디스크 암호화
설치 프로그램은 항상 LUKS2로 루트 파티션을 암호화합니다.
- cipher
- aes-xts-plain64 · 512비트 키
- KDF
- argon2id
- keyslot 0
- 암호(12자 이상, 설치 프로그램이 강제)
- keyslot 1
- TPM2 — 비어 있음 (옵트인: customos-tpm-enroll)
- /boot
- 암호화되지 않은 ext4 — §3.1 참조(서명된 UKI가 initrd 쪽을 막아 줍니다)
샘플 값. TPM2 봉인은 /dev/tpmrm0가 있을 때만 첫 로그인 시 제안되며, 암호는 항상 대체 수단으로 유지됩니다.
세션 잠김
lightdm Obsidian 로그인 화면 · 미리보기 전용
5분 후 자동 잠금. 이것은 시각적 미리보기이며 아무것도 잠금 해제하지 않습니다.