Technik im Detail

Für alle, die es genau wissen wollen: Aufbau, Besonderheiten, Messwerte und Tests von NULLos 0.3.4 – mit den guten und den schlechten Zahlen.

Wo gemessen wurde: Die Messwerte stammen, wenn nicht anders gesagt, aus QEMU/TCG auf einem MacBook Air M5, x86_64 dort emuliert. Echte Hardware ist ungetestet.

Aufbau

Startkette: UEFI-Firmware → Bootloader nb lädt Kernel nk und init.img → Kernel → ini als erster Prozess → Anmeldung lgn bzw. Desktop ds, an der Textkonsole die Shell s.
Kernel: ein kleiner monolithischer Kernel mit klaren inneren Grenzen – Treiber und Dateisysteme reden nur über feste Schnittstellen mit dem Rest. Der Kern liegt in der oberen Adresshälfte, Benutzerspeicher erreicht er nur über eigene Kopierfunktionen. Alles Maschinenabhängige steckt in einer eigenen Schicht je CPU.
Systemaufrufe: 94 benannte Aufrufe (Vertrag „Fassung 17“). Nummern werden nie umgedeutet, nur ergänzt.
Sprachen: alles C11, nur der Startcode in Assembler. Gezählt am 31.10.2026: rund 510 000 Zeilen C, 77 000 Zeilen Header und 1 600 Zeilen Assembler – das sind 0,3 % des C-Umfangs.
Umfang je Teil (grob, Zeilen C und Assembler): Werkzeuge ≈ 461 000, Kernel ≈ 35 000, gemeinsame Bibliotheken ≈ 28 500, Compiler ≈ 19 600, C-Bibliothek ≈ 15 800, Desktop ≈ 11 800, Maschinenschicht ≈ 8 300, Bootloader ≈ 1 600.
Kernel-Bausteine (x86_64): UEFI/GOP, APIC/IOAPIC, HPET, bis 16 CPUs mit Planer je CPU, ELF-Lader (fest und PIE), fork/exec/spawn, Signale, Pseudo-Terminals, VFS mit ramfs/devfs/FAT, AHCI/NVMe/virtio-blk, xHCI mit Tastatur, Maus, USB-Sticks und USB-Netz, Netzkarten virtio-net/e1000/e1000e/igb, eigener TCP/IP-Stapel (IPv4 und IPv6), Sockets, IOMMU (VT-d, AMD-Vi), ACPI mit AML, Ton über Intel HDA und virtio-sound.
Architekturen: gebaut wird für x86_64 (Download), ARM64, RISC-V 64 und RISC-V 32. Den Download gibt es nur für x86_64 mit UEFI.
Abbilder 0.3.4: nullos-0.3.4-x86_64.img 81 788 928 Byte, .iso 62 556 160 Byte, 418 Programme in /nib. Plattenabbild mit GPT und EFI-Partition (FAT32), die ISO ist hybrid.
Werkzeuge: 424 Einträge im Katalog: 311 fertig, 107 teilweise, 5 offen, 1 ausgelassen.

