Il progetto NAIS.OS sviluppa una distribuzione Linux autonoma, costruita "da zero" a partire dal codice sorgente e supporta un proprio database di pacchetti, senza adottare gli script di costruzione di altri sistemi. Il progetto sviluppa i propri strumenti, un set di patch e la propria politica di costruzione. È disponibile un'immagine ISO (603 MB), orientata all'installazione su macchine virtuali (KVM, Proxmox, VMware, VirtualBox, ecc.).
La distribuzione è distribuita gratuitamente per uso privato e commerciale senza restrizioni sul numero di dispositivi. Tuttavia, il contratto di licenza vieta di "modificare, adattare, tradurre, decompilare, disassemblare o tentare in altro modo di ottenere il codice sorgente, a meno che non sia esplicitamente autorizzato dalla legislazione vigente o dai termini delle licenze dei componenti open source". È inoltre vietato "trasferire, vendere, noleggiare, concedere in uso, pubblicare o distribuire in altro modo il prodotto software senza il consenso scritto del titolare dei diritti."
NAIS.OS è posizionato come un sistema server con un lungo ciclo di supporto (LTS), ottimizzato per macchine virtuali, sistemi cloud e nodi edge. Il kernel, i compilatori, le librerie di base e lo stack crittografico sono tutti assemblati secondo requisiti unici di riproducibilità e sicurezza. Il progetto è incluso nel registro del software russo (la registrazione significa che può soddisfare i requisiti del "software domestico" nel settore pubblico e presso parte dei clienti aziendali).
Sono supportati due approcci: l'aggiornamento atomico (immutable basato su OSTree) e il classico RPM (dnf/dnf5). Nella variante atomica, la partizione /usr è montata in modalità di sola lettura, gli aggiornamenti si applicano a tutta la sistema, e per il rollback di aggiornamenti non riusciti vengono utilizzati i snapshot Btrfs; le versioni del sistema di base sono considerate artefatti, che possono essere gestiti e distribuiti tra i nodi tramite il repository OSTree. La variante classica RPM utilizza la gestione dei pacchetti tramite dnf e dnf5, supporta aggiornamenti manuali e automatici e fornisce un installer da console "niceos-installer".
Il distributore offre una base minima e prevedibile per i container, senza ambiente grafico, avviando solo servizi di base (systemd, utility di rete, SSH, firewall su nftables/firewalld, utility di monitoraggio di base, mentre tutto il software applicativo viene proposto per l'installazione all'interno dei container (Docker/Podman/Kubernetes) o come servizi separati sopra la base.
Su Docker Hub sono disponibili immagini ufficiali dei container. Tali immagini sono costruite sulla base dello stesso minimalista NiceOS Base, funzionano da un utente non privilegiato, contengono SBOM integrate (CycloneDX/SPDX) e report sulle vulnerabilità (Trivy, Grype), fornite di report integrati per audit offline direttamente all'interno del container.
È supportata la crittografia nazionale (stack assemblato e testato per chi necessita di requisiti e audit GOST):
- GnuPG con GOST (GOST R 34.10-2012 e GOST R 34.11-2012), incluse firma, crittografia e verifica;
- OpenSSL con GOST – TLS e utility CLI con crittografia GOST;
- libksba/nettle – supporto GOST in CMS e X.509;
- OpenVPN con GOST – server pronto con cifrature GOST, è disponibile uno script che configura VPN (PKI, firewall, monitoraggio, integrazione con Prometheus) in pochi minuti;
- Utility per il controllo dell'integrità su hash GOST (gost12sum, profili in openssl dgst, ecc.).
Opzioni per l'aumento della sicurezza:
- SELinux attivato per impostazione predefinita;
- Utilizzati flag di protezione standard durante la compilazione (PIE, RELRO, SSP, FORTIFY_SOURCE, ecc.);
- Implementati script di controllo dell'integrità (Secure Boot, IMA, AIDE con algoritmi GOST);
- Ogni pacchetto RPM è firmato, esiste un modello Zero-Trust PKI: di default non si fida di ciò che non ha superato il controllo;
- Per pacchetti e immagini vengono generati SBOM e report sulle vulnerabilità.
Opzioni per sistemi virtuali e cloud:
- È dichiarato il supporto per macchine virtuali confidenziali (AMD SEV-SNP, Intel TDX). Sono disponibili utility per l'attestazione delle macchine virtuali in tali scenari.
- L'immagine ufficiale di NAIS.OS 5.2 è disponibile nel Yandex Cloud Marketplace come macchina virtuale, che include già Docker, glibc e Python 3.12; il distributore è contrassegnato come registrato nel software russo;
- Nel Cloud.ru Marketplace, il distributore è descritto come 'sistema operativo minimalista russo per container. Immagine per VM, Docker e Kubernetes';
- Una versione separata di NiceOS V è ottimizzata per hypervisor (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud, ecc.), con un set minimo di servizi e un focus sulle installazioni automatizzate tramite Kickstart/JSON.
Tra le versioni utilizzate:
- Linux 6.13.x,
- GCC 14.3, Glibc 2.41,
- OpenSSL 3.5.1 (con estensioni per GOST),
- systemd 257, coreutils 9.6.
Fonte: opennet.ru
