Fünf Prüfungen. Ein Alarm.

Hashe das Bundle, prüfe drei Signaturen, vergleiche mit dem Geräte-Image. Schlägt irgendetwas fehl, flashe nicht. Stopp und frag nach.

Lade das Manifest und das Bundle herunter

Jedes Release liefert ein signiertes JSON-Manifest neben dem binären Bundle. Beide stammen aus derselben öffentlichen Quelle. Mirror-Seiten dürfen das Bundle hosten, aber niemals das private Signiermaterial.

shellcurl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/lydos_husky-target_files.zip
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/release.manifest.json
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/verify-bundle.sh
chmod +x verify-bundle.sh

Prüfe die drei Signaturen

shell./verify-bundle.sh --manifest release.manifest.json --signatures
# expected output:
#   release:    valid (key id 3571a6c8)
#   security:   valid (key id 9c4d77a1)
#   ops:        valid (key id 5f1e08b3)
#   quorum:     3 / 3 OK

Falls eine Signatur fehlschlägt

Fahre nicht fort. Eine fehlende oder ungültige Signatur bedeutet, dass dem Manifest nicht vertraut werden kann. Melde das Versagen an security@lydos.ailydian.com mit angehängtem Manifest.

Hashe das binäre Bundle

shell./verify-bundle.sh --bundle lydos_husky-target_files.zip --hash
# expected output:
#   build_sha256:           3571a6c85a15006d…
#   manifest_sha256:        3571a6c85a15006d…
#   match:                  yes

Wenn es übereinstimmt

Das Bundle wurde zwischen dem Verlassen der Build-Pipeline und dem Eintreffen auf deiner Maschine nicht verändert. Du kannst es im Vertrauen darauf flashen, dass es dasselbe Image ist, das wir ausliefern.

Vergleiche mit dem Geräte-Image (nach dem Flashen)

Öffne nach dem Flashen Sovereign Status auf dem Gerät und tippe auf Build-Hash verifizieren. Das Telefon berechnet den On-Device-Image-Hash und zeigt ihn an. Vergleiche ihn Seite an Seite mit dem Manifest-Hash.

shell# from your workstation:
adb shell 'sovereign-status --print-hash'
# expected output:
#   on_device_sha256:       3571a6c85a15006d…
#   match_with_manifest:    yes

Was ein Angreifer bräuchte

Damit ein bösartiges Image jede der obigen Prüfungen besteht, müsste der Angreifer drei unabhängige Signierrollen kompromittieren, das öffentliche Manifest ersetzen, den geräteseitigen Verifizierer ersetzen und die On-Device-Sovereign-Status-Anzeige umkehren. Der Sinn dieses Protokolls ist es, alle vier dieser Dinge zugleich undurchführbar zu machen.

Reproduzierbare Builds zählen

Wenn du das Bundle selbst verifizieren willst — nicht nur seine Signaturen — folge Das Image bauen und erzeuge das Bundle selbst. Stimmt dein Build-Hash mit unserem überein, liefern wir dieselbe Quelle aus. Tut er es nicht, das ist der Alarm.