FR-195.F11 （等 FR-193 剩下三張收完）安裝腳本三項：TPM 工具雜湊清單要驗章、儲存密鑰不上命令列、出廠儲存快照加密存放

本卡屬 FR-195（Agent 資安修正），第 3 批 F11。修 FR-186 掃描的 H3 F1、H1 F1（皆 3/3 票）、H2 M1（人工），嚴重度：中。 目前暫緩，工作坊不派。

這張卡做什麼（白話）

安裝腳本裡三個洞。①離線安裝 TPM 工具時，只拿交付包自己附的清單比對雜湊，清單本身沒有簽章，換包的人可以連清單一起換，安裝程式就以 root 執行他放進去的套件安裝腳本。②設定物件儲存時為了測連線要算簽章，把儲存密鑰放進 openssl 的命令列參數，本機任何帳號用 ps 就看得到。③「出廠儲存設定快照」把內建儲存的帳密明文存在磁碟上，沒有跟著設定檔一起加密。

問題在哪（首腦 2026-11-11 對主線 b8b1158 核過；改回 Not started 前要再核一次行號）

①scripts/install/lib/tpm.sh:89-94 tpm__file_verified 比對 ${bundle}/${TPM_BUNDLE_MANIFEST}（預設 image-manifest.sha256，:18），這份清單沒有驗章。
②scripts/install/install.sh:1991 _s3_hmac_strkey() { ... openssl dgst -sha256 -mac HMAC -macopt "key:$1" ... }，$1 是密鑰。
③deploy/install.sh:2173-2189 snapshot_factory_defaults 把 SEAWEEDFS_ACCESS_KEY／SEAWEEDFS_SECRET_KEY 明文寫進 ${INSTALL_DIR}/factory/factory-defaults.env（權限 600）。
🔴 為什麼暫緩（首腦 2026-11-11 對主線 b8b1158 核過）：FR-193 大部分已合回，但還有三張卡沒收——CM-3810、CM-3811 暫緩中，CM-3865 修正待驗證。CM-3810、CM-3811 明列會改 scripts/install/lib/tpm.sh 與 deploy/install.sh，正是這張第①③項要改的檔，同時改合回會衝突。等那三張收完，首腦重新核對行號（FR-193 已讓 tpm.sh 多了 48 行、deploy/install.sh 多了約 200 行，上面寫的行號已位移）、補寫做法，再改回 Not started。第②項（儲存密鑰出現在 openssl 命令列）在 tarball 版 scripts/install/install.sh:1991 _s3_hmac_strkey，行號在最新主線沒變，FR-193 後續也不碰這支檔；但同一批的 F8（CM-3831）正在改這支檔，所以也不能現在做。

改哪些檔

scripts/install/lib/tpm.sh
scripts/install/install.sh
deploy/install.sh
test/shell/tpm_gate.bats
test/shell/secrets.bats

怎麼做

做法等 FR-193 剩下三張收完後由首腦補寫。方向：①TPM 工具的雜湊清單改用有原廠簽章的來源比對（FR-193 新增的 bundle_lib_src 已經是「先對出貨清單核 sha256 才 source」的寫法，可比照）；②算 HMAC 改成金鑰走 stdin 或環境變數，不進任何程式的命令列參數；③出廠儲存快照寫入後一併交給設定檔加密（secrets.sh 的 sec_writeback）。

行為變更

無（客戶無感）。

為什麼暫緩

暫緩卡。等 FR-193 剩下的 CM-3810、CM-3811、CM-3865 收完（它們會改同一批檔），首腦再把狀態改回 Not started。工作坊不派這張、也不擋這一批。

建議模型與思考強度（首腦判斷）

Stage 3／Model sonnet／Effort medium／Repo agent。暫緩卡。等 FR-193 剩下的 CM-3810、CM-3811、CM-3865 收完（它們會改同一批檔），首腦再把狀態改回 Not started。