CustomOS3.1 OBSIDIAN
Sistem duruşu
Varsayılan bir kurulum için örnek değerler. CustomOS'ta bu panel çalışan sistemi okur.
Güvenlik duvarı
nftables etkin
gelen trafik varsayılan olarak reddedilir · her zaman açık
Kill switch
Devrede değil
wg*/tun* tüneli ayaktayken devreye girer
IDS
Suricata · IDS
varsayılan olarak kurulu · algılama, engelleme değil
Canlı ortam
dm-verity
squashfs önyüklemede doğrulanır · fail-closed
Disk
LUKS2 kilidi açıldı
argon2id · TPM2 mühürleme isteğe bağlı
Önyükleme zinciri
Secure Boot
shim → GRUB → çekirdek (kurulu, amd64)
| Kontrol | Varsayılan kurulum | Ref. |
|---|---|---|
| Tam disk şifreleme (LUKS2, argon2id) | açık | §2.1 |
| TPM2'ye mühürlenmiş LUKS anahtarı | isteğe bağlı, kurulum sonrası | §2.1bis |
| Kurulu sistemin Secure Boot'u | açık (amd64) | §2.1ter |
| İmzalı UKI (çekirdek + initrd + cmdline) | isteğe bağlı (amd64 + UEFI) | §2.19 |
| nftables gelen trafik varsayılan reddi | açık | §2.2 |
| Yalnızca tünel kill switch'i | isteğe bağlı profil | §2.2 |
| AppArmor zorunlu (enforcing) · auditd · sysctl sıkılaştırma | açık | §2.3–2.5 |
| İmzalı güncelleyici (TUF, Ed25519) + TPM geri alma koruması | açık | §2.6 |
| canlı ortamın dm-verity'si | açık | §2.9 |
| /usr için dm-verity blokları (kurulu) | isteğe bağlı | §2.17 |
| AIDE dosya bütünlüğü + Suricata IDS | açık (algılama, engelleme değil) | §2.13 · §2.16 |
| Trafikte kuantum sonrası kriptografi | Yalnızca SSH anahtar değişimi, SSH isteğe bağlı | §3.4 |
| VPN tüneli / Tor | istemciler imajda, hiçbir şey yapılandırılmamış | §3.5 |
Doğruluğun kaynağı: depodaki docs/THREAT_MODEL.md — bu demo değil.
$ harden-audit --live
(demo) çıktıyı görmek için Run'a basın
Yükleyici asgari koşulu: 12+ karakter ve 3+ karakter sınıfı. Saf bir fonksiyon olarak denetlenir; hiçbir şey saklanmaz.