Vijf controles. Eén alarm.

Hash de bundel, controleer drie handtekeningen, vergelijk met de toestel-image. Mist er iets, flash dan niet. Stop en vraag het na.

Download het manifest en de bundel

Elke release levert een getekend JSON-manifest naast de binaire bundel. Beide komen uit dezelfde publieke bron. Mirror-sites mogen de bundel hosten, maar nooit het private signing-materiaal.

shellcurl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/lydos_husky-target_files.zip
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/release.manifest.json
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/verify-bundle.sh
chmod +x verify-bundle.sh

Controleer de drie handtekeningen

shell./verify-bundle.sh --manifest release.manifest.json --signatures
# expected output:
#   release:    valid (key id 3571a6c8)
#   security:   valid (key id 9c4d77a1)
#   ops:        valid (key id 5f1e08b3)
#   quorum:     3 / 3 OK

Als een handtekening faalt

Ga niet verder. Een ontbrekende of ongeldige handtekening betekent dat het manifest niet vertrouwd kan worden. Meld de fout aan security@lydos.ailydian.com met het manifest erbij.

Hash de binaire bundel

shell./verify-bundle.sh --bundle lydos_husky-target_files.zip --hash
# expected output:
#   build_sha256:           3571a6c85a15006d…
#   manifest_sha256:        3571a6c85a15006d…
#   match:                  yes

Wanneer het overeenkomt

De bundel is niet gewijzigd tussen het verlaten van de build-pijplijn en de aankomst op je machine. Je kunt het flashen in het vertrouwen dat het dezelfde image is die wij uitleveren.

Vergelijk met de toestel-image (na het flashen)

Open na het flashen Sovereign Status op het toestel en tik op Verifieer build-hash. De telefoon berekent de on-device image-hash en toont hem. Vergelijk hem zij aan zij met de manifest-hash.

shell# from your workstation:
adb shell 'sovereign-status --print-hash'
# expected output:
#   on_device_sha256:       3571a6c85a15006d…
#   match_with_manifest:    yes

Wat een aanvaller nodig zou hebben

Om een kwaadaardige image elke controle hierboven te laten passeren, zou de aanvaller drie onafhankelijke signing-rollen moeten compromitteren, het publieke manifest vervangen, de toestel-zijdige verifier vervangen en de on-device sovereign-status-weergave omkeren. Het punt van dit protocol is om alle vier die zaken tegelijk onhaalbaar te maken.

Reproduceerbare builds doen ertoe

Wil je de bundel zelf verifiëren — niet alleen de handtekeningen — volg dan Bouw de image en produceer de bundel zelf. Komt jouw build-hash overeen met de onze, dan leveren we dezelfde broncode uit. Zo niet, dan is dat het alarm.