Cinq contrôles. Une alerte.

Hachez le paquet, vérifiez les trois signatures, comparez à l’image de l’appareil. Si quoi que ce soit échoue, ne flashez pas. Arrêtez-vous et posez la question.

Télécharger le manifeste et le paquet

Chaque version livre un manifeste JSON signé à côté du paquet binaire. Les deux proviennent de la même source publique. Les sites miroirs peuvent héberger le paquet, mais jamais le matériel de signature privé.

shellcurl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/lydos_husky-target_files.zip
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/release.manifest.json
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/verify-bundle.sh
chmod +x verify-bundle.sh

Vérifier les trois signatures

shell./verify-bundle.sh --manifest release.manifest.json --signatures
# expected output:
#   release:    valid (key id 3571a6c8)
#   security:   valid (key id 9c4d77a1)
#   ops:        valid (key id 5f1e08b3)
#   quorum:     3 / 3 OK

Si une signature échoue

Ne poursuivez pas. Une signature manquante ou invalide signifie que le manifeste ne peut pas être considéré comme fiable. Signalez l’échec à security@lydos.ailydian.com avec le manifeste joint.

Hacher le paquet binaire

shell./verify-bundle.sh --bundle lydos_husky-target_files.zip --hash
# expected output:
#   build_sha256:           3571a6c85a15006d…
#   manifest_sha256:        3571a6c85a15006d…
#   match:                  yes

Quand cela correspond

Le paquet n’a pas été modifié entre sa sortie du pipeline de build et son arrivée sur votre machine. Vous pouvez le flasher en étant certain qu’il s’agit de la même image que celle que nous expédions.

Comparer à l’image de l’appareil (après flash)

Après le flash, ouvrez Sovereign Status sur l’appareil et appuyez sur Vérifier le hachage de build. Le téléphone calcule le hachage de l’image sur l’appareil et l’affiche. Comparez-le côte à côte avec le hachage du manifeste.

shell# from your workstation:
adb shell 'sovereign-status --print-hash'
# expected output:
#   on_device_sha256:       3571a6c85a15006d…
#   match_with_manifest:    yes

Ce qu’il faudrait à un attaquant

Pour qu’une image malveillante passe chacun des contrôles ci-dessus, l’attaquant devrait compromettre trois rôles de signature indépendants, remplacer le manifeste public, remplacer le vérificateur côté appareil et inverser l’affichage du statut souverain sur l’appareil. Tout l’intérêt de ce protocole est de rendre ces quatre choses infaisables à la fois.

Les builds reproductibles comptent

Si vous voulez vérifier le paquet lui-même — pas seulement ses signatures — suivez Construire l’image et produisez le paquet vous-même. Si votre hachage de build correspond au nôtre, nous expédions la même source. Sinon, c’est l’alerte.