celý systém, pro vracení neúspěšných aktualizací se používají Btrfs snímky, verze základního systému jsou považovány za artefakty, kterými lze řídit a rozptylovat po uzlech prostřednictvím OSTree repozitáře. Klasická RPM varianta používá správu balíčků prostřednictvím dnf a dnf5, podporuje manuální a automatické aktualizace a poskytuje konzolového instalátora "niceos-installer."
Distribuce nabízí minimální a předvídatelnou základnu pro kontejnery, bez grafického prostředí, spouští se pouze základní služby (systemd, síťové utility, SSH, firewall na nftables/firewalld, základní monitorovací utility, a veškerý aplikační software se doporučuje instalovat do kontejnerů (Docker/Podman/Kubernetes) nebo jako samostatné služby nad touto základnou.
Na Docker Hubu jsou k dispozici oficiální obrazy kontejnerů. Tyto obrazy jsou postaveny na stejné minimální NiceOS Base, pracují pod neprivilegovaným uživatelem, obsahují integrované SBOM (CycloneDX/SPDX) a zprávy o zranitelnostech (Trivy, Grype), a jsou dodávány s integrovanými zprávami pro offline audit přímo uvnitř kontejneru.
Podpora domácí kryptografie existuje (sestavený a otestovaný stack pro ty, kteří potřebují požadavky na ГОСТ a audity):
- GnuPG s ГОСТ (ГОСТ Р 34.10-2012 a ГОСТ Р 34.11-2012), včetně podepisování, šifrování a ověřování;
- OpenSSL s ГОСТ — TLS a utility CLI s ГОСТ-kryptografií;
- libksba/nettle — podpora ГОСТ v CMS a X.509;
- OpenVPN s ГОСТ — připravený server s ГОСТ-šiframi, je tu skript, který rozbíhá VPN (PKI, firewall, monitorování, integrace s Prometheus) za několik minut;
- Utilit pro kontrolu integrity s ГОСТ-heshi (gost12sum, profily v openssl dgst atd.).
Možnosti pro zvýšení bezpečnosti:
- SELinux je ve výchozím nastavení povolen;
- Používají se standardní ochranné flagy při sestavování (PIE, RELRO, SSP, FORTIFY_SOURCE atd.);
- Byly implementovány skripty pro kontrolu integrity (Secure Boot, IMA, AIDE s ГОСТ-algoritmy);
- Každý RPM balíček je podepsán, existuje model Zero-Trust PKI: ve výchozím nastavení se nedůvěřuje tomu, co neprošlo kontrolou;
- Pro balíčky a obrazy se generují SBOM a zprávy o zranitelnostech.
Možnosti pro virtuální a cloudové systémy:
- Podpora důvěrných virtuálních strojů (AMD SEV-SNP, Intel TDX) byla vyhlášena. Existují utilitky pro attestaci virtuálních strojů v takových scénářích.
- Oficiální obraz НАЙС.ОС 5.2 je dostupný na Yandex Cloud Marketplace jako virtuální stroj, který již zahrnuje Docker, glibc a Python 3.12; distribuce je označena jako zařazená v registru ruských softwarů;
- Na Cloud.ru Marketplace je distribuce popsána jako „ruský minimalistický OS pro kontejnery. Obraz pro VM, Docker a Kubernetes“;
- Samostatná edice NiceOS V je optimalizována pro hypervizory (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud atd.), s minimálními službami a důrazem na automatizované instalace přes Kickstart/JSON.
Mezi používanými verzemi:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (s rozšířeními pro GOST),
- systemd 257, coreutils 9.6.
Zdroj: opennet.ru
