Das Projekt NAIS.OS entwickelt eine eigenständige Linux-Distribution, die "von Grund auf" aus Quellcode erstellt wird und eine eigene Paketbasis unterstützt, die keine Paketerstellungsskripte von anderen Distributionen übernimmt. Das Projekt entwickelt seine eigenen Werkzeuge, sein eigenes Patch-Set und seine Baupolitik. Ein ISO-Image (603 MB), das für die Installation auf virtuellen Maschinen (KVM, Proxmox, VMware, VirtualBox usw.) gedacht ist, steht zum Download zur Verfügung.
Die Distribution wird kostenlos für private und kommerzielle Nutzung ohne Beschränkungen in der Anzahl der Geräte verteilt. Das Lizenzabkommen verbietet jedoch "Modifikationen, Anpassungen, Übersetzungen, Dekompilierungen, Disassemblierungen oder andere Versuche, den Quellcode zu erhalten, es sei denn, dies ist ausdrücklich durch geltendes Recht oder die Bedingungen der lizenzierten Open-Source-Komponenten erlaubt". Es ist auch untersagt, "das Softwareprodukt ohne schriftliche Zustimmung des Rechteinhabers zu übertragen, zu verkaufen, zu vermieten, zur Nutzung zu überlassen, zu veröffentlichen oder anderweitig zu verbreiten."
NAIS.OS wird als Serversystem mit einer langen Supportdauer (LTS) positioniert, optimiert für virtuellen Maschinen, Cloud-Systeme und Edge-Knoten. Der Kernel, Compiler, Basisbibliotheken und der Kryptostack – alles ist unter einheitlichen Anforderungen an Reproduzierbarkeit und Sicherheit zusammengestellt. Das Projekt ist im Register für russische Software eingetragen (die Registrierung bedeutet, dass es die Anforderungen an "heimische Software" im öffentlichen Sektor und bei einigen Unternehmensauftraggebern erfüllen kann).
Es werden zwei Ansätze unterstützt: ein atomar aktualisierbarer (immutable basierend auf OSTree) und der klassische RPM (dnf/dnf5). Im atomaren Ansatz wird das Verzeichnis /usr im Nur-Lese-Modus eingehängt, Updates werden vollständig für das gesamte System angewendet, und zur Rücknahme von fehlgeschlagenen Updates werden Btrfs-Snapshots verwendet. Die Versionen des Basissystems werden als Artefakte betrachtet, die verwaltet und über das OSTree-Repository auf Knoten verteilt werden können. Die klassische RPM-Variante verwendet die Paketverwaltung über dnf und dnf5, unterstützt manuelle und automatische Updates und bietet den Konsoleninstaller "niceos-installer" an.
Die Distribution bietet eine minimalistische und vorhersehbare Basis für Container, ohne grafische Benutzeroberfläche, wobei nur grundlegende Dienste (systemd, Netzwerkwerkzeuge, SSH, Firewall mit nftables/firewalld, grundlegende Überwachungswerkzeuge) gestartet werden. Alle Anwendungssoftware sollte in Containern (Docker/Podman/Kubernetes) oder separat auf der Basis installiert werden.
Auf Docker Hub sind offizielle Container-Images verfügbar. Diese Images basieren auf der gleichen minimalen NiceOS Basis, laufen unter einem nicht privilegierten Benutzer, enthalten integrierte SBOMs (CycloneDX/SPDX) und Sicherheitsberichte (Trivy, Grype) und sind mit Offline-Auditberichten direkt im Container ausgestattet.
Es wird Unterstützung für heimische Kryptographie angeboten (ein zusammengebauter und getesteter Stack für diejenigen, die an den Anforderungen und Audits nach ГОСТ interessiert sind):
- GnuPG mit ГОСТ (ГОСТ Р 34.10-2012 und ГОСТ Р 34.11-2012), einschließlich Signatur, Verschlüsselung und Verifikation;
- OpenSSL mit ГОСТ – TLS und CLI-Dienstprogramme mit ГОСТ-Kryptographie;
- libksba/nettle – Unterstützung für ГОСТ in CMS und X.509;
- OpenVPN mit ГОСТ – ein vorgefertigter Server mit ГОСТ-Verschlüsselungen, es gibt ein Skript, das innerhalb weniger Minuten PKI, Firewall, Überwachung und Integration mit Prometheus einrichtet; VPN (PKI, Firewall, Monitoring, Integration mit Prometheus) in wenigen Minuten;
- Werkzeuge zur Integritätsprüfung anhand von GOST-Hashes (gost12sum, Profile in openssl dgst usw.).
Sicherheitsverbesserungsmöglichkeiten:
- SELinux ist standardmäßig aktiviert;
- Standard-Schutzflags werden bei der Erstellung verwendet (PIE, RELRO, SSP, FORTIFY_SOURCE usw.);
- Skripte zur Integritätskontrolle sind implementiert (Secure Boot, IMA, AIDE mit GOST-Algorithmen);
- Jedes RPM-Paket ist signiert, es gibt ein Zero-Trust-PKI-Modell: Standardmäßig wird nichts vertraut, das nicht verifiziert wurde;
- Für Pakete und Images werden SBOMs und Schwachberichterstattungen generiert.
Möglichkeiten für virtuelle und Cloud-Systeme:
- Unterstützung für vertrauliche virtuelle Maschinen (AMD SEV-SNP, Intel TDX) ist angegeben. Es gibt Tools zur Attestierung virtueller Maschinen in solchen Szenarien.
- Das offizielle Abbild von НАЙС.ОС 5.2 ist im Yandex Cloud Marketplace als virtuelle Maschine verfügbar, die bereits Docker, glibc und Python 3.12 enthält; die Distribution ist als im Register russischer Software eingetragen gekennzeichnet;
- Im Cloud.ru Marketplace wird die Distribution als 'russisches minimalistisches Betriebssystem für Container. Abbild für VM, Docker und Kubernetes' beschrieben;
- Die spezielle Version NiceOS V ist für Hypervisoren (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud usw.) optimiert, mit einem minimalen Satz an Dienstleistungen und einem Fokus auf automatisierte Installationen über Kickstart/JSON.
Verwendete Versionen sind:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (mit Erweiterungen für GOST),
- systemd 257, coreutils 9.6.
Quelle: opennet.ru