Was anders ist

Ausweis je Programm: Jedes Werkzeug trägt einen Ausweis mit seinen Rechten, der Kern erzwingt ihn. Ein Programm mit ungültigem Ausweis startet nicht. Rechte fließen nur abwärts: Ein Programm bekommt nie mehr, als sein Ausweis erlaubt, und nie mehr, als der hat, der es startet. Der Browser Flitz darf zum Beispiel keine Dateien schreiben, nicht lauschen und keine Prozesse starten.
Kurze Befehle: die häufigsten mit einem Buchstaben (c kopieren, m verschieben, l auflisten), sonst zwei bis drei. Langname und Linux-Name (cp, ls) gehen immer mit, damit Bash-Skripte laufen.
Gespiegelte Systemnamen: Namen mit Linux-Vorbild heißen rückwärts: /nib, /cte, /ved, /toob, Verwalter toor, Druckdienst dpl. Eigene deutsche Namen und Dateiformat-Endungen bleiben.
Netzstille ab Werk: Ohne Nutzeraktion sendet NULLos kein einziges Paket – kein DHCP, DNS, NTP, mDNS, keine Update-Prüfung, keine Telemetrie. Das Netz geht erst mit net up oder dem Netz-Schalter an. Die Firewall ist ab Werk an, eingehend ist zu.
Anmeldung nur mit Passwort: Ein Standard-Passwort gibt es nicht. Beim ersten Start legt man es fest, mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Zahl und Sonderzeichen, vom System erzwungen.
Demo-Modus: F2 im Fenster „Passwort festlegen“ setzt ein Zufallspasswort nach diesen Regeln, die Datei „Demo-Zugang“ liegt auf dem Schreibtisch, die Leiste zeigt DEMO. Das Demo-Merkmal lässt sich nur in einer virtuellen Maschine setzen und nur einmal bis zum Ausschalten.
Startprüfung: Der Bootloader prüft Kernel und init.img gegen die beim Bau eingetragenen Werte (SHA-256).
Eigene C-Bibliothek: von Grund auf neu geschrieben. Im Vergleich mit der macOS-libc Byte für Byte gleich bei printf (5000 Zufallszahlen), strtod und strftime in sechs Zeitzonen. Kein Programm nutzt eine Funktion der macOS-libc.
Eigener C-Compiler cc: C11-Compiler in C11 mit eigenem Assembler und Linker, Code für x86_64, ARM64 und RISC-V 64. Er übersetzt sich selbst, Stufe 2 und Stufe 3 sind byte-gleich, auch auf NULLos in QEMU. 380 von 402 Werkzeugen übersetzen mit cc und bestehen ihre Tests (Stand 29.10.).
Eigenes TLS: TLS 1.3 (Client und Server) und 1.2 in C11 ohne fremde Bibliothek: X25519, ChaCha20-Poly1305, AES-128-GCM, Ed25519, ECDSA P-256, X.509-Prüfung, AES ohne Tabellen gegen Seitenkanäle. SSH-Client ssh und -Server ssd mit eigener Kryptografie, geprüft gegen OpenSSH 10.3.
Browser Flitz: eigene Engine ohne fremden Code: HTTP/1.1, HTML nach WHATWG, CSS mit Flexbox und Grid, Bilder PNG/GIF/JPEG/WebP/SVG und mehr, eigener Schriftleser. Die Seite läuft in einem eigenen Prozess mit engem Ausweis, der Desktop zeichnet nur das Ergebnis.
Wenige Fremddaten, alle mit Herkunft und Lizenz: die Wurzelzertifikate (117 Wurzeln, aus zwei Quellen gegengeprüft), die Desktop-Schriften (SIL OFL 1.1, Lizenztexte im Abbild), CPython als nachladbares Fremdpaket (nicht im Abbild, ab Werk aus) und Intel-WLAN-Firmware als Fremdpaket (abschaltbar). Fremde Bibliotheken gibt es nicht.
Signierte Releases: Die Prüfsummen sind signiert (Ed25519, signify-Format, eigenes Werkzeug sgn) (Prüfung mit signify -C). Das erste signierte Release war 0.3.1.
Release-Abbilder nur Maschinencode: keine Symbole, Debug-Abschnitte, Compiler-Kennungen, Quellpfade oder Testprogramme. Eine Prüfung bricht den Bau ab, wenn etwas davon drin ist.
Desktop mit Verhaltensprofilen: Das Verhalten (wie macOS, Windows 11, GNOME, KDE, Xfce oder i3) ist ein Profil aus 56 Schlüsseln, getrennt von der Optik. Zeichnen und Schriftrasterung sind eigen.
Alles mit IPv6: Jedes Netzwerkzeug kann IPv4 und IPv6 gleichwertig. Ohne IPv6 gilt keins als fertig.

