Das Projekt НАЙС.ОС entwickelt eine eigenständige Linux-Distribution, die „von Grund auf“ aus Quellcode erstellt wird und eine eigene Paketdatenbank unterstützt, die keine Build-Skripte von anderen Distributionen übernimmt. Das Projekt entwickelt seine eigenen Werkzeuge, sein eigenes Patch-Set und seine eigene Build-Politik. Ein ISO-Image (603 MB) steht zum Download zur Verfügung, das auf die Installation auf virtuellen Maschinen (KVM, Proxmox, VMware, VirtualBox usw.) ausgerichtet ist.
Die Distribution wird kostenlos für private und kommerzielle Zwecke ohne Einschränkungen bei der Anzahl der Geräte verteilt. Gleichzeitig verbietet die Lizenzvereinbarung, "zu modifizieren, anzupassen, zu übersetzen, zu dekompilieren, zu disassemblieren oder auf andere Weise zu versuchen, den Quellcode zu erhalten, es sei denn, dies ist ausdrücklich durch geltendes Recht oder die Bedingungen der Lizenzen für Open-Source-Komponenten erlaubt". Es ist auch verboten, "das Softwareprodukt ohne schriftliche Zustimmung des Rechtsinhabers zu übertragen, zu verkaufen, zu vermieten, zur Nutzung bereitzustellen, zu veröffentlichen oder auf andere Weise zu verbreiten".
НАЙС.ОС wird als Serversystem mit langfristigem Support (LTS) positioniert, das optimiert ist für virtuelle Maschinen, Cloud-Systeme und Edge-Knoten. Der Kernel, Compiler, Basisbibliotheken und die kryptografische Stacks sind alle unter einheitlichen Anforderungen an Reproduzierbarkeit und Sicherheit gesammelt. Das Projekt ist im Register für russische Software eingetragen (die Registrierung bedeutet, dass es die Anforderungen an "inländische Software" im öffentlichen Sektor und bei einigen Unternehmensauftraggebern erfüllen kann).
Es werden zwei Ansätze unterstützt: atomar aktualisierbar (immutable auf Basis von OSTree) und klassisches RPM (dnf/dnf5). Im atomaren Setup wird das Verzeichnis /usr im Nur-Lese-Modus eingebunden, Updates werden vollständig für das gesamte System angewendet, und für die Rücksetzung misslungener Updates werden Btrfs-Snapshots verwendet. Die Versionen des Basissystems werden als Artefakte betrachtet, die verwaltet und über ein OSTree-Repository auf Knoten ausgeweitet werden können. Die klassische RPM-Variante nutzt die Paketverwaltung über dnf und dnf5, unterstützt manuelle und automatische Updates und bietet den Konsolen-Installer „niceos-installer“ an.
Das Distributionspaket bietet eine minimale und vorhersehbare Basis für Container, in der keine grafische Benutzeroberfläche vorhanden ist, sondern nur grundlegende Dienste (systemd, Netzwerkdienstprogramme, SSH, Firewall mit nftables/firewalld, grundlegende Überwachungsdienstprogramme) ausgeführt werden. Alle Anwendungssoftware wird in Containern (Docker/Podman/Kubernetes) oder als separate Dienste über der Basis bereitgestellt.
Auf Docker Hub sind offizielle Container-Images verfügbar. Solche Images basieren auf der gleichen minimalen NiceOS Base, laufen unter einem nicht privilegierten Benutzer, enthalten eingebaute SBOMs (CycloneDX/SPDX) und Schwachstellenberichte (Trivy, Grype) und sind mit eingebauten Berichten für Offline-Audits direkt im Container ausgestattet.
Es gibt Unterstützung für inländische Kryptografie (ein zusammengestellter und getesteter Stack für diejenigen, die GOST-Anforderungen und Audits benötigen):
- GnuPG mit GOST (GOST R 34.10-2012 und GOST R 34.11-2012), einschließlich Signatur, Verschlüsselung und Überprüfung;
- OpenSSL mit GOST - TLS und CLI-Tools mit GOST-Kryptografie;
- libksba/nettle - Unterstützung von GOST in CMS und X.509;
- OpenVPN mit GOST - ein fertiger Server mit GOST-Verschlüsselungen, es gibt ein Skript, das bereitstellt VPN (PKI, Firewall, Überwachung, Integration mit Prometheus) in wenigen Minuten;
- Tools zur Integritätskontrolle auf GOST-Hashes (gost12sum, Profile in openssl dgst usw.).
Möglichkeiten zur Erhöhung der Sicherheit:
- SELinux ist standardmäßig aktiviert;
- Es werden standardmäßige Schutzflags beim Bauen verwendet (PIE, RELRO, SSP, FORTIFY_SOURCE usw.);
- Integritätskontrollszenarien sind implementiert (Secure Boot, IMA, AIDE mit GOST-Algorithmen);
- Jedes RPM-Paket ist signiert, es gibt ein Zero-Trust-PKI-Modell: standardmäßig wird dem, was nicht geprüft wurde, nicht vertraut;
- Für Pakete und Images werden SBOMs und Schwachstellenberichte generiert.
Funktionalitäten für virtuelle und Cloud-Systeme:
- Es wurde Unterstützung für vertrauliche virtuelle Maschinen (AMD SEV-SNP, Intel TDX) angekündigt. Es gibt Tools zur Zertifizierung von virtuellen Maschinen in solchen Szenarien.
- Das offizielle Image von NICE.OS 5.2 ist im Yandex Cloud Marketplace als virtuelle Maschine verfügbar, die bereits Docker, glibc und Python 3.12 enthält; die Distribution ist als Teil des Verzeichnisses russischer Software gekennzeichnet;
- Im Cloud.ru Marketplace wird die Distribution als "russisches minimalistisches OS für Container. Image für VM, Docker und Kubernetes" beschrieben;
- Eine spezielle Edition von NiceOS V ist für Hypervisoren (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud usw.) optimiert, mit einem minimalen Satz an Diensten und dem Fokus auf automatisierte Installationen über Kickstart/JSON.
Unter den verwendeten Versionen:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (mit Erweiterungen für GOST),
- systemd 257, coreutils 9.6.
Quelle: opennet.ru
