CustomOS3.1 OBSIDIAN
Cadeia de integridade
Do firmware a cada bloco lido de /usr. Valores de exemplo.
Cadeia de inicialização
Secure Boot
shim → GRUB → kernel · instalado, amd64
UKI assinada
Não habilitado
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Mídia live
dm-verity
hash raiz do squashfs fixado na cmdline
/usr (instalado)
não lido nesta demonstração
opt-in · EROFS lz4hc · slot de rollback
AIDE
não lido nesta demonstração
linha de base e verificação diária numa instalação por defeito
auditd
imutável
-e 2 · regras de identidade + exec
ferran@customos:~$ sudo customos-verity-block status
Transcrição de exemplo do comando, não uma leitura desta máquina.
✓ um squashfs de USB/ISO adulterado (a inicialização entra em pânico, fail-closed)
✓ edições offline em /usr (Erro de E/S na leitura)
✓ um initrd trojanizado (somente com o opt-in da UKI assinada)
◑ o resto do sistema de arquivos raiz é ext4 normal dentro do LUKS (§3.3)
◑ um root local ainda pode desativar os controles do espaço de usuário (§3.8)
Dois builds independentes do mesmo commit produziram uma ISO idêntica byte a byte, com SOURCE_DATE_EPOCH e um pin de snapshot.debian.org. Verifique com scripts/repro-check.sh.