المخطط الأمني المتكامل – Qubes OS + Kicksecure نسخة 4.3 محدثة 2026 (لبيئات العمل شديدة الحساسية)

#!/bin/bash
# ============================================================
# auto-script.sh - سكريبت تعزيز أمان Qubes OS (نسخة 2026)
# بعد المراجعة والتحقق من المصادر الرسمية
# ============================================================

# الحصول على المستخدم الحقيقي والمسارات
REAL_USER=$(logname 2>/dev/null || echo "$SUDO_USER" 2>/dev/null || echo "$USER")
REAL_HOME="/home/$REAL_USER"
DESKTOP_PATH="$REAL_HOME/Desktop"

R='\033[0;31m'; G='\033[0;32m'; Y='\033[1;33m'; B='\033[0;34m'; N='\033[0m'
ok() { echo -e "${G}✓ $1${N}"; }
info() { echo -e "${B}ℹ $1${N}"; }
warn() { echo -e "${Y}⚠ $1${N}"; }
err() { echo -e "${R}✗ $1${N}"; }

pause() { echo; read -p "اضغط Enter للمتابعة..."; }

BASE_TEMPLATE=$(qubes-prefs default_template) 


menu() {
    clear
    echo "======"
    echo "  🔒 تعزيز أمان Qubes OS + Kicksecure"
    echo "======"
    echo ""
    echo "1) إعداد معلمات النواة (dom0 + VMs)"
    echo "2) إعداد MAC Randomization + تعطيل IPv6"
    echo "3) إنشاء بوابات Whonix"
    echo "4) تثبيت Kicksecure + جعله الأساس"
    echo "5) إنشاء سكريبتات RAM Pool"
    echo "6) إنشاء سكريبت Amnesic Tmpfs"
    echo "7) تشغيل Live Mode"
    echo "8) 💀 أدوات التدمير (BusKill + الطوارئ)"
    echo "9) 🛡️ تقوية تشفير قرص النظام (LUKS PBKDF)"
    echo "10) إعداد توصيل تلقائي للأقراص في Whonix"
    echo "11) تنفيذ الأقسام التلقائية (1 إلى 8)"
    echo "0) خروج"
    echo ""
    read -p "اختر: " c
    case $c in
        1) kernel_opts_menu ;;
        2) mac_random ;;
        3) whonix_gws ;;
        4) kicksecure ;;
        5) ram_pool_scripts ;;
        6) amnesic_script ;;
        7) live_mode ;;
        8) emergency_script ;;
        9) luks_hardening ;;
        10) whonix_auto_mount ;;
        11) run_auto ;;
        0) exit 0 ;;
        *) menu ;;
    esac
}

# ===================================================================
# القسم 1: إعداد معلمات النواة (النسخة المصححة والموثقة)
# ===================================================================

# ========
# 1. قائمة إعداد معلمات النواة (3 خيارات فقط)
# ========
kernel_opts_menu() {
    clear
    echo "======"
    echo "  ⚙️  إعداد معلمات النواة"
    echo "======"
    echo ""
    echo "1) إعداد dom0 (GRUB + Secureblue sysctl)"
    echo "2) إعداد جميع VMs (kernelopts)"
    echo "3) استعادة GRUB من النسخة الاحتياطية"
    echo "0) رجوع للقائمة الرئيسية"
    echo ""
    read -p "اختر: " c
    case $c in
        1) setup_kernel_opts_dom0 ;;
        2) setup_kernel_opts_vms ;;
        3) rollback_grub ;;
        0) menu ;;
        *) kernel_opts_menu ;;
    esac
}

# ========
# 1أ. إعداد dom0 (GRUB + Secureblue sysctl)
# ========
setup_kernel_opts_dom0() {
    clear
    echo "=========================================="
    echo "  🔧 إعداد dom0 (GRUB + Secureblue sysctl)"
    echo "=========================================="
    
    # ------------- الجزء 1: GRUB -------------
    echo ""
    echo "📌 الجزء الأول: إعداد معلمات GRUB"
    echo ""
    
    if [ ! -f /etc/default/grub ]; then
        err "الملف /etc/default/grub غير موجود!"
        pause
        return 1
    fi
    
    # استخراج UUID بطرق متعددة
    CURRENT_UUID=$(grep -oP 'rd\.luks\.uuid=luks-\K[a-f0-9-]+' /etc/default/grub 2>/dev/null)
    
    if [ -z "$CURRENT_UUID" ]; then
        CURRENT_UUID=$(sudo cryptsetup luksUUID $(findmnt -n -o SOURCE /) 2>/dev/null)
    fi
    
    if [ -z "$CURRENT_UUID" ]; then
        err "لا يمكن استخراج UUID من GRUB الحالي"
        echo ""
        read -p "أدخل UUID يدوياً (بدون luks-): " CURRENT_UUID
        [ -z "$CURRENT_UUID" ] && { err "لم يتم إدخال UUID"; pause; return 1; }
    fi
    
    ok "UUID: $CURRENT_UUID"
    
