ロック中のデバイス保護、サービスの権限境界をレビュー

acrogenesisによるオープンの提案omacom/omarchy#14937では、ロック中に未認識のUSB・Thunderboltデバイスをブロックし、その間に接続されたデバイスをロック解除後に自動で許可する。また、ロックされていない間に接続された新しいデバイスについて、任意で承認を求められるようにする。マージ前には引き続きプロダクトレビューが必要であり、これは'デフォルトの動作'としての提案であって、提供済みの挙動ではない。

greptile-apps[bot]は、Thunderboltサービスのサンドボックスが認可に必要な書き込みを妨げるのではないかと指摘した。acrogenesisはomacom/omarchy#14937:discussion_r4416496723で、書き込みを許可する範囲を明示し、実際のboltdと模擬ハードウェアを使ったインストール済みサービスのテストに合格したと回答した。また、そのLab環境とsystemdのバージョンでは、当初指摘された拒否は再現しなかったとも述べている。VM上のCIも通過したと報告されているが、実機のThunderbolt、ファームウェア、実機でのサスペンド動作は、示された検証範囲に含まれていない。