sysXray — sobre LinkML

LinkML tipa el acto de observar. No tipa el disco. El contrato manda: SPECLinkML-sysXray.txt.

Dedicado a Daniel Domingo Benito, que pedía callar porque no quería saber nada de ordenadores.

Tres capas

  1. Placa — captura cruda (instrumento, horizonte, cuerpo).
  2. Carta — relaciones entre afirmaciones.
  3. Juicio — veredicto citando una ficha CanonFicha por URL.

Seis prohibiciones

1. Sin slots exists / target_exists. Ceguera = not_in_plate + horizonte.
2. tree_root es Plate. Statement sin parent/children.
3. Authority.source_url obligatorio. Slot compliant prohibido.
4. regime + captured_at. Dos placas contradictorias validan.
5. body_uri apunta al cuerpo. LinkML no recorre los TSV.
6. linkml genera; node tests/run.js no pide Python.

Caso /bin

En este disco /bin es un enlace a usr/bin (usr-merge). hier(7) lo describe como directorio. Dos afirmaciones válidas; el juicio es desacuerdo bajo hier, acuerdo bajo UAPI.9.

{
  "subject": "/bin",
  "relation": "links_to",
  "object_text": "usr/bin",
  "support": "asserted"
}

Secure Boot — el interruptor

Ficha completa: secure-boot-lockdown.json (campos switch_on, switch_off, activates_when_on, deactivates_when_on).

Qué es. Función del firmware UEFI: antes de cargar un binario EFI, comprueba su firma contra las bases PK, KEK, db y dbx de la máquina.

Cómo funciona aquí. Cadena shimx64.efi → grubx64.efi → núcleo firmado. Arrastra lockdown de GRUB y del núcleo (en este equipo: integrity).

Switch ON. Solo arranca lo firmado; cierra /dev/mem, debugfs, módulos sin firma y órdenes GRUB que reescriben la cadena. No oculta los nombres con punto; no cifra la ext4.

Switch OFF. El firmware deja de exigir esa cadena firmada; los lockdowns dejan de activarse por esa vía. El disco es el mismo.

Medido: Secure Boot enabled. Lockdown integrity. Órdenes de placa: grub-ordenes.json.

Contraste de fuentes

Informe de la pasada de validación (HTTP + testigos locales): contraste-fuentes.json. Cada ficha lleva source_checked_at, source_http_status, contrast_verdict, y si hace falta secondary_urls / local_witness.

gnu.org puede devolver 403 a clientes automatizados (bloqueado_bot); el contenido se sostiene con info/NEWS locales. La URL antigua de Red Hat (assembly hierarchy) era 404; sustituida por Managing file systems RHEL 9.

Fichas CanonFicha (JSON)