CustomOS3.1 OBSIDIAN
系統態勢
預設安裝的範例值。在 CustomOS 上，此面板讀取執行中的系統。
防火牆
nftables 已啟用
入站預設拒絕 · 一律開啟
Kill switch
未生效
當 wg*/tun* 通道啟動時生效
IDS
Suricata · IDS
預設安裝 · 偵測，而非阻擋
Live 媒體
dm-verity
開機時驗證 squashfs · 失敗即關閉
磁碟
LUKS2 已解鎖
argon2id · TPM2 封存可選啟用
開機鏈
Secure Boot
shim → GRUB → 核心（已安裝，amd64）
| 控制 | 預設安裝 | 參考 |
|---|---|---|
| 全碟加密（LUKS2、argon2id） | 開 | §2.1 |
| LUKS 金鑰已封存至 TPM2 | 可選啟用，安裝後 | §2.1bis |
| 已安裝系統的 Secure Boot | 開（amd64） | §2.1ter |
| 已簽章 UKI（核心 + initrd + cmdline） | 可選啟用（amd64 + UEFI） | §2.19 |
| nftables 入站預設拒絕 | 開 | §2.2 |
| 僅通道 kill switch | 可選啟用的設定檔 | §2.2 |
| AppArmor 強制模式 · auditd · sysctl 強化 | 開 | §2.3–2.5 |
| 已簽章更新程式（TUF、Ed25519）+ TPM 防回滾 | 開 | §2.6 |
| Live 媒體的 dm-verity | 開 | §2.9 |
| /usr（已安裝）的區塊層級 dm-verity | 可選啟用 | §2.17 |
| AIDE 檔案完整性 + Suricata IDS | 開（偵測，而非阻擋） | §2.13 · §2.16 |
| 流量中的後量子加密 | 僅 SSH 金鑰交換，SSH 可選啟用 | §3.4 |
| VPN 通道 / Tor | 映像檔中含用戶端，未設定任何內容 | §3.5 |
權威來源：儲存庫中的 docs/THREAT_MODEL.md — 而非本示範。
$ harden-audit --live
按下「執行」查看（示範）輸出
安裝程式最低要求：12 字元以上且 3 種以上字元類別。以純函式檢查；不儲存任何內容。