Cifrado de disco
El instalador siempre cifra la partición raíz con LUKS2.
- cipher
- aes-xts-plain64 · clave de 512 bits
- KDF
- argon2id
- keyslot 0
- frase de contraseña (12+ caracteres, exigido por el instalador)
- keyslot 1
- TPM2 — vacío (opt-in: customos-tpm-enroll)
- /boot
- ext4 sin cifrar — ver §3.1 (la UKI firmada cierra la mitad del initrd)
Valores de muestra. El sellado con TPM2 se ofrece en el primer inicio de sesión solo si existe /dev/tpmrm0; la frase de contraseña se conserva siempre como respaldo.
SESIÓN BLOQUEADA
pantalla de bienvenida lightdm Obsidian · solo vista previa
Bloqueo automático a los 5 min. Esto es una vista previa visual; no desbloquea nada.