NixOS toetab korduvaid koostamisi iso-pildiks

NixOS-i koostajad teatasid, et nad on rakendanud minimaalsete ISO-piltide (iso_minimal.x86_64-linux) terviklikkuse kontrollimise toetust, kasutades korduvaid koostamismehhanisme. Varasemalt olid korduvad koostamised saadaval üksikute pakettide tasemel, kuid nüüd on need laienenud ka kogu ISO-pildile. Iga kasutaja saab luua ISO-pildi, mis on täpselt identne allalaetavale ISO-pildile, ja veenduda, et see on koostatud antud lähtekoodidest ega sisalda varjatud muudatusi. NixOS-i ISO-pildi automaatseks kontrollimiseks korduvate koostamiste abil on ette valmistatud spetsiaalne skript. Järgmises etapis plaanitakse tagada korduvad koostamised ka täielikule ISO-pildile, kus töötatakse GNOME-iga.

Korduvad koostamised on oluline lüli turvalisuse tagamisel, kuna need võimaldavad iseseisvalt kontrollida, et pakutava distributsiooni koostatud binaarid vastavad täpselt isiklikult kokku pandud lähtekoodidest koostatud versioonidele. Ilma binaarsete koostamiste identiteedi kontrollimise võimaluseta peab kasutaja pimesi usaldama teiste koostamisinfrastruktuuri, mille kompromiteerimine või koostamise tööriistade rike võib viia varjatud tagasilöökide paigaldamiseni. Korduvate koostamiste tagamiseks tuleb taastada koostamisvõime ja keskkonna parameetrid, kasutada identseid programmiversioone, sõltuvusi ja laadimiskomponente, välistada muutuva teabe (ajatempli, juhuslike täitjate jne) sisestamine ning säilitada failide koostamise ja paketide ISO-pildile tarnimise järjekord.

Tulet meelde, et NixOS-i jaotust toetab Nix-pakihaldur, ning see pakub mitmeid enda arendusi, mis lihtsustavad süsteemi seadistamist ja hooldust. Näiteks NixOS-is kasutatakse ühte süsteemikonfiguratsiooni faili (configuration.nix), on olemas võimalus kiireks uuenduste tagasivõtmiseks, toetatakse erinevate süsteemi olekute vahel vahetamist, samuti on võimalik individuaalsete paketiga installeerimine eraldi kasutajate poolt (pakett paigaldatakse kodukatalooge) ning samaaegne mitme versiooni installimine ühest programmist. Nix-pakettide paigaldamine toimub eraldi kataloogipuus /nix/store või kasutaja katalooge allkataloogis. Näiteks on pakett installitud kujul /nix/store/f2b5…8a563-firefox-89.0.1/, kus „f2b5…” on unikaalne paketi identifikaator, mida kasutatakse sõltuvuste kontrollimiseks.

Paketid on kujundatud konteineritena, mis sisaldavad vajalikke komponente rakenduste tööks. Paketide vahel on võimalik määrata sõltuvusi, samas kasutatakse juba installitud sõltuvuste olemasolu otsimiseks installitud paketid kataloogis skaneerimist hääletusidentifikaatorite järgi. On võimalik nii valmis binaarpakettide allalaadimine hoidlast (uuenduste paigaldamisel laaditakse alla ainult delta-muudatused) kui ka allikaid sõltuvustega kokku monteerimine. Pakettide kogum on esitatud spetsiaalses Nixpkgs hoidlas.

Allikas: opennet.ru