CustomOS3.1 OBSIDIAN
الوضع الأمني للنظام
قيم عيّنة لتثبيت افتراضي. في CustomOS تقرأ هذه اللوحة النظام العامل.
جدار الحماية
nftables مفعّل
الوارد مرفوض افتراضيًا · مفعّل دائمًا
Kill switch
غير مفعَّل
يُفعَّل عند تشغيل نفق wg*/tun*
IDS
Suricata · IDS
مثبّت افتراضيًا · كشف، لا حظر
الوسط الحي
dm-verity
يُتحقَّق من squashfs عند الإقلاع · فشل مغلق (fail-closed)
القرص
فُتح قفل LUKS2
argon2id · ختم TPM2 اختياري
سلسلة الإقلاع
Secure Boot
shim → GRUB → النواة (مثبّت، amd64)
| التحكم | التثبيت الافتراضي | المرجع |
|---|---|---|
| تشفير القرص الكامل (LUKS2, argon2id) | مفعّل | §2.1 |
| مفتاح LUKS مختوم بـ TPM2 | اختياري، بعد التثبيت | §2.1bis |
| Secure Boot للنظام المثبّت | مفعّل (amd64) | §2.1ter |
| UKI موقّع (النواة + initrd + cmdline) | اختياري (amd64 + UEFI) | §2.19 |
| nftables: رفض الوارد افتراضيًا | مفعّل | §2.2 |
| Kill switch للنفق فقط | ملف اختياري | §2.2 |
| AppArmor في وضع الفرض · auditd · تقوية sysctl | مفعّل | §2.3–2.5 |
| محدِّث موقّع (TUF, Ed25519) + مقاومة تراجع TPM | مفعّل | §2.6 |
| dm-verity للوسط الحي | مفعّل | §2.9 |
| كتل dm-verity لـ /usr (مثبّت) | اختياري | §2.17 |
| سلامة الملفات عبر AIDE + Suricata IDS | مفعّل (كشف، لا حظر) | §2.13 · §2.16 |
| تشفير مقاوم للحوسبة الكمومية في الحركة | تبادل مفاتيح SSH فقط، SSH اختياري | §3.4 |
| نفق VPN / Tor | العملاء في الصورة، ولا شيء مُعدّ | §3.5 |
مصدر الحقيقة: docs/THREAT_MODEL.md في المستودع — وليس هذا العرض التجريبي.
$ harden-audit --live
اضغط Run لرؤية الناتج (التجريبي)
الحد الأدنى للمثبّت: 12+ حرفًا و3+ فئات أحرف. يُفحص كدالة صرفة؛ ولا يُخزَّن شيء.