龍魂系统 · 三层绑定覆写码架构（算法公开版）

本文展示龍魂系统的主权覆写码三层绑定架构——算法全部公开，不含任何硬编码密钥。
核心理念：菜谱可以公开，但没材料做不出菜。

一、设计哲学

覆写码 ≠ 硬编码密码 覆写码 = HMAC-SHA256(你的指纹 + 你的设备 + 你的网络, 你脑子里的盐)

二、数学实现（完整公开）

2.1 三层融合

importhashlibimporthmacdef派生覆写码(生物因子:bytes,设备因子:bytes,环境因子:bytes,脑内盐:bytes)->str:""" 三层融合 · HMAC 派生 公式: 融合 = SHA256(生物因子 || 设备因子 || 环境因子) 覆写码 = HMAC-SHA256(融合, 脑内盐) 安全特性: - 任一因子缺失 → 无法派生 - 脑内盐 ≠ NULL → 只有记忆者能算 - 换设备 → 覆写码自动变 → 旧码失效 """# Step 1: 三层融合融合=hashlib.sha256(生物因子+设备因子+环境因子).digest()# Step 2: HMAC with 脑内盐覆写码原始=hmac.new(脑内盐,融合,hashlib.sha256).hexdigest()returnf"🔑{覆写码原始[:16]}-SOVEREIGN⚡️{覆写码原始[16:32]}"

2.2 设备因子采集（Mac）

importplatform,subprocessdef获取设备因子_Mac()->bytes:"""Mac 硬件指纹"""factors=[]# 主板 UUID（ioreg 读取，无需 root）result=subprocess.run(["ioreg","-rd1","-c","IOPlatformExpertDevice"],capture_output=True,text=True)forlineinresult.stdout.split("\n"):if"IOPlatformUUID"inline:factors.append(line.split('"')[-2])break# 磁盘 Volume UUIDresult=subprocess.run(["diskutil","info","disk0"],capture_output=True,text=True)forlineinresult.stdout.split("\n"):if"Volume UUID"inline:factors.append(line.split(":")[-1].strip())breakreturnhashlib.sha256(":".join(factors).encode()).digest()

2.3 设备因子采集（华为鲲鹏 / Linux）

frompathlibimportPathdef获取设备因子_鲲鹏()->bytes:"""华为鲲鹏服务器硬件指纹"""factors=[]# 网卡 MAC（遍历常见接口名）forifacein["eth0","enp0s1","ens3"]:mac_file=Path(f"/sys/class/net/{iface}/address")ifmac_file.exists():factors.append(mac_file.read_text().strip())break# 主板序列号（dmidecode，部分系统需root）try:result=subprocess.run(["dmidecode","-s","system-serial-number"],capture_output=True,text=True)serial=result.stdout.strip()ifserialandserial!="Not Specified":factors.append(serial)exceptException:pass# 机器 ID（systemd 生成，每台唯一）machine_id=Path("/etc/machine-id")ifmachine_id.exists():factors.append(machine_id.read_text().strip()[:16])returnhashlib.sha256(":".join(factors).encode()).digest()

三、安全模型

3.1 威胁模型与防御

3.2 多设备独立派生

Mac M4 Max: 🔑a3f7b2c1d8e9f0a1-SOVEREIGN⚡️b2c3d4e5f6a7b8c9 华为鲲鹏: 🔑x9y8z7w6v5u4t3s2-SOVEREIGN⚡️r1q2p3o4n5m6l7k8 华为云香港: 🔑m1n2b3v4c5x6z7l8-SOVEREIGN⚡️k9j0h1g2f3d4s5a6 → 每台设备独立派生，互不干扰 → 设备丢失 → 该设备覆写码自然失效

四、降级兼容

当脑内盐未设置（开发阶段/过渡期），系统降级为 SHA256 哈希验证：

def验证覆写码_降级模式(输入码:str,已知哈希:str)->bool:"""无脑内盐时，用 SHA256 哈希比对"""returnhashlib.sha256(输入码.encode()).hexdigest()==已知哈希# 源码中存储 SHA256(String)，不存 String 本身已知哈希="798d6f2d8a78c804186082585bc08a68993c832e4a0106306ada3a7c51be90b9"

五、部署到你的系统

5.1 采集设备指纹

# Macpython3-c"from lh_sovereign_derive import _获取设备因子; print(_获取设备因子().hex())"# 鲲鹏 Linuxpython3-c"from lh_sovereign_derive import _获取设备因子; print(_获取设备因子().hex())"

5.2 设置脑内盐（激活全派生模式）

python3 bin/lh_sovereign_derive.py set-salt'你的脑内密码'

之后系统自动从 Keychain/TEE 读取脑内盐，不再需要输入密码。

5.3 验证

# 诊断三层状态python3 bin/lh_sovereign_derive.py diagnose# 派生当前设备覆写码python3 bin/lh_sovereign_derive.py derive

六、总结

覆写码不是"写死的密码"，是"现场算出来的钥匙"。

材料：你的指纹 + 你的设备 + 你的网络 + 你的记忆。
算法：SHA256 + HMAC（公开标准，无后门）。
安全：菜谱公开，没材料做不出菜。

本文为龍魂系统三层绑定覆写码架构的技术公开版。完整源码见项目仓库。

DNA: #ZHUGEXIN⚡️2026-07-12-SOVEREIGN-DERIVE-PUBLIC-v1.0