NAIS.OS — een minimalistische distributie, vanaf nul opgebouwd en geoptimaliseerd voor containers.

Het NAIS.OS-project ontwikkelt een zelfstandige Linux-distributie, die vanaf de grond wordt opgebouwd uit broncode en een eigen pakketdatabase ondersteunt, zonder scripts voor pakketbouw van andere distributies over te nemen. Het project ontwikkelt zijn eigen gereedschap, zijn eigen set patches en zijn eigen bouwbeleid. Er is een iso-image beschikbaar (603 MB), gericht op installatie op virtuele machines (KVM, Proxmox, VMware, VirtualBox, enz.).

De distributie wordt gratis verspreid voor zowel privé- als commercieel gebruik zonder beperkingen op het aantal apparaten. Tegelijkertijd verbiedt de licentieovereenkomst het "modificeren, aanpassen, vertalen, decompileren, disassembleren of op een andere manier proberen de broncode te verkrijgen, behalve in gevallen die expliciet zijn toegestaan door de geldende wetgeving of de voorwaarden van open-source componentlicenties". Het is ook verboden om "het softwareproduct over te dragen, te verkopen, te huur aan te bieden, het ter beschikking te stellen, te publiceren of op een andere manier te verspreiden zonder schriftelijke toestemming van de rechthebbende".

NAIS.OS positioneert zich als een serversysteem met een lange termijnondersteuning (LTS), geoptimaliseerd voor virtuele machines, cloudsystemen en edge-nodes. De kernel, compilers, basisbibliotheken, crypto-stack — alles is opgebouwd volgens uniformere eisen van reproduceerbaarheid en veiligheid. Het project is opgenomen in het register van Russische software (registratie betekent dat het kan voldoen aan eisen voor "lokale software" in de publieke sector en bij sommige zakelijke klanten).

Er worden twee benaderingen ondersteund: atomair bijgewerkt (immutable op basis van OSTree) en klassiek RPM (dnf/dnf5). In de atomaire variant wordt de /usr-partitie in alleen-lezen modus gemonteerd, updates worden volledig voor het hele systeem toegepast, voor het terugdraaien van mislukte updates worden Btrfs-snapshots gebruikt, de versies van het basissysteem worden beschouwd als artefacten die beheerd kunnen worden en uitgerold kunnen worden over nodes via een OSTree-repository. De klassieke RPM-variant gebruikt pakketbeheer via dnf en dnf5, ondersteunt handmatige en automatische updates en biedt een console-installateur genaamd "niceos-installer".

De distributie biedt een minimale en voorspelbare basis voor containers, zonder grafische omgeving, met alleen basisdiensten (systemd, netwerktools, SSH, firewall op nftables/firewalld, basismonitoringtools), waarbij alle applicatiesoftware in containers (Docker/Podman/Kubernetes) of als afzonderlijke diensten bovenop de basis dient te worden geïnstalleerd.

Op Docker Hub zijn officiële containerbeelden beschikbaar. Dergelijke beelden zijn gebouwd op basis van dezelfde minimale NiceOS Base, draaien als een niet-privilegierte gebruiker, bevatten ingebouwde SBOM (CycloneDX/SPDX) en kwetsbaarheidsrapporten (Trivy, Grype), en zijn voorzien van ingebouwde rapporten voor offline-audits binnen de container.

Er is ondersteuning voor lokale cryptografie (een gecompileerde en geteste stack voor degenen die GOST-vereisten en audits nodig hebben):

• GnuPG met GOST (GOST R 34.10-2012 en GOST R 34.11-2012), inclusief ondertekening, versleuteling en verificatie;
• OpenSSL met GOST — TLS en CLI-hulpmiddelen met GOST-cryptografie;
• libksba/nettle — ondersteuning voor GOST in CMS en X.509;
• OpenVPN met GOST — een kant-en-klare server met GOST-coderingen, er is een script dat opzet (PKI, firewall, monitoring, integratie met Prometheus) in enkele minuten; VPN (PKI, firewall, monitoring, integratie met Prometheus) in enkele minuten;
• Hulpmiddelen voor integriteitscontrole op GOST-hashes (gost12sum, profielen in openssl dgst, enz.).

Mogelijkheden voor het verhogen van de veiligheid:

• SELinux is standaard ingeschakeld;
• Er worden standaard beschermingsvlaggen gebruikt bij de bouw (PIE, RELRO, SSP, FORTIFY_SOURCE, enz.);
• Integriteitscontrolescripts zijn geïmplementeerd (Secure Boot, IMA, AIDE met GOST-algoritmen);
• Elke RPM-pakket is ondertekend, er is een Zero-Trust PKI-model: standaard wordt er geen vertrouwen gegeven aan wat niet is gecontroleerd;
• Voor pakketten en beelden worden SBOM en kwetsbaarheidsrapporten gegenereerd.

Mogelijkheden voor virtuele en cloudsystemen:

• Er is ondersteuning aangekondigd voor vertrouwelijke virtuele machines (AMD SEV-SNP, Intel TDX). Er zijn hulpmiddelen voor het bevestigen van virtuele machines in dergelijke scenario's.
• Het officiële beeld van НАЙС.ОС 5.2 is beschikbaar in de Yandex Cloud Marketplace als een virtuele machine, die al Docker, glibc en Python 3.12 bevat; de distributie is gemarkeerd als geregistreerd in de Russische softwareregister;
• In de Cloud.ru Marketplace is de distributie beschreven als "Russische minimalistische OS voor containers. Beeld voor VM, Docker en Kubernetes";
• Een aparte editie van NiceOS V is geoptimaliseerd voor hypervisors (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud, enz.), met een minimale set services en de nadruk op geautomatiseerde installaties via Kickstart/JSON.

Onder de gebruikte versies:

• Linux 6.13.x,
• GCC 14.3, Glibc 2.41,
• OpenSSL 3.5.1 (met uitbreidingen voor GOST),
• systemd 257, coreutils 9.6.

Bron: opennet.ru