安全

Omarchy 极其重视安全性。它应当是一个能让你在现实世界中完成重要工作的操作系统：即使笔记本丢失，也不应演变成安全事故。以下是我们采取的措施：

1. 强制全盘加密：这是保护数据物理安全最重要的一步。设备丢失或被盗时，数据会由标准 LUKS（Linux Unified Key Setup）完全加密。
2. 默认启用防火墙：默认阻止所有入站流量，仅为 LocalSend 放行端口 53317。甚至 SSH 也会保持关闭，直到你通过设置 > 安全 > SSHD启用它；该设置会开放端口 22，并通过限速抵御暴力破解。我们还通过 ufw-docker 限制 Docker 访问，防止容器意外暴露到公网。
3. Arch 始终提供最新更新：作为 Omarchy 的底层发行版，Arch 是滚动发行版。这意味着任何软件包发现并修复安全漏洞后，都能很快通过 omarchy-update 安装。借此你会一直运行各组件最新、最安全的版本。
4. Omarchy 维护自己的软件包和镜像：默认情况下，Omarchy 仅依赖 Arch 官方的 core/extra/multilib 仓库及 Omarchy 自己的软件包仓库。你可以直接从 AUR 安装软件，但基础安装不会这样做，只有第三方浏览器等少数可选安装会使用 AUR。
5. Cloudflare 提供 DDoS 防护：所有 Omarchy 分发基础设施，包括 ISO、Omarchy 软件包和 Arch 镜像，都部署在 Cloudflare 强大的 DDoS 防护之后，并由其 CDN 托管，从而提供出色的可用性。

修改密码

加密安装有两个密码：一个用于启动时解锁磁盘，另一个用于登录和执行 sudo。两者都可在 Omarchy 菜单的更新 > 密码中修改：前者选择磁盘加密，后者选择用户。修改磁盘密码时会先要求输入当前密码，请提前准备好。

将已使用的设备交给他人

要把设备交给他人时，无需重新安装。在 Omarchy 菜单中运行设置 > 重置电脑，输入 reset 确认后重启。该操作会删除所有用户账户和 /home 中的全部内容，丢弃安装后新增的所有软件包与系统改动，并清除设备身份信息，例如网络连接、主机密钥等。系统重新启动后将回到首次启动时的设置向导，新用户可填写自己的姓名、密码和磁盘加密密码。

它通过还原安装程序创建的基线快照实现，因此仅适用于由 Omarchy ISO 安装的设备。未加密磁盘上的重置属于删除而非安全擦除；如果数据较为敏感，请改为全新安装。

免密码 sudo

有时你希望 sudo 不再要求输入密码，最常见的场景是让 AI agent 长时间代为执行系统工作。设置 > 安全 > 免密码 sudo会临时关闭此要求，按实际经过的时间计满 15 分钟后自动恢复；即使挂起期间超过了截止时间，也会在恢复时立即撤销免密授权。如果电脑在此之前重启，软件包提供的启动清理规则会在用户登录前移除授权。在计时结束前再次运行该命令即可提前结束；如果 15 分钟不够，可使用 omarchy-sudo-passwordless 30 指定所需分钟数，范围为 1 到 1440。

更新或移除 Omarchy 的设置软件包时，会在授权到期处理机制发生变化之前结束所有临时授权。如果命令报告授权或清理错误，请先解决错误，再尝试启用新的授权；报错并不意味着免密码访问已经停用。

请清醒地看待这一点：启用期间，任何以当前用户身份运行的程序都能无需确认地以 root 身份执行任何操作。这正是它的用途，也是全部的风险。

签名密钥

所有 ISO 签名和 Omarchy 仓库软件包所用的公钥是 40DFB630FF42BCFFB047046CF0134EE680CAC571（在 openpgp.org 验证）。omarchy/omarchy-keyring 软件包也包含该密钥，并将用于无缝发布后续可能的更新。

在任意 ISO 发布地址后添加 .sig，即可获取其签名文件。例如：https://iso.omarchy.org/omarchy-x.x.x.iso.sig