Udviklerne af NixOS-distributionen har annonceret implementeringen af support til verifikation af integriteten af det minimale ISO-billede (iso_minimal.x86_64-linux) ved hjælp af mekanismen for reproducerbare bygninger. Tidligere var reproducerbare bygninger kun tilgængelige på niveauet for individuelle pakker, men nu er de også udvidet til hele ISO-billedet. Enhver bruger kan opsætte et ISO-billede, der er helt identisk med det, der tilbydes til download, og sikre sig, at det er bygget ud fra de leverede kildekoder og ikke indeholder skjulte ændringer. For at automatisere verificeringen af NixOS ISO-billedet ved hjælp af reproducerbare bygninger er der udarbejdet et specielt script. I næste fase planlægges det at sikre reproducerbare bygninger for det komplette ISO-billede med GNOME-skrivebordet.
Reproducerbare bygninger er et vigtigt led i sikkerhedssikringen, da de giver mulighed for selv at kontrollere, at de bygninger, som distributionen tilbyder, matcher byte-for-byte med de bygninger, der er samlet direkte fra kildekoderne. Uden mulighed for at verificere identiteten af den binære bygning er brugeren tvunget til blindt at stole på andres byggeinfrastruktur, hvis kompromittering af compileren eller byggeværktøjerne kan føre til indførelsen af skjulte bagdøre. For at sikre reproducerbare bygninger kræves det at genskabe indholdet og parametrene for bygge miljøet, bruge identiske versioner af programmer, afhængigheder og boot-komponenter, udelukke data med varierende karakter (tidsstempler, tilfældige fyldstoffer osv.), samt bevare rækkefølgen af filbygning og levering af pakker i ISO-billedet.
Vi minder om, at NixOS-distributionen er baseret på pakkeadministratoren Nix og tilbyder en række egne udviklinger, der forenkler konfiguration og vedligeholdelse af systemet. For eksempel bruger NixOS en enkelt systemkonfigurationsfil (configuration.nix), giver mulighed for hurtig tilbageførsel af opdateringer, har understøttelse af skifte mellem forskellige systemtilstande, muliggør installation af individuelle pakker af enkelte brugere (pakken installeres i brugerens hjemmemappe) og muliggør samtidig installation af flere versioner af det samme program. Når Nix anvendes, installeres pakker i et separat katalog træ /nix/store eller en underkatalog i brugerens mappe. For eksempel installeres pakken som /nix/store/f2b5…8a563-firefox-89.0.1/, hvor „f2b5…“ er en unik identifikator for pakken, der bruges til afhængighedskontrol.
Pakker er udformet som containere, der indeholder de nødvendige komponenter til at køre applikationer. Der kan defineres afhængigheder mellem pakker, og for at finde allerede installerede afhængigheder anvendes scanning af hash-identifikatorer i kataloget med installerede pakker. Både download af færdige binære pakker fra repository (kun delta-ændringer downloades ved opdatering af binære pakker) og opbygning fra kildekoder med alle afhængigheder er mulige. Pakke-samlingen præsenteres i et specielt nyt job-repository, Nixpkgs.
Kilde: opennet.ru
