Безопасность
W включает набор защит на каждой установке и даёт переключатели там, где это имеет смысл настраивать. Графические элементы управления собраны в Хаб → Система → Безопасность.
Что включено по умолчанию
- Защита ядра — подобранная затяжка sysctl и параметров командной строки
штатного ядра (
w-kernel harden status). Это переключатель, не форк: повседневное ядро остаётся отзывчивым. - sudo-rs как инструмент повышения прав, привычный
sudoработает так же — запросы на повышение выглядят как на любой системе Arch. - Шифрованный DNS — systemd-resolved резолвит через TLS у провайдера,
уважающего приватность (по умолчанию Quad9).
w-dnsменяет провайдера или режим. - Фаервол — firewalld с backend'ом
nftablesи разрешительной зоной по умолчанию, подходящей для домашней сети.w-firewall public|homeпереключает машину между зонами; в Хаб → Сеть те же выпадающие списки. - Keyring — gnome-keyring хранит секреты пользователя (Wi-Fi, сохранённые
пароли); сторона SSH-агента — нейтральный слот (
w-ssh), который работает с любым backend'ом. - Обновления прошивки —
fwupdи его таймер;fwupdmgr refresh && fwupdmgr updateприменяет их.
Песочница для приложений (опционально)
Сторонние графические приложения лучше запускать в песочнице, и W держит
готовыми нужные для этого слоты — десктопные порталы и непривилегированные
пользовательские namespace'ы ядра включены из коробки. Сам канал доставки —
по запросу: sudo w-pack install flatpak добавляет Flatpak с репозиторием
Flathub, магазин Bazaar, Flatseal для прав приложений и тему W внутри
песочницы. Устанавливайте, если нужна эта экосистема; машине, которая берёт
софт из репозиториев, это не требуется.
Вход по отпечатку
Если у машины есть считыватель отпечатков, w-fingerprint записывает ваши
пальцы, и экран входа, экран блокировки и запросы повышения прав примут их.
Хаб → Ввод → Отпечаток делает то же самое графически.
Та же панель решает, как сканер ведёт себя под экраном блокировки. По
умолчанию он горит всю блокировку, и палец проверяет сам hyprlock. Некоторые
ридеры от этого перегреваются и через несколько минут перестают отвечать; для
них выберите Сканер → По активности (w-fingerprint lock-sensor mode wake): сканер загорается на короткое окно после блокировки, пробуждения или
любой активности под блокировкой, затем гаснет. Окно настраивается (10–300 с);
изменение действует со следующей блокировки.
Secure Boot
На зашифрованных установках W поставляет двухфазную настройку Secure Boot:
занести ключи, один раз перезагрузиться, включить Secure Boot в прошивке.
Хаб → Система → Безопасность ведёт через это (w-secureboot из
терминала). Инсталлятор намеренно не включает его сам — прошивка требует
шагов за пределами ОС.
Управление ядром
w-kernel меняет активное ядро (default, LTS, vanilla) и переключает
профиль защиты. Оба живут в Хабе; смена ядра предлагает аккуратную
перезагрузку, когда работающее ядро изменилось.
Что пока не защищено
USB-карантин (USBGuard) спроектирован, но опционален и пока не поставляется — подключённое чужое USB-устройство сейчас доверенное, как любой другой накопитель. Снапшоты — ответ на неудачное обновление, а не резервная копия: если диск потерян или вышел из строя, откатываться будет не к чему. Резервируйте всё, что не сможете воссоздать сами.