CustomOS3.1 OBSIDIAN
Postura del sistema
Valores de muestra de una instalación predeterminada. En CustomOS este panel lee el sistema en ejecución.
Cortafuegos
nftables activo
entrada denegada por defecto · siempre activo
Kill switch
No armado
se arma cuando hay un túnel wg*/tun* activo
IDS
Suricata · IDS
instalado por defecto · detección, no bloqueo
Medio live
dm-verity
squashfs verificado en el arranque · fail-closed
Disco
LUKS2 desbloqueado
argon2id · sellado con TPM2 opt-in
Cadena de arranque
Secure Boot
shim → GRUB → kernel (instalado, amd64)
| Control | Instalación predeterminada | Ref. |
|---|---|---|
| Cifrado de disco completo (LUKS2, argon2id) | activado | §2.1 |
| Clave LUKS sellada en TPM2 | opt-in, tras la instalación | §2.1bis |
| Secure Boot del sistema instalado | activado (amd64) | §2.1ter |
| UKI firmada (kernel + initrd + cmdline) | opt-in (amd64 + UEFI) | §2.19 |
| nftables: entrada denegada por defecto | activado | §2.2 |
| Kill switch de solo túnel | perfil opt-in | §2.2 |
| AppArmor en modo enforcing · auditd · endurecimiento con sysctl | activado | §2.3–2.5 |
| Actualizador firmado (TUF, Ed25519) + anti-rollback con TPM | activado | §2.6 |
| dm-verity del medio live | activado | §2.9 |
| dm-verity por bloques de /usr (instalado) | opt-in | §2.17 |
| Integridad de ficheros con AIDE + IDS Suricata | activado (detección, no bloqueo) | §2.13 · §2.16 |
| Criptografía poscuántica en el tráfico | Solo intercambio de claves SSH, SSH opt-in | §3.4 |
| Túnel VPN / Tor | clientes en la imagen, nada configurado | §3.5 |
Fuente de verdad: docs/THREAT_MODEL.md en el repositorio — no esta demo.
$ harden-audit --live
pulsa Run para ver la salida (demo)
Mínimo del instalador: 12+ caracteres y 3+ clases de caracteres. Se comprueba como función pura; no se guarda nada.