A NAIS.OS projekt egy önálló Linux-disztribúciót fejleszt, amely »nulláról« készül, a forráskód alapján, és saját csomagadatbázist támogat, amely nem kölcsönzi más disztribúciókból a csomaggyűjtési szkripteket. A projekt fejleszti a saját eszköztárát, saját patch készletét és összeállítási politikáját. Letöltésre elérhető egy iso kép (603 MB), amely a virtuális gépek (KVM, Proxmox, VMware, VirtualBox stb.) telepítésére irányul.
A disztribúció ingyenesen terjeszthető magán- és kereskedelmi felhasználásra, korlátozások nélkül a készülékek számát illetően. Ugyanakkor a licencszerződés megtiltja a „módosítást, adaptálást, fordítást, dekódolást, disassemblerálást vagy bármilyen egyéb módon való próbálkozást a forráskód megszerzésére, kivéve azokat az eseteket, amelyeket a hatályos jogszabályok vagy a nyílt forrású komponensek licencfeltételei kifejezetten engedélyeznek”. Továbbá tilos „átadni, eladni, bérbe adni, használatba adni, közzétenni vagy bármilyen módon terjeszteni a szoftverterméket a jogtulajdonos írásbeli beleegyezése nélkül”.
A NAIS.OS egy hosszú távú támogatású (LTS) szerver rendszereként pozicionálja magát, optimalizálva a virtuális gépekhez, felhőalapú rendszerek és edge-csomópontok számára. A kernel, a fordítók, az alapkönyvtárak és a kripto-stack mind az egységes reprodukálhatóság és biztonság követelményei szerint készültek. A projekt szerepel az orosz szoftverek nyilvántartásában (a regisztráció azt jelenti, hogy a »belföldi szoftver« követelményeit ki lehet elégíteni a közigazgatási szektorban és egyes vállalati megrendelőknél).
Két megközelítést támogatunk: atomarisan frissíthetőt (immutable OSTree alapú) és klasszikus RPM (dnf/dnf5). Az atomar változatban a /usr könyvtár csak olvasható módban van montírozva, a frissítések teljes mértékben a rendszerre vonatkoznak, a rossz frissítések visszaállítására Btrfs pillanatképeket használnak, az alap rendszer verziói artefaktumként kezelhetők, amelyeket kezelni és telepíteni lehet a csomópontokra az OSTree tárolón keresztül. A klasszikus RPM-változat a csomagkezelést a dnf és dnf5 segítségével végzi, támogatja a kézi és automatikus frissítéseket, és biztosít egy konzolos telepítőt, a „niceos-installer”-t.
A disztribúció minimális és kiszámítható alapot kínál a konténerekhez, amelyben nincs grafikus környezet, csak alapvető szolgáltatások futnak (systemd, hálózati segédprogramok, SSH, tűzfal nftables/firewalld, alapvető monitorozó segédprogramok, míg a további alkalmazások konténerekben (Docker/Podman/Kubernetes) vagy külön szolgáltatások formájában telepíthetők az alapról.
A Docker Hub-on hivatalos konténerképek találhatók. Az ilyen képek ugyanezen minimális NiceOS Base alapján épülnek, nem privilégizált felhasználóként működnek, beépített SBOM-mal (CycloneDX/SPDX) és sebezhetőségi jelentésekkel (Trivy, Grype) rendelkeznek, valamint beépített jelentéseket nyújtanak offline auditáláshoz közvetlenül a konténeren belül.
Támogatás érhető el a hazai kriptográfiához (összeállított és tesztelt stack azok számára, akiknek szükségük van a GOST követelményekre és auditokra):
- GnuPG GOST-tel (GOST R 34.10-2012 és GOST R 34.11-2012), beleértve az aláírást, titkosítást és ellenőrzést;
- OpenSSL GOST-tel - TLS és CLI eszközök GOST-kriptográfiával;
- libksba/nettle - GOST támogatás CMS és X.509 esetén;
- OpenVPN GOST-tel - kész szerver GOST titkosításokkal, van egy script, amely néhány perc alatt telepíti VPN (PKI, tűzfal, monitorozás, integráció Prometheus-szal);
- GOST-hasheken alapuló integritásellenőrző segédprogramok (gost12sum, profilok az openssl dgst-ben stb.).
Lehetőségek a biztonság növelésére:
- SELinux alapértelmezés szerint be van kapcsolva;
- Standard védelmi zászlókat alkalmaznak a fordítás során (PIE, RELRO, SSP, FORTIFY_SOURCE stb.);
- Megvalósításra kerültek az integritásellenőrzési szcenáriók (Secure Boot, IMA, AIDE GOST-algoritmusokkal);
- Minden RPM-csomag aláírva, van egy Zero-Trust PKI modell: alapértelmezés szerint nem bízik meg semmiben, ami nem ment át az ellenőrzésen;
- A csomagokhoz és képekhez SBOM-t és sebezhetőségi jelentéseket generálnak.
Lehetőségek virtuális és felhőalapú rendszerekhez:
- Bejelentették a titkosított virtuális gépek támogatását (AMD SEV-SNP, Intel TDX). Vannak eszközök a virtuális gépek hitelesítésére ilyen szcenáriókban.
- A hivatalos NICE.OS 5.2 kép elérhető a Yandex Cloud Marketplace-en mint virtuális gép, amely már tartalmazza a Dockert, a glibc-t és a Python 3.12-t; a disztribúciót orosz szoftvernyilvántartásban vezetik;
- A Cloud.ru Marketplace-en a disztribúciót mint "orosz minimalista operációs rendszer konténerek számára. VM, Docker és Kubernetes kép" írják le;
- Az NiceOS V külön verziója a hipervizorokhoz (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud stb.) van optimalizálva, minimalista szolgáltatáscsomaggal és hangsúlyozva az automatizált telepítéseket Kickstart/JSON segítségével.
A használt verziók között:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (GOST kiterjesztésekkel),
- systemd 257, coreutils 9.6.
Forrás: opennet.ru
