CustomOS3.1 OBSIDIAN
Systemzustand
Beispielwerte für eine Standardinstallation. Unter CustomOS liest dieses Panel das laufende System aus.
Firewall
nftables aktiv
eingehend standardmäßig verweigert · immer aktiv
Kill switch
Nicht scharf
wird scharf, sobald ein wg*/tun*-Tunnel aktiv ist
IDS
Suricata · IDS
standardmäßig installiert · Erkennung, kein Blockieren
Live-Medium
dm-verity
squashfs beim Start verifiziert · fail-closed
Datenträger
LUKS2 entsperrt
argon2id · TPM2-Versiegelung per Opt-in
Startkette
Secure Boot
shim → GRUB → kernel (installiert, amd64)
| Control | Standardinstallation | Ref. |
|---|---|---|
| Vollständige Festplattenverschlüsselung (LUKS2, argon2id) | an | §2.1 |
| LUKS-Schlüssel an TPM2 versiegelt | Opt-in, nach der Installation | §2.1bis |
| Secure Boot des installierten Systems | an (amd64) | §2.1ter |
| Signierte UKI (kernel + initrd + cmdline) | opt-in (amd64 + UEFI) | §2.19 |
| nftables: eingehend standardmäßig verweigert | an | §2.2 |
| Kill switch nur für den Tunnel | Opt-in-Profil | §2.2 |
| AppArmor im Enforcing-Modus · auditd · sysctl-Härtung | an | §2.3–2.5 |
| Signierter Updater (TUF, Ed25519) + TPM-Anti-Rollback | an | §2.6 |
| dm-verity des Live-Mediums | an | §2.9 |
| Block-dm-verity von /usr (installiert) | opt-in | §2.17 |
| AIDE-Dateiintegrität + Suricata IDS | an (Erkennung, kein Blockieren) | §2.13 · §2.16 |
| Post-Quanten-Kryptografie im Datenverkehr | Nur SSH-Schlüsselaustausch, SSH per Opt-in | §3.4 |
| VPN-Tunnel / Tor | Clients im Image, nichts konfiguriert | §3.5 |
Maßgebliche Quelle: docs/THREAT_MODEL.md im Repository — nicht diese Demo.
$ harden-audit --live
Run drücken, um die (Demo-)Ausgabe zu sehen
Minimum des Installationsprogramms: 12+ Zeichen und 3+ Zeichenklassen. Wird als reine Funktion geprüft; nichts wird gespeichert.