磁碟加密
安裝程式一律使用 LUKS2 加密根分割區。
- cipher
- aes-xts-plain64 · 512 位元金鑰
- KDF
- argon2id
- keyslot 0
- 密碼短語（12 字元以上，由安裝程式強制要求）
- keyslot 1
- TPM2 — 空（可選啟用：customos-tpm-enroll）
- /boot
- 未加密的 ext4 — 見 §3.1（已簽章 UKI 堵住了 initrd 這一半）
範例值。僅當 /dev/tpmrm0 存在時，才會在首次登入時提供 TPM2 封存；密碼短語始終保留作為後備。
工作階段已鎖定
lightdm Obsidian 登入畫面 · 僅預覽
自動鎖定 5 分鐘。這只是視覺預覽，不會解鎖任何內容。