Нидерланды и Франция внедряют госдристибутив на NixOS

В Нидерландах проект называется DAWO и охватывает целую экосистему от облака до мобильной платформы на /e/OS или GrapheneOS, с AI-ассистентом в комплекте. Самое занятное в их обосновании выбора — помимо вполне логичных технических причин (декларативная конфигурация, воспроизводимые сборки, возможность отката) там прямым текстом упомянуто, что организация, курирующая NixOS, зарегистрирована в Нидерландах, а у авторов пакетного менеджера Nix голландские корни. То есть openSUSE и Fedora отклонили не только из-за корпоративного влияния на разработку, но и потому что NixOS оказался в буквальном смысле "свой".

Франция пошла параллельным, но собственным путем, там DINUM собирает Securix (для админов, с хардварными ключами и Secure Boot) и Bureautix (для обычных юзеров, адаптированный вариант того же Securix). Интереснее всего подход французов к децентрализации — принципиально отказались от LDAP и FreeIPA для централизованного входа, используя вместо этого Git для распространения базы пользователей. Решение смелое и по-своему логичное с точки зрения независимости от единой точки отказа, но означает что каждая рабочая станция немного превращается в автономный остров, который синхронизируется через коммиты, а не через привычную сетевую авторизацию.

До конца года французы планируют обкатать систему на 250 станциях, голландцы — на четырех муниципалитетах.

Обе страны независимо пришли к одному выводу — европейские госучреждения массово устали зависеть от Microsoft и Google и ищут технологическую базу, над которой не нависает ни одна корпорация.

Linux / Линукс🥸

🍺 Пятничный филологический холивар... Логитеч, Асусь, Гнилобайт и прочие травмы слуха.

На днях в комментах под постом про шарики от мышек внезапно вспыхнул классический, покрытый мхом холивар. Я написал "Логитеч", и тут же языковеды в комментах пояснили что "вообще-то Лоджитек!", затем подтянулись эстеты с "всегда был Логитек" 😂

В преддверии пятничного сброса энтропии грех не поковырять эту рану.

Давайте расставим точки над Ё. Мы все прекрасно знаем, как это читается в оригинале. Я с эникейской юности уяснил правила игры в нашем с вами АйТи... вся индустрия построена на том, чтобы читать заморские бренды максимально всрато и как написано. Ведь когда мы в девяностых и начале двухтысячных читали названия железок исключительно глазами в прайсах Ultra Electronics и на коробках с радиорынка, рождался тот самый легендарный админский суржик. Это не ошибка, это уже наш культурный код 😊

В итоге родилась целая кунсткамера названий, от которых у современных маркетологов смузи носом идет. Вспомним же классику:

🟢 Logitech (Логитеч / Логитек / Лоджитек).
Швейцарцы в 1981 году скрестили французское logiciel (софт) и греческое technologie. По канонам это вообще "ЛожитЭк". Буржуи на презентациях говорят "лОджитек". Но для русского эникея, чистившего спиртом валики в шариковых мышах, это навсегда останется родным и непобедимым Логитечем.
И точка.

🟢 Zyxel (Зухель / Зуксель / Зайксел).
Главная скрепа эпохи диалапа. Корпоративные мануалы называли контору "Зайксел". Но для миллионов людей, сидевших по ночам в FIDO и державших на тумбочке внешний модем со стрекочущими релюшками, это был, есть и будет "Зухель" (в крайнем случае "Зюксель"). Назови модем Зайкселом на сходке сисопов в 2002 - засмеяли бы всем кабаком.

🟢 Nginx (Энджин-икс / Нгинкс / Энжинкс).
Создатель Игорь Сысоев русским языком пояснил, что проект называется "Engine-X", то есть "Энджин-икс". Но в логах и консолях мы читали буквы подряд. В результате родился легендарный мутант Нгинкс\Нджинкс (иногда Энгинкс).

🟢 Palit (палИт / пАлит).
Официальное тайваньское ударение на "А". Но Рунет нулевых единогласно переставил ударение на "И", моментально родив... "Palit - твой дом спалит" или "Palit - воняет и горит" 😂

🟢 Gigabyte (Гигабайт / Джигабайт / Гига / Гигабуте).
По-английски это звучит "Джигабайт". В наших реалиях это всегда был "Гигабайт", а в темные времена кривых кондёров - до Гнилобайта.

🟢 ASUS (Асус / Асусь / Эйсус).
Сами тайваньцы выдрали это слово из латинского Pegasus (Пегас), чтобы в телефонных справочниках быть сверху на букву "А". Англоязычные вендоры всегда форсили "Эйсус". Но покажите мне хоть одного нормального сисадмина в трениках, который в 2005 году просил со склада материнку от Эйсуса? Асус - это база.

🟢 Xerox (Ксерокс / Зирокс).
Классика филологического побоища. Американе читают букву X в начале слова как Z (Зирокс). Но в Рунете слово мутировало до глагола "отксерить" и стало именем нарицательным для любых копиров планеты. Скажи в бухгалтерии "пойду отзироксую накладную" - и смотри в глаза за реакцией 😡

🟢 ASRock (Асрок / Азрок / Жопорок).
Контора изначально отпочковалась от ASUS как ультрабюджетный суббренд для тех, кому не хватало на нормальную плату. Английское "Аз-рок" окрестили "Асроком", а за раннюю нестабильность биосов - Жопороком. Бренд давно делает неплохие доски, но осадочек в памяти остался.

