龍魂系统 · 三层绑定覆写码架构（算法公开版）

本文展示龍魂系统的主权覆写码三层绑定架构——算法全部公开，不含任何硬编码密钥。
核心理念：菜谱可以公开，但没材料做不出菜。

---

一、设计哲学

覆写码 ≠ 硬编码密码
覆写码 = HMAC-SHA256(你的指纹 + 你的设备 + 你的网络, 你脑子里的盐)

层级	因子来源	示例	公开无害原因
生物因子	Touch ID / 华为TEE	指纹特征点哈希	每人生理唯一
设备因子	主板UUID / 网卡MAC	Mac序列号 / 鲲鹏ID	每台硬件唯一
环境因子	内网段 / 城市	192.168.x.x / Wenzhou	网络拓扑私密
脑内盐	仅用户记忆	(永不写入文件)	不在任何代码中

---

二、数学实现（完整公开）

2.1 三层融合

import hashlib
import hmac

def 派生覆写码(生物因子: bytes, 设备因子: bytes, 环境因子: bytes, 脑内盐: bytes) -> str:
    """
    三层融合 · HMAC 派生
    
    公式:
      融合 = SHA256(生物因子 || 设备因子 || 环境因子)
      覆写码 = HMAC-SHA256(融合, 脑内盐)
    
    安全特性:
      - 任一因子缺失 → 无法派生
      - 脑内盐 ≠ NULL → 只有记忆者能算
      - 换设备 → 覆写码自动变 → 旧码失效
    """
    # Step 1: 三层融合
    融合 = hashlib.sha256(生物因子 + 设备因子 + 环境因子).digest()
    
    # Step 2: HMAC with 脑内盐
    覆写码原始 = hmac.new(脑内盐, 融合, hashlib.sha256).hexdigest()
    
    return f"🔑{覆写码原始[:16]}-SOVEREIGN⚡️{覆写码原始[16:32]}"

2.2 设备因子采集（Mac）

import platform, subprocess

def 获取设备因子_Mac() -> bytes:
    """Mac 硬件指纹"""
    factors = []
    
    # 主板 UUID（ioreg 读取，无需 root）
    result = subprocess.run(
        ["ioreg", "-rd1", "-c", "IOPlatformExpertDevice"],
        capture_output=True, text=True
    )
    for line in result.stdout.split("\n"):
        if "IOPlatformUUID" in line:
            factors.append(line.split('"')[-2])
            break
    
    # 磁盘 Volume UUID
    result = subprocess.run(
        ["diskutil", "info", "disk0"],
        capture_output=True, text=True
    )
    for line in result.stdout.split("\n"):
        if "Volume UUID" in line:
            factors.append(line.split(":")[-1].strip())
            break
    
    return hashlib.sha256(":".join(factors).encode()).digest()

2.3 设备因子采集（华为鲲鹏 / Linux）

from pathlib import Path

def 获取设备因子_鲲鹏() -> bytes:
    """华为鲲鹏服务器硬件指纹"""
    factors = []
    
    # 网卡 MAC（遍历常见接口名）
    for iface in ["eth0", "enp0s1", "ens3"]:
        mac_file = Path(f"/sys/class/net/{iface}/address")
        if mac_file.exists():
            factors.append(mac_file.read_text().strip())
            break
    
    # 主板序列号（dmidecode，部分系统需root）
    try:
        result = subprocess.run(
            ["dmidecode", "-s", "system-serial-number"],
            capture_output=True, text=True
        )
        serial = result.stdout.strip()
        if serial and serial != "Not Specified":
            factors.append(serial)
    except Exception:
        pass
    
    # 机器 ID（systemd 生成，每台唯一）
    machine_id = Path("/etc/machine-id")
    if machine_id.exists():
        factors.append(machine_id.read_text().strip()[:16])
    
    return hashlib.sha256(":".join(factors).encode()).digest()

---

三、安全模型

3.1 威胁模型与防御

攻击场景	防御机制	效果
源码泄露（GitHub/CSDN）	无硬编码密钥	算法公开无害
设备被盗	换设备→设备因子变	旧码自动失效
指纹复制	活体检测 + Secure Enclave	平台级防护
脑内盐泄露	盐单独无用	需配合设备因子
网络中间人	环境因子绑定	异地需重新授权
内部人员	无盐无法操作	盐仅用户记忆

3.2 多设备独立派生

Mac M4 Max:   🔑a3f7b2c1d8e9f0a1-SOVEREIGN⚡️b2c3d4e5f6a7b8c9
华为鲲鹏:     🔑x9y8z7w6v5u4t3s2-SOVEREIGN⚡️r1q2p3o4n5m6l7k8
华为云香港:   🔑m1n2b3v4c5x6z7l8-SOVEREIGN⚡️k9j0h1g2f3d4s5a6

→ 每台设备独立派生，互不干扰
→ 设备丢失 → 该设备覆写码自然失效

---

四、降级兼容

当脑内盐未设置（开发阶段/过渡期），系统降级为 SHA256 哈希验证：

def 验证覆写码_降级模式(输入码: str, 已知哈希: str) -> bool:
    """无脑内盐时，用 SHA256 哈希比对"""
    return hashlib.sha256(输入码.encode()).hexdigest() == 已知哈希

# 源码中存储 SHA256(String)，不存 String 本身
已知哈希 = "798d6f2d8a78c804186082585bc08a68993c832e4a0106306ada3a7c51be90b9"

---

五、部署到你的系统

5.1 采集设备指纹

# Mac
python3 -c "from lh_sovereign_derive import _获取设备因子; print(_获取设备因子().hex())"

# 鲲鹏 Linux
python3 -c "from lh_sovereign_derive import _获取设备因子; print(_获取设备因子().hex())"

5.2 设置脑内盐（激活全派生模式）

python3 bin/lh_sovereign_derive.py set-salt '你的脑内密码'

之后系统自动从 Keychain/TEE 读取脑内盐，不再需要输入密码。

5.3 验证

# 诊断三层状态
python3 bin/lh_sovereign_derive.py diagnose

# 派生当前设备覆写码
python3 bin/lh_sovereign_derive.py derive

---

六、总结

覆写码不是"写死的密码"，是"现场算出来的钥匙"。

材料：你的指纹 + 你的设备 + 你的网络 + 你的记忆。
算法：SHA256 + HMAC（公开标准，无后门）。
安全：菜谱公开，没材料做不出菜。

---

本文为龍魂系统三层绑定覆写码架构的技术公开版。完整源码见项目仓库。

DNA: #ZHUGEXIN⚡️2026-07-12-SOVEREIGN-DERIVE-PUBLIC-v1.0