CustomOS3.1 OBSIDIAN
Cadena de integridad
Del firmware a cada bloque leído de /usr. Valores de muestra.
Cadena de arranque
Secure Boot
shim → GRUB → kernel · instalado, amd64
UKI firmada
No habilitado
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Medio live
dm-verity
hash raíz de squashfs fijado en cmdline
/usr (instalado)
no leído en esta demo
opt-in · EROFS lz4hc · slot de rollback
AIDE
no leído en esta demo
línea base y comprobación diaria en una instalación por defecto
auditd
inmutable
-e 2 · reglas de identidad + exec
ferran@customos:~$ sudo customos-verity-block status
Transcripción de muestra del comando, no una lectura de esta máquina.
✓ un squashfs de USB/ISO manipulado (el arranque entra en pánico, fail-closed)
✓ ediciones sin conexión de /usr (Error de E/S al leer)
✓ un initrd troyanizado (solo con el opt-in de UKI firmada)
◑ el resto del sistema de ficheros raíz es ext4 normal dentro de LUKS (§3.3)
◑ un root local aún puede desactivar los controles de espacio de usuario (§3.8)
Dos compilaciones independientes del mismo commit produjeron una ISO idéntica byte a byte, con SOURCE_DATE_EPOCH y una fijación de snapshot.debian.org. Verifícalo con scripts/repro-check.sh.