NixOS har stöd för reproducerbara byggnader för iso-bilder

Utvecklarna av NixOS-distributionen har meddelat att de har implementerat stöd för verifiering av integriteten hos den minimala ISO-avbildningen (iso_minimal.x86_64-linux) med hjälp av mekanismen för reproducerbara byggen. Tidigare var reproducerbara byggen tillgängliga på nivån av enskilda paket, men har nu utökats till hela ISO-avbildningen. Varje användare kan skapa en ISO-avbildning som är helt identisk med den som tillhandahålls för nedladdning och verifiera att den är byggd från de tillhandahållna källkoderna och inte innehåller dolda ändringar. För att automatisera verifieringen av NixOS ISO-avbildningen med hjälp av reproducerbara byggen har ett speciellt skript förberetts. Nästa steg är att säkerställa reproducerbara byggen för den fullständiga ISO-avbildningen med GNOME-skrivbordet.

Reproducerbara byggen är en viktig del av säkerhetsåtgärderna, eftersom de ger möjlighet att självständigt kontrollera att de byggen som erbjuds av distributionen matchar exakt med de som byggts personligen från källkoderna. Utan möjlighet att verifiera identiteten hos den binära uppbyggnaden är användaren tvungen att blint lita på någon annans bygginfrastruktur, vars kompromiss kan leda till att dolda bakdörrar installeras. För att säkerställa reproducerbara byggen krävs att man återskapar innehållet och inställningarna i byggmiljön, använder identiska versioner av program, beroenden och startkomponenter, utesluter föränderliga data (tidsstämplar, slumpmässiga fyllnader osv.), samt bevarar ordningen i filbyggnaden och leveransen av paket i ISO-avbildningen.

NixOS-distributionen baseras på paketförvaltaren Nix och erbjuder en rad egna utvecklingar som förenklar konfiguration och underhåll av systemet. Till exempel används en enhetlig systemkonfigurationsfil (configuration.nix) i NixOS, vilket möjliggör snabb återställning av uppdateringar, stöd för att växla mellan olika systemtillstånd, stöd för installation av individuella paket av olika användare (paketet installeras i användarens hemkatalog) och möjligheten till samtidig installation av flera versioner av samma program. När Nix används installeras paketen i ett separat katalogträd /nix/store eller en underkatalog i användarkatalogen. Till exempel installeras paketet som /nix/store/f2b5…8a563-firefox-89.0.1/, där "f2b5…" är ett unikt identifieringsnummer för paketet som används för att kontrollera beroenden.

Paketen formateras som containrar som innehåller de komponenter som behövs för att applikationer ska fungera. Det är möjligt att definiera beroenden mellan paketen, där skanning av hash-identiteter i mappen för installerade paket används för att kontrollera om beroenden redan är installerade. Både nedladdning av färdiga binärpaket från arkivet (vid installation av uppdateringar laddas endast delta-förändringar) och byggnation från källkod med alla beroenden är möjliga. Paketkollektionen finns i det speciella arkivet Nixpkgs.

Källa: opennet.ru