CustomOS3.1 OBSIDIAN
Postura do sistema
Valores de exemplo de uma instalação padrão. No CustomOS, este painel lê o sistema em execução.
Firewall
nftables ativo
entrada negada por padrão · sempre ativo
Kill switch
Não armado
arma quando um túnel wg*/tun* está ativo
IDS
Suricata · IDS
instalado por padrão · detecção, não bloqueio
Mídia live
dm-verity
squashfs verificado na inicialização · fail-closed
Disco
LUKS2 desbloqueado
argon2id · selagem com TPM2 opt-in
Cadeia de inicialização
Secure Boot
shim → GRUB → kernel (instalado, amd64)
| Control | Instalação padrão | Ref. |
|---|---|---|
| Criptografia de disco completo (LUKS2, argon2id) | ativado | §2.1 |
| Chave LUKS selada no TPM2 | opt-in, pós-instalação | §2.1bis |
| Secure Boot do sistema instalado | ativado (amd64) | §2.1ter |
| UKI assinada (kernel + initrd + cmdline) | opt-in (amd64 + UEFI) | §2.19 |
| nftables: entrada negada por padrão | ativado | §2.2 |
| Kill switch somente por túnel | perfil opt-in | §2.2 |
| AppArmor em modo enforcing · auditd · endurecimento com sysctl | ativado | §2.3–2.5 |
| Atualizador assinado (TUF, Ed25519) + anti-rollback com TPM | ativado | §2.6 |
| dm-verity da mídia live | ativado | §2.9 |
| dm-verity por blocos de /usr (instalado) | opt-in | §2.17 |
| Integridade de arquivos com AIDE + IDS Suricata | ativado (detecção, não bloqueio) | §2.13 · §2.16 |
| Criptografia pós-quântica no tráfego | Somente troca de chaves SSH, SSH opt-in | §3.4 |
| Túnel VPN / Tor | clientes na imagem, nada configurado | §3.5 |
Fonte da verdade: docs/THREAT_MODEL.md no repositório — não esta demo.
$ harden-audit --live
pressione Run para ver a saída (demo)
Mínimo do instalador: 12+ caracteres e 3+ classes de caracteres. Verificado como uma função pura; nada é armazenado.