CustomOS3.1 OBSIDIAN
Integritätskette
Von der Firmware bis zu jedem aus /usr gelesenen Block. Beispielwerte.
Startkette
Secure Boot
shim → GRUB → kernel · installiert, amd64
Signierte UKI
Nicht aktiviert
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Live-Medium
dm-verity
squashfs-Root-Hash in cmdline festgelegt
/usr (installiert)
In dieser Demo nicht ausgelesen
Opt-in · EROFS lz4hc · Rollback-Slot
AIDE
In dieser Demo nicht ausgelesen
Baseline und tägliche Prüfung bei einer Standardinstallation
auditd
unveränderlich
-e 2 · Identitäts- + exec-Regeln
ferran@customos:~$ sudo customos-verity-block status
Beispielausgabe des Befehls, keine Messung dieses Rechners.
✓ ein manipuliertes USB/ISO-squashfs (Start bricht mit Panic ab, fail-closed)
✓ Offline-Änderungen an /usr (E/A-Fehler beim Lesen)
✓ ein Trojaner-initrd (nur mit dem Opt-in für signierte UKI)
◑ der Rest des Root-Dateisystems ist normales ext4 innerhalb von LUKS (§3.3)
◑ ein lokaler Root kann Userspace-Kontrollen weiterhin abschalten (§3.8)
Zwei unabhängige Builds desselben Commits erzeugten eine byteidentische ISO, mit SOURCE_DATE_EPOCH und einem snapshot.debian.org-Pin. Prüfe das mit scripts/repro-check.sh.