CustomOS3.1 OBSIDIAN
Chuỗi toàn vẹn
Từ firmware đến từng khối được đọc từ /usr. Giá trị mẫu.
Chuỗi khởi động
Secure Boot
shim → GRUB → kernel · đã cài đặt, amd64
UKI đã ký
Chưa bật
opt-in · CUSTOMOS_UKI=1 · amd64 + UEFI
Phương tiện live
dm-verity
hash gốc squashfs được ghim trong cmdline
/usr (đã cài đặt)
không đọc trong bản demo này
opt-in · EROFS lz4hc · slot rollback
AIDE
không đọc trong bản demo này
đường cơ sở và kiểm tra hằng ngày trên cài đặt mặc định
auditd
bất biến
-e 2 · quy tắc identity + exec
ferran@customos:~$ sudo customos-verity-block status
Mẫu đầu ra của lệnh, không phải số đo của máy này.
✓ squashfs USB/ISO bị can thiệp (lỗi panic khi khởi động, fail-closed)
✓ chỉnh sửa ngoại tuyến đối với /usr (Lỗi I/O khi đọc)
✓ initrd trojan (chỉ với opt-in UKI đã ký)
◑ phần còn lại của root fs là ext4 thông thường bên trong LUKS (§3.3)
◑ root cục bộ vẫn có thể tắt các kiểm soát ở userspace (§3.8)
Hai bản dựng độc lập từ cùng một commit tạo ra ISO giống hệt từng byte, với SOURCE_DATE_EPOCH và ghim snapshot.debian.org. Xác minh bằng scripts/repro-check.sh.