5つのチェック。ひとつの警報。

各リリースは、バイナリバンドルと並んで署名済み JSON マニフェストを出荷します。両方とも同じ公開ソースから来ます。ミラーサイトはバンドルをホストできますが、秘密の署名素材は決してホストしません。

shellcurl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/lydos_husky-target_files.zip
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/release.manifest.json
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/verify-bundle.sh
chmod +x verify-bundle.sh

shell./verify-bundle.sh --manifest release.manifest.json --signatures
# expected output:
#   release:    valid (key id 3571a6c8)
#   security:   valid (key id 9c4d77a1)
#   ops:        valid (key id 5f1e08b3)
#   quorum:     3 / 3 OK

shell./verify-bundle.sh --bundle lydos_husky-target_files.zip --hash
# expected output:
#   build_sha256:           3571a6c85a15006d…
#   manifest_sha256:        3571a6c85a15006d…
#   match:                  yes

フラッシュ後、デバイスで Sovereign Status を開き、 ビルドハッシュを検証 をタップします。電話はオンデバイスのイメージハッシュを計算して表示します。マニフェストのハッシュと並べて比較してください。

shell# from your workstation:
adb shell 'sovereign-status --print-hash'
# expected output:
#   on_device_sha256:       3571a6c85a15006d…
#   match_with_manifest:    yes

悪意あるイメージが上記のすべてのチェックを通過するには、攻撃者は3つの独立した署名ロールを侵害し、公開マニフェストを差し替え、デバイス側の検証器を差し替え、オンデバイスのソブリンステータス表示を逆転させる必要があります。このプロトコルの要点は、その4つすべてを同時に実行不可能にすることです。