CustomOS3.1 OBSIDIAN
Цепочка целостности
От прошивки до каждого блока, читаемого из /usr. Примерные значения.
Цепочка загрузки
Secure Boot
shim → GRUB → ядро · установлено, amd64
Подписанный UKI
Не включено
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Живой носитель
dm-verity
корневой хеш squashfs закреплён в cmdline
/usr (установлено)
в этой демонстрации не считывается
opt-in · EROFS lz4hc · слот отката
AIDE
в этой демонстрации не считывается
базовый снимок и ежедневная проверка в установке по умолчанию
auditd
неизменяемо
-e 2 · правила identity + exec
ferran@customos:~$ sudo customos-verity-block status
Образец вывода команды, а не показания этого компьютера.
✓ подменённый squashfs на USB/ISO (паника при загрузке, fail-closed)
✓ офлайн-изменения /usr (Ошибка ввода-вывода при чтении)
✓ троянский initrd (только с opt-in подписанного UKI)
◑ остальная корневая ФС — обычный ext4 внутри LUKS (§3.3)
◑ локальный root всё ещё может отключить средства контроля в пользовательском пространстве (§3.8)
Две независимые сборки одного и того же коммита дали побайтово идентичный ISO, с SOURCE_DATE_EPOCH и привязкой к snapshot.debian.org. Проверьте с помощью scripts/repro-check.sh.