CustomOS3.1 OBSIDIAN
システムの状態
既定インストールのサンプル値。CustomOS ではこのパネルは稼働中のシステムを読み取ります。
ファイアウォール
nftables 有効
受信は既定で拒否 · 常に有効
キルスイッチ
未有効化
wg*/tun* トンネルが起動すると有効化
IDS
Suricata · IDS
既定でインストール · 検出のみ、ブロックはしない
ライブメディア
dm-verity
squashfs をブート時に検証 · フェイルクローズ
ディスク
LUKS2 ロック解除済み
argon2id · TPM2 シールはオプトイン
ブートチェーン
Secure Boot
shim → GRUB → カーネル（インストール済み、amd64）
| 制御 | 既定のインストール | 参照 |
|---|---|---|
| ディスク全体の暗号化（LUKS2、argon2id） | オン | §2.1 |
| LUKS 鍵を TPM2 にシール済み | オプトイン、インストール後 | §2.1bis |
| インストール済みシステムの Secure Boot | オン（amd64） | §2.1ter |
| 署名付き UKI（カーネル + initrd + cmdline） | オプトイン（amd64 + UEFI） | §2.19 |
| nftables 受信は既定で拒否 | オン | §2.2 |
| トンネル限定キルスイッチ | オプトインのプロファイル | §2.2 |
| AppArmor enforce · auditd · sysctl ハードニング | オン | §2.3–2.5 |
| 署名付きアップデーター（TUF、Ed25519）+ TPM ロールバック対策 | オン | §2.6 |
| ライブメディアの dm-verity | オン | §2.9 |
| /usr（インストール済み）のブロック単位 dm-verity | オプトイン | §2.17 |
| AIDE ファイル整合性 + Suricata IDS | オン（検出のみ、ブロックはしない） | §2.13 · §2.16 |
| 通信内の耐量子暗号 | SSH は鍵交換のみ、SSH はオプトイン | §3.4 |
| VPN トンネル / Tor | イメージにクライアントあり、何も設定されていません | §3.5 |
信頼できる情報源：リポジトリの docs/THREAT_MODEL.md — このデモではありません。
$ harden-audit --live
「Run」を押すと（デモの）出力が表示されます
インストーラーの最小要件：12 文字以上、かつ 3 種類以上の文字種。純粋関数としてチェックされ、何も保存されません。