Názory k článku
Správce balíčků Nix má kritickou zranitelnost umožňující ovládnutí systému

Já myslím, že prvotní chyba nastala už ve chvíli, kdy si někdo řekl, že je dobrý nápad, aby balíčkovací systém měl démona. Vše ostatní je jen důsledek...

Tak ono to samozřejmě nějakej důvod má. Ale nepovažuji se uplně za Nix odborníka, takže vás odkážu na samostudium, či vyjádření někoho, kdo je s Nixem lépe obeznámený,

Nix je multi-user a demon resi, aby uzivatele nemuseli mit primy zapis do /nix/store (primy zapis nema ani root)

Proc by proboha mel mit uzivatel pravo cokoli instalovat nebo aktualizovat ... nedovedu si predstavit nic horsiho.

Samozrejme ma moznost instalovat jen do sveho profilu, ne do systemoveho. Hodi se to napriklad pri vyvoji, muzete si nadefinovat nix shell s baliky ktere potrebujete, ktere se nainstaluji jen do uzivatelskeho profilu (a nejen to, baliky budou dostupne, jen pokud bude aktivovany shell). Ziskate tim reprodukovatelne prostredi, da se tim krasne eliminovat Docker.

How Nix Works https://nixos.org/guides/how-nix-works/

Nix pro vývojáře (Michal Sojka) / InstallFest (starsi, ale na pochopeni zkladnich principu staci, jen se tam neresi flakes) https://www.youtube.com/watch?v=qy0BmMX5vHE

Uzivatel NEMA co kam kde instalovat. Uz jen proto, ze pokud je to uzivatel, rozhoduje o instalovanem SW spravce, kterej mimo jine resi i licence a pochopitelne taky bezpecnost aplikaci.

Ale jak vidno, tux kopiruje moresy MS, ten jejich store se taky neda nijak normalne vypnout.

Nix umožňuje (v defaultní instalaci) to, aby jím balíky instalovali i neprivilegovaní uživatelé. Normálně to je bezpečné a může to být velmi zajímavá výhoda.

Ale takové nastavení zvyšuje riziko podobných chyb - tady nebylo bezpečné instalovat podle "zdrojových receptů" z nedůvěryhodného zdroje. (zdroje binárek neprivilegovaní změnit nemohou)

9. 4. 2026, 17:49 editováno autorem komentáře

Ono z toho plyne i víc možností. Třeba devenv a tak. Obecně hodnotit Nix stejnou metrikou jako běžné balíčkovací systémy moc nejde.

Zda se, ze je to bezpecne az na pripady, kdy to bezpecne neni :-D

Je to věc, kterou v při čipu lze udělat bezpečně. V principu by mohlo být bezpečné umožnit instalaci balíčků z libovolných zdrojů, pokud se vyřeší potenciální problémy (např. SUID/SGID). Potom se ten sdílený daemon může chovat jako deduplikující úložiště a cache (když stejný balíček chtějí dva uživatelé, stáhne se jen jednou a uloží se též jen jednou), a nemusí řešit nic dalšího.

To, že se implementace nepovedla, je jiná věc. Kdybychom to měli brát jako argument proti, pak bychom nemohli mít prakticky nic.

Třetí věc je, jestli je dobré to mít defaultně zapnuté. Přecejen to zvětšuje attack surface.