# iSecOS Hardware Compatibility Checklist

> Danh mục kiểm tra tương thích phần cứng cho phát hành thương mại — dùng khi
> test iSecOS **1.0-alpha7 (amd64)** trên máy thật trước khi mở rộng pilot và
> phát hành 1.0. Quy trình cài đặt từng bước xem `INSTALL-GUIDE.md`; kế hoạch
> tổng thể xem `docs/commercial-gap-analysis.md` (mục B.1). Ma trận dưới đây
> là **bản ghi kết quả chính thức** — điền mỗi khi test xong một máy/thiết bị.

## 1. Minimum Requirements

| Component | Minimum | Recommended |
|---|---|---|
| CPU | amd64 dual-core | quad-core+ (hỗ trợ **AES-NI** — tăng tốc mã hóa LUKS2 aes-xts đáng kể) |
| RAM | 4 GB | 8 GB+ (dưới 4 GB installer có thể treo khi nén squashfs) |
| Storage | 40 GB HDD | 120 GB SSD/NVMe (HDD quay từ chạy được nhưng chậm — kiểm tra `lsblk -d -o NAME,ROTA`) |
| Boot | BIOS | UEFI + TPM 2.0 (TPM auto-unlock chỉ cần khi có TPM; không có vẫn dùng bình thường) |
| Network | Ethernet | Wi-Fi + Ethernet |

Kiểm tra nhanh trên máy đang chạy Linux (USB live) trước khi cài:

```sh
lscpu | grep -o aes                 # có "aes" = hỗ trợ AES-NI
lsblk -d -o NAME,SIZE,ROTA,TRAN     # ROTA=0 → SSD; TRAN=nvme/sata
ls /dev/tpm* 2>/dev/null            # có /dev/tpmrm0 = TPM 2.0 sẵn sàng
[ -d /sys/firmware/efi ] && echo UEFI || echo BIOS
```

Trên Windows: kiểm tra TPM bằng `tpm.msc`, CPU/UEFI bằng `msinfo32`.

## 2. Test Matrix (điền khi test)

Quy ước: `PASS` / `FAIL` / `N/A` (máy không có TPM thì ghi N/A cột TPM).
Gửi kết quả về isecos@isecurity.vn, tiêu đề `[HW-TEST] <model máy> — <kết
luận>`, kèm ảnh chụp lỗi (nếu có) và đầu ra `sudo dmesg | tail -50`.

### Laptops

| Model | CPU | RAM | Install | Boot | Wi-Fi | Ethernet | Graphics | Audio | USB | TPM | Notes |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Dell Latitude 5440 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |
| Dell Latitude 5540 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |
| HP EliteBook 840 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |
| HP ProBook 450 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |
| Lenovo ThinkPad T14 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |
| Lenovo ThinkPad L14 | | | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | ☐ | |

Nguyên tắc chọn máy test: phủ đa dạng **hãng** (Dell/HP/Lenovo/…), **loại**
(laptop/desktop), **độ tuổi** (máy mới 2023–2026 và máy cũ 2018–2020), và
**boot mode** (UEFI lẫn BIOS legacy) — để phát hiện lỗi driver/firmware riêng
từng dòng máy.

### Desktops

| Model | Install | Boot | Graphics | TPM | Notes |
|---|---|---|---|---|---|
| Dell OptiPlex 7010 | ☐ | ☐ | ☐ | ☐ | |
| HP ProDesk 600 | ☐ | ☐ | ☐ | ☐ | |
| Lenovo ThinkCentre | ☐ | ☐ | ☐ | ☐ | |

### Peripherals

| Device | Type | Works | Notes |
|---|---|---|---|
| HP LaserJet Pro | Printer | ☐ | CUPS + printer-driver-all |
| Canon imageCLASS | Printer | ☐ | |
| Epson EcoTank | Printer | ☐ | |
| Fujitsu ScanSnap | Scanner | ☐ | simple-scan + SANE |
| YubiKey 5 NFC | Security key | ☐ | MFA U2F |
| USB Token (CA) | Smart card | ☐ | Chữ ký số (opensc/pcscd) |
| Generic USB drive | Storage | ☐ | DLP test — phải bị chặn mặc định |
| USB Keyboard/Mouse | HID | ☐ | Phải luôn hoạt động (dù DLP bật) |

### Graphics Cards

| GPU | Driver | Works | Notes |
|---|---|---|---|
| Intel UHD 620-770 | i915 (built-in) | ☐ | |
| Intel Iris Xe | i915 | ☐ | |
| AMD Radeon (integrated) | amdgpu | ☐ | |
| NVIDIA (discrete) | nouveau/nvidia | ☐ | Có thể cần non-free (xem Known Issues #2) |

