Безпека

OmarOS ставиться до безпеки надзвичайно серйозно. Це має бути операційна система, яку ви можете використовувати, щоб робити Справжню Роботу в Реальному Світі. Де втрата ноутбука не може призвести до надзвичайної ситуації з безпекою. Тож ось що ми робимо:

1. Повне шифрування диска є обов'язковим: це найважливіший крок для захисту фізичної безпеки ваших даних. Якщо ваш комп'ютер загублено або вкрадено, дані повністю зашифровані за допомогою стандартного LUKS (Linux Unified Key Setup).
2. Фаєрвол увімкнено за замовчуванням: увесь вхідний трафік блокується за замовчуванням, за винятком порту 53317 для LocalSend. Навіть ssh вимкнено, доки ви не ввімкнете його через Налаштування > Security > SSHD, що відкриває порт 22 (з обмеженням частоти проти перебору) як частину налаштування. Ми навіть блокуємо доступ Docker за допомогою налаштування ufw-docker, щоб запобігти випадковому відкриттю ваших контейнерів світові.
3. Arch завжди має останні оновлення: Arch, базовий дистрибутив, на якому побудовано OmarOS, є роллінг-дистрибутивом. Це означає, що будь-яка вразливість безпеки, яку виявлено та виправлено в будь-якому пакеті, швидко стає доступною для встановлення за допомогою omaros-update. Таким чином ви завжди запускаєте останні, найбезпечніші версії всього.
4. OmarOS підтримує власні пакети та дзеркало: OmarOS за замовчуванням покладається лише на пакети з власних репозиторіїв Arch core/extra/multilib і власного репозиторію пакетів OmarOS. Ви можете встановлювати програмне забезпечення безпосередньо з AUR, але базове встановлення цього не робить — лише кілька необов'язкових встановлень, як-от сторонні браузери, тягнуться з AUR.
5. Cloudflare захищає нас від DDoS: уся інфраструктура поширення OmarOS — ISO, пакети OmarOS, дзеркало Arch — захищена за грізним щитом Cloudflare від DDoS і розміщена на їхній CDN. Це забезпечує чудову доступність.

Зміна ваших паролів

У зашифрованому встановленні у вас два паролі: той, який розблоковує диск під час завантаження, і той, за допомогою якого ви входите та виконуєте sudo. Налаштування робить їх однаковими. Обидва можна змінити в розділі Оновити > Password у меню OmarOS — Drive Encryption для першого, User для другого. Зміна пароля диска спершу запитує поточний, тож тримайте його напоготові. Якщо зміну перервано, запустіть Drive Encryption знову: він запитає пароль, який розблоковує диск зараз, і завершить зміну.

Передавання машини, якою ви вже користувалися

Якщо ви передаєте свою машину комусь іншому, вам не потрібно перевстановлювати її. Запустіть Налаштування > Reset Computer у меню OmarOS, введіть reset для підтвердження та перезавантажтеся. Це стирає кожен обліковий запис користувача та все в /home, викидає всі пакети та системні зміни, які ви зробили після встановлення, і очищує ідентичність машини — мережеві з'єднання, ключі хостів і все. Те, що повертається, — це майстер налаштування з першого завантаження, готовий для нового власника ввести власне ім'я, пароль і пароль шифрування.

Це працює завдяки відновленню базового знімка, який робить встановлювач, тож доступно лише на машинах, встановлених з ISO OmarOS. А на диску без шифрування скидання — це видалення, а не безпечне стирання, тож якщо дані були конфіденційними, натомість зробіть свіже встановлення.

Sudo без пароля

Іноді ви хочете, щоб sudo перестав запитувати, найчастіше коли ШІ-агент виконує за вас довгий шматок системної роботи. Налаштування > Security > Passwordless Sudo запитує, як довго дозволяти доступ: 15 хвилин, 1 Hour, 1 Day або Permanently. Червоний значок попередження з'являється поряд з іншими індикаторами рядка меню, поки доступ активний. Клацніть його або запустіть команду знову, щоб вимкнути доступ. Ви також можете передати власну кількість хвилин (від 1 до 1440) за допомогою omaros-sudo-passwordless 30 або використати omaros-sudo-passwordless permanent.

Часовий доступ завершується автоматично, зокрема відразу після поновлення з призупинення, яке перетнуло кінцевий термін. Перезапуск комп'ютера завершує його достроково. Постійний доступ переживає перезавантаження й залишається ввімкненим, доки ви його не вимкнете.

Оновлення або видалення пакета налаштувань OmarOS завершує будь-який тимчасовий дозвіл до того, як зміниться його підтримка завершення. Якщо команда повідомляє про помилку авторизації або очищення, усуньте її, перш ніж намагатися ввімкнути інший дозвіл; помилка не означає, що доступ без пароля неактивний.

Будьте тверезими щодо цього: поки це ввімкнено, усе, що працює як ваш користувач, може робити будь-що як root без запиту. У цьому весь сенс, і в цьому ж увесь ризик.

Ключі підпису

ISO-образи релізів OmarOS підписані ключем підпису OmarOS. Його відбиток і публічний ключ розміщено на omaros.org/download. Пакети, які досі надходять із репозиторію Omarchy, pacman перевіряє за ключами з пакета omarchy-keyring, який також розгортає будь-які оновлення ключів.

Ви можете знайти підпис для будь-якого випуску ISO, додавши .sig до URL-адреси. Наприклад, https://iso.omaros.org/omaros-x.x.x.iso.sig.