Vývojári distribúcie NixOS informovali o implementácii podpory verifikácie integrity minimálneho iso obrazu (iso_minimal.x86_64-linux) pomocou mechanizmu opakovateľných zostáv. Predtým boli opakovateľné zostavy dostupné na úrovni jednotlivých balíkov, teraz sú rozšírené aj pre celý iso obraz. Každý používateľ si môže vytvoriť iso obraz, ktorý je úplne identický s poskytovaným iso obrazom na stiahnutie, a overiť, že bol zostavený z poskytnutých zdrojových kódov a neobsahuje žiadne skryté zmeny. Na automatizáciu overenia iso obrazu NixOS pomocou opakovateľných zostáv bol pripravený špeciálny skript. Na nasledujúcom kroku sa plánuje zabezpečiť opakovateľné zostavy pre celý iso obraz s pracovnou plochou GNOME.
Opakovateľné zostavy sú dôležitým článkom zabezpečenia, pretože umožňujú samostatne overiť, že navrhované zostavy sú byte za byte zhodné so zostavami, ktoré boli zostavené priamo zo zdrojových kódov. Bez možnosti overiť identitu binárnej zostavy zostáva používateľ iba slepo dôverovať cudzím zostavovacím infraštruktúram, ktorých kompromitácia kompilátora alebo zostavovacieho nástroja môže viesť k zavádzaniu skrytých zadných vrátok. Na zabezpečenie opakovateľných zostáv je potrebné replikovať obsah a parametre zostavovacieho prostredia, použiť identické verzie programov, závislostí a zavádzacích komponentov, vylúčiť zavedenie meniacich sa údajov (časy, náhodné vyplnenia atď.), ako aj zachovať poradie zostavenia súborov a dodania balíkov v iso obraze.
Pripomíname, že distribúcia NixOS je založená na balíkovom manažéri Nix a ponúka množstvo vlastných riešení, ktoré uľahčujú nastavenie a údržbu systému. Napríklad v NixOS sa používa jednotný súbor systémovej konfigurácie (configuration.nix), poskytuje sa možnosť rýchlej návratnosti po aktualizáciách, podporuje sa prepínanie medzi rôznymi stavmi systému, umožňuje sa inštalácia individuálnych balíkov jednotlivými používateľmi (balík sa inštaluje do domovského adresára) a je možná súčasná inštalácia niekoľkých verzií jednej aplikácie. Pri používaní Nix sa balíky inštalujú do samostatného stromu adresárov /nix/store alebo podadresára v adresári používateľa. Napríklad sa balík inštaluje ako /nix/store/f2b5…8a563-firefox-89.0.1/, kde „f2b5…“ je jedinečný identifikátor balíka, ktorý sa používa na kontrolu závislostí.
Balíky sú usporiadané vo forme kontajnerov, obsahujúcich potrebné komponenty na fungovanie aplikácií. Medzi balíkmi je možné definovať závislosti, pričom na vyhľadávanie existujúcich závislostí sa využíva skenovanie hash identifikátorov v adresári nainštalovaných balíkov. Je možná ako sťahovanie hotových binárnych balíkov z repozitára (pri inštalácii aktualizácií sa sťahujú iba delta zmeny), tak aj zostavenie zo zdrojových kódov so všetkými závislosťami. Kolekcia balíkov je prezentovaná v špeciálnom repozitári Nixpkgs.
Zdroj: opennet.ru
