磁盘加密
安装程序始终使用 LUKS2 加密根分区。
- cipher
- aes-xts-plain64 · 512 位密钥
- KDF
- argon2id
- keyslot 0
- 口令（12 个以上字符，由安装程序强制要求）
- keyslot 1
- TPM2 — 空（可选启用：customos-tpm-enroll）
- /boot
- 未加密的 ext4 — 见 §3.1（已签名 UKI 堵住了 initrd 这一半）
示例值。仅当 /dev/tpmrm0 存在时，才会在首次登录时提供 TPM2 封装；口令始终保留作为后备。
会话已锁定
lightdm Obsidian 登录界面 · 仅预览
自动锁定 5 分钟。这只是视觉预览，不会解锁任何内容。