CustomOS3.1 OBSIDIAN
무결성 체인
펌웨어부터 /usr에서 읽는 모든 블록까지. 샘플 값.
부팅 체인
Secure Boot
shim → GRUB → 커널 · 설치됨, amd64
서명된 UKI
사용 안 함
옵트인 · CUSTOMOS_UKI=1 · amd64 + UEFI
라이브 미디어
dm-verity
squashfs 루트 해시를 cmdline에 고정
/usr (설치됨)
이 데모에서는 읽지 않음
옵트인 · EROFS lz4hc · 롤백 슬롯
AIDE
이 데모에서는 읽지 않음
기본 설치의 기준선 및 일일 점검
auditd
불변
-e 2 · 신원 + 실행 규칙
ferran@customos:~$ sudo customos-verity-block status
명령의 예시 출력이며, 이 기기의 실제 측정값이 아닙니다.
✓ 변조된 USB/ISO squashfs (부팅 시 panic, fail-closed)
✓ /usr에 대한 오프라인 편집 (읽기 중 I/O 오류)
✓ 트로이 목마가 심어진 initrd (서명된 UKI를 옵트인한 경우에만)
◑ 루트 파일 시스템의 나머지는 LUKS 안의 일반 ext4(§3.3)
◑ 로컬 root는 여전히 사용자 공간 제어를 끌 수 있습니다(§3.8)
같은 커밋을 독립적으로 두 번 빌드해 SOURCE_DATE_EPOCH와 snapshot.debian.org 고정으로 바이트 단위로 동일한 ISO를 만들었습니다. scripts/repro-check.sh로 검증하세요.