## 3. Known Issues

| # | Vấn đề | Chi tiết | Cách xử lý tạm thời |
|---|---|---|---|
| 1 | **Secure Boot** | `shim-signed` + `grub-efi-amd64-signed` chuẩn Debian boot tốt; **kernel iSecOS tự build chưa ký** → Secure Boot bật Strict có thể chặn boot kernel | Vào MOK menu khi boot hoặc chạy `sudo mokutil --disable-validation`, nhập mật khẩu đã đặt, reboot. Đừng tắt Secure Boot vĩnh viễn trên máy có TPM — đổi PCR7 sẽ bắt enroll lại |
| 2 | **NVIDIA GPU** | Driver nouveau mở sẵn nhưng hiệu năng kém/lỗi trên GPU mới; cần driver đóng `non-free` | Cài từ mirror iSecOS: `sudo apt install nvidia-driver firmware-misc-nonfree` rồi reboot. Báo lại model GPU nếu vẫn đen màn hình |
| 3 | **Wi-Fi** | Card Wi-Fi (Intel/Broadcom/Realtek) cần firmware `non-free-firmware` | Có sẵn trên mirror iSecOS — nếu máy offline lúc cài, nối mạng rồi `sudo apt update && sudo apt install firmware-linux-nonfree firmware-iwlwifi` |

*(Điền thêm vấn đề mới phát hiện khi test — mỗi dòng một #, ghi rõ model + cách
tái hiện.)*

## 4. Checklist kiểm tra cho từng máy

Sao chép khối này vào báo cáo của mỗi máy. Tick khi đạt; ghi chú rõ mục fail.

**Cài đặt & boot:**

- [ ] Boot USB thành công (Rufus ISO mode)
- [ ] Bộ cài GTK mặc định tự chạy sau 5 giây
- [ ] Phân vùng + mã hóa LUKS2 thành công (chỉ hỏi mật khẩu user + passphrase)
- [ ] Cài xong tự tắt máy, boot lại được

**Trải nghiệm desktop:**

- [ ] Desktop GNOME hiển thị đúng (tiếng Việt, wallpaper iSec)
- [ ] Wi-Fi/Ethernet kết nối được; âm thanh phát được
- [ ] Gõ tiếng Việt (ibus-unikey) hoạt động

**Bảo mật:**

- [ ] TPM auto-unlock hoạt động (nếu có TPM): dialog GTK lần đăng nhập đầu →
      boot sau không cần gõ passphrase
- [ ] MFA enroll + SSH OTP
- [ ] DLP: USB storage bị chặn, USB keyboard/mouse vẫn hoạt động

**Quản lý tập trung:**

- [ ] Agent enroll về Control Center
- [ ] `apt update` từ mirror isecos.isecurity.vn hoạt động

### Lệnh kiểm tra tương ứng

```sh
# LUKS2 đang hoạt động
lsblk                                  # thấy sda5_crypt + isecos--vg-root
sudo cryptsetup status sda5_crypt      # LUKS2, aes-xts

# TPM auto-unlock đã enroll (máy có TPM)
sudo clevis luks list -d /dev/sda5     # hiện token tpm2 pcr_ids=7

# MFA
isecos-mfa enroll                      # lần đầu; sau đó:
isecos-mfa status

# DLP: cắm USB storage → phải KHÔNG mount được
isecos-dlp status                      # policy mặc định: storage = deny
sudo tail -f /var/log/usbguard/usbguard-audit.log   # thấy device bị block

# Agent & mirror
systemctl status isecos-agent          # đang chạy, đã check-in Control Center
sudo apt update                        # nhận repo isecos.isecurity.vn/apt
```

## 5. Quy ước báo cáo

1. Ghi kết quả vào ma trận (mục 2) + checklist (mục 4) cho **mỗi máy**.
2. Bug gửi về đội dev: isecos@isecurity.vn, tiêu đề
   `[HW-TEST] <model máy> — <triệu chứng ngắn>`, kèm model + `sudo dmesg |
   tail -50` + ảnh chụp.
3. Báo **ngay trong ngày** (escalate) nếu gặp: máy không boot được, installer
   treo giữa chừng, nguy cơ mất dữ liệu, hoặc lỗi TPM enroll.

---
*iSecOS 1.0-alpha7 (MotaX) — tài liệu nội bộ phục vụ kiểm định phần cứng
trước phát hành thương mại. Góp ý: isecos@isecurity.vn*