🟢 Seagate (Сигейт / Сеагате).
Тут даже спорить не о чем... почти каждый читал на коробке с барракудой именно Сеагате. В воспоминаниях сразу всплыл знаменитый щелчок смерти ⚰️

🟢 Cisco (Циско / Цыска / Сиско / Киска).
Название образовано от Сан-Франциско, и англоязычный мир говорит «Сиско». Но в российском энтерпрайзе оборудование именуется исключительно Цыска.

🟢 Broadcom (Бродком / Броадком / Блядком).
Вендор чипов Wi-Fi и гигабитных сетевух. По-английски "Бродком". Но в среде красноглазых за закрытые блобы, кривые проприетарные драйверы b43 и пляски с ndiswrapper фирма получила единственное заслуженное имя - Блядком. Поднять Wi-Fi на ноуте с этим чипом в 2007 году было подвигом.

И так во всем. Мы поднимали веб-серв апач, писали на джаве (хотя она ява), и подключались через вифи.

Наш рунглиш это святое. Тогда он отсеивал чужаков и объединял своих. Если человек в нулевых говорил зайксел, мы сразу выкупали, что перед нами либо маркетолог, либо еще хуже (хотя что может быть хуже 🙂). А если "Зуксель" - значит, свой брат-эникей.

Типичный 🥸 Сисадмин

Тео де Раадт придумал, как сделать openat() реально безопасным, потому что оказалось, что он таким не был

Jказывается, замена open() на openat() сама по себе ничего не дает с точки зрения безопасности. Если передать в openat() абсолютный путь вроде "/etc/hosts", функция просто проигнорирует переданный dirfd и откроет файл как обычно, полностью игнорируя попытку "привязать" доступ к конкретному каталогу. То есть вся эта конструкция с openat(), которую многие программисты годами считали защитным механизмом от directory traversal, на деле защищает ровно ни от чего, если разработчик явно не добавил проверки сам.

Де Раадт уперся в эту проблему практически — при разработке openrsync понадобилось жестко ограничить программу от выхода за пределы рабочего каталога, а стандартные unveil() и pledge() для этой задачи не годились. Предложение получилось элегантным: флаг F_BELOW для fcntl() (или O_BELOW для open()), который делает ограничение частью самого файлового дескриптора, а не ответственностью программиста на каждый вызов. Если dirfd помечен таким флагом, любая попытка уйти через ".." или абсолютный путь просто упадет с ENOENT. Разница принципиальная - вместо того, чтобы полагаться на внимательность разработчика, который должен не забыть проверку на каждом из десятков мест в коде, ограничение зашивается прямо в дескриптор на уровне ядра.

Отдельно порадовал пассаж про Linux-аналоги RESOLVE_BENEATH и RESOLVE_IN_ROOT для openat2 — де Раадт прямым текстом указал, что эти флаги страдают той же проблемой: их нужно добавлять вручную ко всем нужным вызовам, а в случае захвата процесса атакующий всегда найдет другой способ открыть файл в обход этих проверок.

Патчи пока на стадии обсуждения и даже не попали в -current, так что до реального релиза пройдет не один месяц традиционной неспешной процедуры ревью сообщества.

Linux / Линукс🥸

4 октября 1999 года официально был основан Gentoo , тогда же был запущен официальный сайт.

Linux / Линукс🥸

Инженер из NVIDIA протестировал уровень задержек при использовании Wayland и X.Org

Камиль Лысик, работающий в компании NVIDIA, выступил на конференции XDC 2026 с докладом, в котором рассказал о результатах тестирования задержек вывода информации в окружениях GNOME 49.7 (mutter) и KDE 6.7.4 (kwin) при использовании X.Org Server и Wayland. Задействованный в исследовании код опубликован под лицензией MIT.
В целом выводы сводятся к тому, что различия в отзывчивости не существенны и трудно выделить одного победителя. Наибольшее влияние на задержки, по мнению Камиля, вносят обработка ввода и организация вывода на монитор. Отдельно отмечена технология адаптивного изменения частоты обновления экрана (VRR), включение которой позволило заметно повысить отзывчивость. Также упомянуто решение проблем с задержками, в прошлых тестированиях возникавших при использовании XWayland - в новой кодовой базе XWayland появление дополнительных задержек не зафиксировано.

Предложенный метод оценки отзывчивости интерфейса близок к исследованию, проведённому в июле Марком Неттом. Как и в прошлом исследовании для точного измерения времени от нажатия клавиши до изменения информации на экране использовалось специальное аппаратное устройство на базе микроконтроллера ЕSP32-S3, к которому был подключён фотодиод для фиксации изменения яркости точки на экране, и обеспечена симуляция работы USB-клавиатуры. Для вывода были задействованы видеокарта NVIDIA GeForce RTX 5070 и монитор LG 27GN950. В системе применялось ядро Linux 7.1.7 и набор проприетарных драйверов NVIDIA 610.57.04.

Linux / Линукс🥸

Оживляем старые ноутбуки

Linux / Линукс🥸