ディスク暗号化
インストーラーは常に LUKS2 でルートパーティションを暗号化します。
- cipher
- aes-xts-plain64 · 512 ビット鍵
- KDF
- argon2id
- keyslot 0
- パスフレーズ（12 文字以上、インストーラーが強制）
- keyslot 1
- TPM2 — 空（オプトイン：customos-tpm-enroll）
- /boot
- 暗号化されていない ext4 — §3.1 を参照（署名付き UKI で initrd 側は塞がる）
サンプル値。TPM2 シールは /dev/tpmrm0 が存在する場合のみ初回ログイン時に提案され、パスフレーズは常にフォールバックとして保持されます。
セッションロック中
lightdm Obsidian グリーター · プレビューのみ
5 分で自動ロック。これは見た目のプレビューで、何もロック解除しません。