CustomOS3.1 OBSIDIAN
完整性链
从固件到从 /usr 读取的每一个块。示例值。
启动链
Secure Boot
shim → GRUB → 内核 · 已安装，amd64
已签名 UKI
未启用
可选启用 · CUSTOMOS_UKI=1 · amd64 + UEFI
Live 介质
dm-verity
squashfs 根哈希固定在 cmdline 中
/usr（已安装）
本演示中未读取
可选启用 · EROFS lz4hc · 回滚槽位
AIDE
本演示中未读取
默认安装下的基线与每日检查
auditd
不可变
-e 2 · 身份 + 执行规则
ferran@customos:~$ sudo customos-verity-block status
命令的示例输出，并非本机的实际读数。
✓ 被篡改的 USB/ISO squashfs (启动时 panic，失败即关闭)
✓ 对 /usr 的离线修改 (读取时出现 I/O 错误)
✓ 木马化的 initrd (仅在选择启用已签名 UKI 时)
◑ 根文件系统的其余部分是 LUKS 内的普通 ext4（§3.3）
◑ 本地 root 仍可禁用用户空间控制（§3.8）
对同一提交进行两次独立构建，得到了字节级相同的 ISO，使用了 SOURCE_DATE_EPOCH 和 snapshot.debian.org 固定。用 scripts/repro-check.sh 验证。