NAIS.OS — a minimalist distribution built from scratch and optimized for containers

Projekt NAIS.OS utvecklar en oberoende Linux-distribution som byggs "från grunden" av källkod och stöder sin egen paketdatabas, utan att låna installationsskript från andra distributioner. Projektet utvecklar sina egna verktyg, sin egen uppsättning patchar och sin egen byggpolicy. En iso-avbild (603 MB) finns tillgänglig för nedladdning, inriktad på installation på virtuella maskiner (KVM, Proxmox, VMware, VirtualBox m.fl.).

Distributionen sprids gratis för både privat och kommersiellt bruk utan begränsningar på antalet enheter. Licensavtalet förbjuder dock "att modifiera, anpassa, översätta, dekompilera, disassemblera eller på annat sätt försöka få tillgång till källkoden, utom i de fall som uttryckligen tillåts av gällande lagstiftning eller villkoren för open source-komponenter." Det är också förbjudet att "överlåtelse, sälja, hyra ut, ge för användning, publicera eller på annat sätt sprida programvaran utan skriftligt samtycke från rättighetsinnehavaren."

NAIS.OS positioneras som ett serveroperativsystem med långsiktig support (LTS), optimerat för virtuella maskiner, molnsystem och edge-noder. Kärnan, kompilatorerna, grundbiblioteken, kryptostacken - allt är sammanställt under enhetliga krav på reproducerbarhet och säkerhet. Projektet är registrerat i registret över rysk mjukvara (registreringen innebär att man kan uppfylla kraven på "inhemsk mjukvara" i offentlig sektor och hos vissa företagskunder).

Två tillvägagångssätt stöds: atomärt uppdaterat (immutable baserat på OSTree) och klassiskt RPM (dnf/dnf5). I den atomära varianten monteras partitionen /usr i skrivskyddat läge, uppdateringar tillämpas helt på hela systemet, och för att återgå från misslyckade uppdateringar används Btrfs-snapshots; versioner av bas-systemet betraktas som artefakter som kan hanteras och distribueras över noder via ett OSTree-repo. Den klassiska RPM-varianten använder paketshantering via dnf och dnf5, stödjer manuella och automatiska uppdateringar och tillhandahåller en konsolinstallatör "niceos-installer."

Distributionen erbjuder en minimal och förutsägbar bas för containrar utan grafisk miljö, där endast grundläggande tjänster (systemd, nätverksverktyg, SSH, brandvägg på nftables/firewalld, grundläggande övervakningsverktyg) körs, och all applikationsprogramvara föreslås installeras i containrar (Docker/Podman/Kubernetes) eller som separata tjänster ovanpå basen.

På Docker Hub finns officiella containerbilder. Liknande bilder byggs på grundval av samma minimala NiceOS Base, körs under en icke-privilegierad användare, innehåller inbyggda SBOM (CycloneDX/SPDX) och sårbarhetsrapporter (Trivy, Grype), och levereras med inbyggda rapporter för offline-granskning direkt inuti containern.

Det finns stöd för inhemsk kryptering (en sammanställd och testad stack för dem som behöver GOST-krav och granskningar):

• GnuPG med GOST (GOST R 34.10-2012 och GOST R 34.11-2012), inklusive signering, kryptering och verifiering;
• OpenSSL med GOST - TLS och CLI-verktyg med GOST-kryptografi;
• libksba/nettle - stöd för GOST i CMS och X.509;
• OpenVPN med GOST - en färdig server med GOST-krypteringar, det finns ett skript som rullar ut VPN (PKI, brandvägg, övervakning, integration med Prometheus) på några minuter;
• Verktyg för integritetskontroll baserat på GOST-hashar (gost12sum, profiler i openssl dgst etc.).

Möjligheter för ökad säkerhet:

• SELinux aktiveras som standard;
• Standard skyddsvinklar används vid kompilering (PIE, RELRO, SSP, FORTIFY_SOURCE etc.);
• Scenarier för integritetskontroll har implementerats (Secure Boot, IMA, AIDE med GOST-algoritmer);
• Varje RPM-paket är signerat, det finns en Zero-Trust PKI-modell: som standard har inget förtroende för det som inte har genomgått kontroll;
• För paket och bilder genereras SBOM och sårbarhetsrapporter.

Möjligheter för virtuella och molnsystem:

• Stöd för konfidentiella virtuella maskiner (AMD SEV-SNP, Intel TDX) påstås. Det finns verktyg för att intyga virtuella maskiner i sådana scenarier.
• Den officiella bilden av NICE.OS 5.2 finns tillgänglig på Yandex Cloud Marketplace som en virtuell maskin, som redan innehåller Docker, glibc och Python 3.12; distributionen är markerad som registrerad i den ryska programvaran;
• I Cloud.ru Marketplace beskrivs distributionen som "en rysk minimal OS för containrar. Bild för VM, Docker och Kubernetes";
• Den separata versionen av NiceOS V är optimerad för hypervisorer (Proxmox, VMware ESXi, KVM/QEMU, AWS/Yandex Cloud/Google Cloud osv.), med ett minimum av tjänster och fokus på automatiserade installationer via Kickstart/JSON.

Bland de använda versionerna:

• Linux 6.13.x,
• GCC 14.3, Glibc 2.41,
• OpenSSL 3.5.1 (med tillägg för GOST),
• systemd 257, coreutils 9.6.

Källa: opennet.ru