Cinco verificações. Um alarme.

Faça o hash do pacote, confira três assinaturas, compare com a imagem do dispositivo. Se algo falhar, não flashe. Pare e pergunte.

Baixe o manifesto e o pacote

Cada lançamento traz um manifesto JSON assinado junto com o pacote binário. Ambos vêm da mesma fonte pública. Sites de mirror podem hospedar o pacote, mas nunca o material de assinatura privado.

shellcurl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/lydos_husky-target_files.zip
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/release.manifest.json
curl -L -O https://git.lydos.ailydian.com/lydos/releases/2026.06.r1/verify-bundle.sh
chmod +x verify-bundle.sh

Confira as três assinaturas

shell./verify-bundle.sh --manifest release.manifest.json --signatures
# expected output:
#   release:    valid (key id 3571a6c8)
#   security:   valid (key id 9c4d77a1)
#   ops:        valid (key id 5f1e08b3)
#   quorum:     3 / 3 OK

Se qualquer assinatura falhar

Não prossiga. Uma assinatura ausente ou inválida significa que o manifesto não pode ser confiado. Reporte a falha para security@lydos.ailydian.com com o manifesto anexado.

Faça o hash do pacote binário

shell./verify-bundle.sh --bundle lydos_husky-target_files.zip --hash
# expected output:
#   build_sha256:           3571a6c85a15006d…
#   manifest_sha256:        3571a6c85a15006d…
#   match:                  yes

Quando coincide

O pacote não foi modificado entre deixar o pipeline de build e chegar à sua máquina. Você pode flashá-lo com a confiança de que é a mesma imagem que enviamos.

Compare com a imagem do dispositivo (pós-flash)

Após o flash, abra Status Soberano no dispositivo e toque em Verificar hash do build. O telefone calcula o hash da imagem no dispositivo e o exibe. Compare-o lado a lado com o hash do manifesto.

shell# from your workstation:
adb shell 'sovereign-status --print-hash'
# expected output:
#   on_device_sha256:       3571a6c85a15006d…
#   match_with_manifest:    yes

O que um atacante precisaria

Para uma imagem maliciosa passar por todas as verificações acima, o atacante precisaria comprometer três papéis de assinatura independentes, substituir o manifesto público, substituir o verificador no dispositivo e reverter a exibição de status soberano no dispositivo. O propósito deste protocolo é tornar essas quatro coisas inviáveis de uma só vez.

Builds reproduzíveis importam

Se você quiser verificar o pacote em si — não apenas suas assinaturas — siga Compilar a imagem e produza o pacote você mesmo. Se o hash do seu build coincidir com o nosso, estamos enviando o mesmo código-fonte. Se não coincidir, esse é o alarme.