Messwerte

Was	Wert	Wo
Start bis zur Shell (0.3)	etwa 40 s, beobachtet, nicht genau gemessen	UTM, emuliert
Zeitgeber in der Startphase	339 Takte in 3498 ms bei 100 Hz Soll – unter TCG etwa 10 % des Solltakts	QEMU/TCG
Ohne `virtio-rng-pci`	das erste Lesen von Zufall wartet rund 20 s nach dem Start – deshalb ist das Gerät in allen Anleitungen Pflicht	QEMU/TCG
Freier Speicher nach den Systemtests	≈ 181 MB von 256 MB, ohne Desktop, kein Speicherleck	QEMU/TCG
Netzstille	300 s ohne Bedienung: 0 Pakete von NULLos. Vorher sendet die Firmware OVMF zwei IPv6-Pakete, die sich in QEMU abschalten lassen	QEMU mit Mitschnitt
Mehrere CPUs	4 CPUs: ein rechnendes Kind 355 ms, vier Kinder 461 ms (auf einer CPU etwa 1,4 s)	QEMU, Modell raspi4b (ARM64), kein echter Pi
Kryptografie	AES-128-GCM ohne Tabellen ≈ 26 MB/s (mit Tabellen wären es 96 MB/s), ChaCha20 ≈ 930 MB/s – darum bietet NULLos ChaCha20 zuerst an	nativ auf dem Mac, nicht in QEMU
Desktop: ein volles Bild zeichnen	≈ 2 ms bei 1280×800, ≈ 3,5 ms bei 2560×1600	nativ auf dem Mac
Bauen mit ccache	ohne 92 s, ccache kalt 122 s, warm 24 s (49,9 % Treffer). Die Ergebnisse mit ccache waren nicht byte-gleich zum Bau ohne – das Archiv `init.img` trägt Zeitstempel	Bau auf dem Mac
Fernrechnen (RDP/VNC)	nicht gemessen	–

Tests

Boot-Test make check: 16 QEMU-Läufe ohne Fenster, Befehle über die serielle Konsole. Er prüft unter anderem die Startprüfung, absichtliche Kernel-Paniken mit lesbarer Ausgabe, W^X und Stapelschutz, das Löschen des Speichers beim Ausschalten, Programme, Systemaufrufe (94, 81 und 62 Fälle), vier CPUs, IOMMU, Start von GPT/FAT32, Werkzeuge und Shell, die C-Bibliothek, Netz (DHCPv4, SLAAC, TCP 1 MB, zwei NULLos an einer Leitung), Tastatur und virtuelle Konsolen. Letzter vollständiger Lauf: 158 ok, 0 FEHL. ARM64: 73 ok, RISC-V 64: 92 ok.
Werkzeuge: 416 von 417 haben einen eigenen Test, make test lässt alle auf dem Mac laufen. Ein Abgleich baut jedes Werkzeug frisch und schreibt den Stand auf.
Desktop: 86 Fälle mit 275 Zustandsprüfungen, je Profil dieselben Handgriffe.
Fuzzing: 56 Ziele mit libFuzzer und AFL++ unter ASan und UBSan, darunter HTML, CSS, Bilder und Schriften des Browsers, SSH, TLS, Antworten von DNS, DHCP und NFS, Dateisysteme und Partitionen, der ganze USB-Stapel des Kernels und der Passwort-Tresor. Jeder Fund bekommt einen bleibenden Test.
Compiler: 15 Testdateien mit rund 600 Prüfungen, ABI-Test gegen clang, Selbstübersetzung in drei Stufen, Assembler-Ausgabe Byte für Byte gegen clang.
Release: Jedes Release startet in QEMU in sechs Arten (SATA, NVMe, USB-Stick, CD, ISO als Stick, ISO als Platte). Geprüft werden Prüfsummen, Signatur, Erststart mit Zufallspasswort und zweite Anmeldung, Programme und Ausschalten, dazu die Netzstille mit 300 s Mitschnitt und das Abbild auf Symbole und Pfade.
Nicht getestet: echte Hardware. Alle Treiber sind in QEMU fertig, echte Geräte stehen aus. ARM64 und RISC-V 64 laufen nur in QEMU, RISC-V 32 ohne MMU ebenso, ein ESP32-C5 ist noch nicht angeschlossen. DHCPv6 ist ungeprüft, weil QEMU keinen Server hat.

Bewusste Grenzen

Nichts bleibt: / liegt im Arbeitsspeicher. Nach dem Ausschalten ist alles weg, auch das Passwort. Eine Datenpartition: kommt noch
Desktop: ein Prototyp, teilweise fertig. Das nächste große Release 0.4 kommt erst, wenn er rund läuft wie ein echter Desktop.
Werkzeuge: 107 von 424 sind erst „teilweise“, vor allem Hardware-Infos, Datenträger, Netzwerk, Grundanwendungen und Multimedia.
Browser Flitz: teilweise, noch ohne JavaScript.
Fernrechnen (Zugriff über RDP und VNC): in Arbeit, Test erfolgreich, kommt mit einer der nächsten Versionen.
Wi-Fi-Sensing: experimentell.
Kein Entwicklerpaket: Ein SDK für fremde Programme gibt es bewusst nicht, auch nicht im Release.