CustomOS3.1 OBSIDIAN
Posture du système
Valeurs d'exemple d'une installation par défaut. Sur CustomOS, ce panneau lit le système en cours d'exécution.
Pare-feu
nftables actif
entrant refusé par défaut · toujours actif
Kill switch
Non armé
s'arme quand un tunnel wg*/tun* est actif
IDS
Suricata · IDS
installé par défaut · détection, pas de blocage
Support live
dm-verity
squashfs vérifié au démarrage · fail-closed
Disque
LUKS2 déverrouillé
argon2id · scellement TPM2 en opt-in
Chaîne de démarrage
Secure Boot
shim → GRUB → kernel (installé, amd64)
| Control | Installation par défaut | Ref. |
|---|---|---|
| Chiffrement intégral du disque (LUKS2, argon2id) | activé | §2.1 |
| Clé LUKS scellée dans le TPM2 | opt-in, après l'installation | §2.1bis |
| Secure Boot du système installé | activé (amd64) | §2.1ter |
| UKI signée (kernel + initrd + cmdline) | opt-in (amd64 + UEFI) | §2.19 |
| nftables : entrant refusé par défaut | activé | §2.2 |
| Kill switch tunnel uniquement | profil opt-in | §2.2 |
| AppArmor en mode enforcing · auditd · durcissement sysctl | activé | §2.3–2.5 |
| Mise à jour signée (TUF, Ed25519) + anti-rollback TPM | activé | §2.6 |
| dm-verity du support live | activé | §2.9 |
| dm-verity par blocs de /usr (installé) | opt-in | §2.17 |
| Intégrité des fichiers AIDE + IDS Suricata | activé (détection, pas de blocage) | §2.13 · §2.16 |
| Cryptographie post-quantique dans le trafic | Échange de clés SSH uniquement, SSH en opt-in | §3.4 |
| Tunnel VPN / Tor | clients dans l'image, rien de configuré | §3.5 |
Source de vérité : docs/THREAT_MODEL.md dans le dépôt — pas cette démo.
$ harden-audit --live
appuyez sur Run pour voir la sortie (démo)
Minimum de l'installateur : 12+ caractères et 3+ classes de caractères. Vérifié comme une fonction pure ; rien n'est stocké.