Har skåret systemd‑sandkassens eksponering ned på hver eneste unit — en dødmandsknap‑tjeneste fra 9,6 UNSAFE til 1,5, en internetvendt git‑forge fra 8,3 EXPOSED til 1,5 — og har tilføjet et parsertjek ved konvergens efter at have fundet et stavefejlsbehæftet direktiv ignoreret i stilhed i tre unit‑skabeloner.

Situation. Tretten unit‑filer blev installeret af dette repository og kører på produktionsværten med de privilegier, supervisoren giver som standard, hvilket er de fleste af dem. En hærdningsscore satte dead man’s switch‑tjenesten til 9,6 og kaldte den usikker; den internetvendte git‑forge scorede 8,3 og eksponeret. Begge tal var korrekte, og ingen af dem havde foranlediget noget, for en score uden en tærskel knyttet til sig er et tal, folk lærer at springe over.

Opgave. Hver unit havde brug for en sandkasse proportional med hvad den faktisk gør, og sandkasserne havde brug for et tjek, for fejltilstanden ved en forkert sandkasse er, at unitten starter og så går i stykker et sted, parseren ikke kan se.

Handling. Privilegiebegrænsninger kom ind i hver unit‑skabelon — et privilegieloft fastlåst ved unittens eget, et systemkaldsfilter, begrænsede adressefamilier og hukommelse der er skrivbar eller eksekverbar, men aldrig begge dele. De målte resultater: dead man’s switch gik fra 9,6 til 1,5, forgen fra 8,3 til 1,5, og begge sikkerhedskopi‑units fra 9,6 til 2,3 og 2,5. At skrive dem bragte noget bedre frem end scorerne. Ét direktiv havde været stavet forkert i tre unit‑skabeloner, så længe de roller havde eksisteret — et plausibelt udseende navn der ikke findes, hvilket supervisoren svarer på ved at logge at den ikke genkender nøglen og starte unitten alligevel. At søge efter et direktiv beviser at det blev skrevet; kun parseren beviser at det tog effekt. Så en verifikationsrolle kører nu hver unit gennem supervisorens egen verifikator under konvergeringen og inkluderes af hver rolle der installerer en unit. Hvad det stadig ikke kan se, står klart i de samme dokumenter: hvert direktiv der kan ødelægge disse units, ødelægger dem ved kørsel, ikke ved parsning, og en score kan ikke sige om et script stadig når sin sidste linje.

Resultat. Hver unit kører med de privilegier den har brug for og ikke dem den ikke har, tallene er målte frem for påståede, og den fejlklasse hvor en tastefejl bliver til en tavst fraværende kontrol, fejler nu en kørsel. Målingens grænser er noteret ved siden af den, hvilket er den del der holder den næste læser fra at overfortolke et grønt bånd.