Vývojáři distribuce NixOS oznámili zavedení podpory pro ověřování integrity minimálního iso obrazu (iso_minimal.x86_64-linux) pomocí mechanismu opakovatelných sestavení. Dříve byla opakovatelná sestavení dostupná na úrovni jednotlivých balíčků, nyní byla rozšířena na celý iso obraz. Každý uživatel může vytvořit iso obraz, který je zcela identický s poskytovaným pro stažení, a ověřit, že byl sestaven z poskytovaných zdrojových textů a neobsahuje skryté změny. Pro automatizaci kontroly iso obrazu NixOS pomocí opakovatelných sestavení byl připraven speciální skript. V dalším kroku se plánuje zajistit opakovatelná sestavení pro plný iso obraz se stolním prostředím GNOME.
Opakovatelná sestavení jsou důležitým článkem pro zajištění bezpečnosti, protože umožňují samostatně ověřit, že nabízené distribucí sestavení byte-by-byte odpovídá sestavením, která byla osobně sestavena ze zdrojových textů. Bez možnosti ověřit identitu binárního sestavení zůstává uživateli pouze slepě důvěřovat cizí infrastruktuře sestavení, jejíž kompromitace kompilátoru nebo sestavovacího nástroje může vést k vložení skrytých zadních vrátek. Pro zajištění opakovatelných sestavení je nutné reprodukovat zařízení a parametry sestavovacího prostředí, používat identické verze programů, závislostí a spouštěcích komponent, vyloučit zavedení proměnlivých dat (časové značky, náhodné plničky atd.) a také zachovat pořádek sestavení souborů a dodávky balíčků v iso obraze.
Připomínáme, že distribuce NixOS je založena na správci balíčků Nix a poskytuje řadu vlastních vývojů, které usnadňují nastavení a údržbu systému. Například, v NixOS se používá jednotný konfigurační soubor systému (configuration.nix), je k dispozici možnost rychlého návratu k dřívějším aktualizacím, podporuje se přepínání mezi různými stavy systému, podporuje se instalace individuálních balíčků jednotlivými uživateli (balíček se instaluje do domácího adresáře) a je možné současně instalovat více verzí jedné aplikace. Při použití Nix se balíčky instalují do samostatného stromu adresářů /nix/store nebo podadresáře v uživatelském adresáři. Například, balíček se instaluje jako /nix/store/f2b5…8a563-firefox-89.0.1/, kde "f2b5…" je unikátní identifikátor balíčku, který se používá pro kontrolu závislostí.
Balíčky jsou uspořádány jako kontejnery, které obsahují potřebné komponenty pro provoz aplikací. Mezi balíčky je možné definovat závislosti, přičemž pro vyhledání již nainstalovaných závislostí se používá skenování hash identifikátorů v adresáři nainstalovaných balíčků. Je možná jak загрузка hotových binárních balíčků z repozitáře (při instalaci aktualizací se k binárním balíčkům stahují pouze delta změny), tak i sestavení z výchozích textů se všemi závislostmi. Kolekce balíčků je prezentována ve speciálním repozitáři Nixpkgs.
Zdroj: opennet.ru
