CustomOS3.1 OBSIDIAN
Chaîne d'intégrité
Du firmware à chaque bloc lu depuis /usr. Valeurs d'exemple.
Chaîne de démarrage
Secure Boot
shim → GRUB → kernel · installé, amd64
UKI signée
Non activé
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Support live
dm-verity
hash racine de squashfs figé dans cmdline
/usr (installé)
non lu dans cette démo
opt-in · EROFS lz4hc · slot de rollback
AIDE
non lu dans cette démo
référence et contrôle quotidien sur une installation par défaut
auditd
immuable
-e 2 · règles d'identité + exec
ferran@customos:~$ sudo customos-verity-block status
Transcription d'exemple de la commande, pas une lecture de cette machine.
✓ un squashfs USB/ISO altéré (panique au démarrage, fail-closed)
✓ modifications hors ligne de /usr (Erreur d'E/S en lecture)
✓ un initrd piégé (uniquement avec l'opt-in UKI signée)
◑ le reste du système de fichiers racine est de l'ext4 normal dans LUKS (§3.3)
◑ un root local peut encore désactiver les contrôles de l'espace utilisateur (§3.8)
Deux compilations indépendantes du même commit ont produit une ISO identique octet pour octet, avec SOURCE_DATE_EPOCH et une épingle snapshot.debian.org. Vérifiez avec scripts/repro-check.sh.