CustomOS3.1 OBSIDIAN
Состояние защиты системы
Примерные значения для установки по умолчанию. В CustomOS эта панель читает данные работающей системы.
Межсетевой экран
nftables активен
входящие: запрет по умолчанию · всегда включено
Kill switch
Не активен
включается, когда поднят туннель wg*/tun*
IDS
Suricata · IDS
устанавливается по умолчанию · обнаружение, а не блокировка
Живой носитель
dm-verity
squashfs проверяется при загрузке · fail-closed
Диск
LUKS2 разблокирован
argon2id · запечатывание в TPM2 с opt-in
Цепочка загрузки
Secure Boot
shim → GRUB → ядро (установлено, amd64)
| Управление | Установка по умолчанию | Ссылка |
|---|---|---|
| Полное шифрование диска (LUKS2, argon2id) | вкл | §2.1 |
| Ключ LUKS запечатан в TPM2 | opt-in, после установки | §2.1bis |
| Secure Boot установленной системы | вкл (amd64) | §2.1ter |
| Подписанный UKI (ядро + initrd + cmdline) | opt-in (amd64 + UEFI) | §2.19 |
| nftables: входящие — запрет по умолчанию | вкл | §2.2 |
| Kill switch только через туннель | профиль opt-in | §2.2 |
| AppArmor в режиме enforcing · auditd · усиление sysctl | вкл | §2.3–2.5 |
| Подписанное обновление (TUF, Ed25519) + защита от отката в TPM | вкл | §2.6 |
| dm-verity живого носителя | вкл | §2.9 |
| Блочный dm-verity для /usr (установлено) | opt-in | §2.17 |
| Целостность файлов AIDE + Suricata IDS | вкл (обнаружение, а не блокировка) | §2.13 · §2.16 |
| Постквантовая криптография в трафике | Только обмен ключами SSH, SSH с opt-in | §3.4 |
| VPN-туннель / Tor | клиенты в образе, ничего не настроено | §3.5 |
Источник истины: docs/THREAT_MODEL.md в репозитории — а не это демо.
$ harden-audit --live
нажмите Run, чтобы увидеть (демо) вывод
Минимум установщика: 12+ символов и 3+ класса символов. Проверяется как чистая функция; ничего не сохраняется.