El proyecto NAIS.OS desarrolla una distribución de Linux independiente, construida "desde cero" a partir del código fuente y que soporta su propia base de paquetes, sin tomar prestados los scripts de construcción de otros distribuciones. El proyecto desarrolla su propia herramienta, su propio conjunto de parches y su política de construcción. Está disponible una imagen ISO (603 MB) orientada a la instalación en máquinas virtuales (KVM, Proxmox, VMware, VirtualBox, etc.).
La distribución se distribuye de forma gratuita para uso privado y comercial sin restricciones en el número de dispositivos. Sin embargo, el acuerdo de licencia prohíbe "modificar, adaptar, traducir, descompilar, desensamblar o intentar de cualquier otra manera obtener el código fuente, excepto en los casos expresamente permitidos por la legislación vigente o las condiciones de las licencias de los componentes abiertos". También está prohibido "transferir, vender, arrendar, poner a disposición, publicar o distribuir de alguna otra forma el producto de software sin el consentimiento por escrito del titular de los derechos".
NAIS.OS se posiciona como un sistema servidor con un largo periodo de soporte (LTS), optimizado para máquinas virtuales, sistemas en la nube y nodos edge. El núcleo, los compiladores, las bibliotecas básicas y la pila criptográfica están todos compilados bajo requisitos unificados de reproducibilidad y seguridad. El proyecto está incluido en el registro de software ruso (la inscripción significa que se pueden cumplir los requisitos de "software nacional" en el segmento gubernamental y para algunos clientes corporativos).
Se soportan dos enfoques: la actualización atómica (inmutable basada en OSTree) y el clásico RPM (dnf/dnf5). En la variante atómica, la partición /usr se monta en modo solo lectura, las actualizaciones se aplican en su totalidad a todo el sistema, y para revertir actualizaciones fallidas se utilizan instantáneas de Btrfs; las versiones del sistema base se consideran como artefactos que se pueden gestionar y desplegar en nodos a través del repositorio OSTree. La variante clásica de RPM utiliza la gestión de paquetes a través de dnf y dnf5, soporta actualizaciones manuales y automáticas, y proporciona un instalador de consola "niceos-installer".
La distribución ofrece una base mínima y predecible para contenedores, sin entorno gráfico, ejecutando solo servicios básicos (systemd, utilidades de red, SSH, firewall basado en nftables/firewalld, utilidades básicas de monitoreo, y todo el software aplicable debe instalarse en contenedores (Docker/Podman/Kubernetes) o como servicios separados sobre la base.
En Docker Hub, hay imágenes de contenedores oficiales. Estas imágenes se construyen sobre la misma base mínima de NiceOS, funcionan con un usuario no privilegiado, contienen SBOM incorporados (CycloneDX/SPDX) y reportes de vulnerabilidades (Trivy, Grype), y están equipadas con informes integrados para auditorías offline directamente dentro del contenedor.
Se cuenta con soporte para criptografía nacional (una pila compilada y probada para aquellos que necesitan cumplir con los requisitos de GOST y auditorías):
- GnuPG con GOST (GOST R 34.10-2012 y GOST R 34.11-2012), incluyendo firma, cifrado y verificación;
- OpenSSL con GOST — TLS y utilidades CLI con criptografía GOST;
- libksba/nettle — soporte de GOST en CMS y X.509;
- OpenVPN con GOST — un servidor listo con cifras GOST, hay un script que despliega VPN (PKI, firewall, monitoreo, integración con Prometheus) en cuestión de minutos;
- Utilidades para el control de integridad basadas en hash GOST (gost12sum, perfiles en openssl dgst, etc.).
Posibilidades para mejorar la seguridad:
- SELinux está habilitado por defecto;
- Se utilizan banderas de protección estándar al compilar (PIE, RELRO, SSP, FORTIFY_SOURCE, etc.);
- Se han implementado scripts para el control de integridad (Secure Boot, IMA, AIDE con algoritmos GOST);
- Cada paquete RPM está firmado, existe un modelo de PKI de confianza cero: por defecto no se confía en lo que no ha sido verificado;
- Se generan SBOM y reportes de vulnerabilidades para paquetes e imágenes.
Capacidades para sistemas virtuales y en la nube:
- Se declara soporte para máquinas virtuales confidenciales (AMD SEV-SNP, Intel TDX). Hay utilidades para la attestación de máquinas virtuales en tales escenarios.
- La imagen oficial de НАЙС.ОС 5.2 está disponible en Yandex Cloud Marketplace como una máquina virtual, que ya incluye Docker, glibc y Python 3.12; la distribución está marcada como registrada en software ruso;
- En Cloud.ru Marketplace, la distribución se describe como “un sistema operativo minimalista ruso para contenedores. Imagen para VM, Docker y Kubernetes”;
- La edición independiente de NiceOS V está optimizada para hipervisores (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud, etc.), con un conjunto mínimo de servicios y un enfoque en instalaciones automatizadas a través de Kickstart/JSON.
Entre las versiones utilizadas:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (con extensiones GOST),
- systemd 257, coreutils 9.6.
Fuente: opennet.ru