    # إنشاء نسخة احتياطية
    BACKUP_FILE="/etc/default/grub.backup.$(date +%Y%m%d_%H%M%S)"
    sudo cp /etc/default/grub "$BACKUP_FILE"
    ok "نسخة احتياطية: $BACKUP_FILE"
    
    echo ""
    echo "📋 معلمات dom0:"
    echo ""
    echo "┌─────────────────────────────────────────────────────────────┐"
    echo "│ Xen معلمات:                                                 │"
    echo "│   bootscrub=1 xen_scrub_pages=1                            │"
    echo "│                                                             │"
    echo "│ Linux معلمات:                                               │"
    echo "│   init_on_free=1 init_on_alloc=1 page_poison=1              │"
    echo "│   lockdown=confidentiality module.sig_enforce=1             │"
    echo "│   slab_nomerge vsyscall=none kernel.kptr_restrict=2         │"
    echo "│   oops=panic debugfs=off quiet loglevel=0 spectre_v2=on     │"
    echo "│   page_alloc.shuffle=1 preempt=voluntary pti=on mds=full    │"
    echo "└─────────────────────────────────────────────────────────────┘"
    echo ""
    
    read -p "متابعة تطبيق معلمات GRUB؟ (y/n): " confirm
    [[ "$confirm" != "y" && "$confirm" != "Y" ]] && { err "تم الإلغاء"; pause; return 0; }
    
    # إنشاء ملف GRUB الجديد
    cat > /tmp/grub_new << 'INNER_EOF'
GRUB_TIMEOUT=5
GRUB_DISTRIBUTOR="$(sed 's, release .*$,,g' /etc/system-release)"
GRUB_DEFAULT=saved
GRUB_DISABLE_SUBMENU=false
GRUB_TERMINAL_OUTPUT="console"
GRUB_CMDLINE_LINUX="rd.luks.uuid=UUID_PLACEHOLDER rd.lvm.lv=qubes_dom0/root rd.lvm.lv=qubes_dom0/swap plymouth.ignore-serial-consoles rhgb quiet init_on_free=1 init_on_alloc=1 page_poison=1 lockdown=confidentiality module.sig_enforce=1 slab_nomerge vsyscall=none kernel.kptr_restrict=2 oops=panic debugfs=off loglevel=0 spectre_v2=on page_alloc.shuffle=1 preempt=voluntary pti=on mds=full"
GRUB_DISABLE_RECOVERY="true"
GRUB_THEME="/boot/grub2/themes/qubes/theme.txt"
GRUB_CMDLINE_XEN_DEFAULT="console=none dom0_mem=min:1024M dom0_mem=max:8192M ucode=scan bootscrub=1 xen_scrub_pages=1 gnttab_max_frames=2048 gnttab_max_maptrack_frames=4096"
GRUB_DISABLE_OS_PROBER="true"
GRUB_CMDLINE_LINUX="$GRUB_CMDLINE_LINUX rd.qubes.hide_all_usb"
INNER_EOF

    sed -i "s/UUID_PLACEHOLDER/luks-$CURRENT_UUID/" /tmp/grub_new
    sudo cp /tmp/grub_new /etc/default/grub
    rm /tmp/grub_new
    
    info "جاري تحديث GRUB..."
    sudo grub2-mkconfig -o /boot/grub2/grub.cfg
    
    if [ $? -eq 0 ]; then
        ok "تم تحديث GRUB بنجاح"
    else
        err "فشل تحديث GRUB! استعادة النسخة الاحتياطية..."
        sudo cp "$BACKUP_FILE" /etc/default/grub
        sudo grub2-mkconfig -o /boot/grub2/grub.cfg
        pause
        return 1
    fi
    
    # ------------- الجزء 2: Secureblue sysctl -------------
    echo ""
    echo "📌 الجزء الثاني: إعداد Secureblue sysctl (طبقة حماية إضافية)"
    echo ""
    
    read -p "هل تريد تطبيق إعدادات Secureblue sysctl؟ (y/n): " confirm_sysctl
    if [[ "$confirm_sysctl" == "y" || "$confirm_sysctl" == "Y" ]]; then
        if [ -f /etc/sysctl.d/99-qubes-hardening.conf ]; then
            sudo cp /etc/sysctl.d/99-qubes-hardening.conf /etc/sysctl.d/99-qubes-hardening.conf.backup.$(date +%Y%m%d_%H%M%S)
            ok "نسخة احتياطية لـ sysctl"
        fi
        
        sudo tee /etc/sysctl.d/99-qubes-hardening.conf << 'EOF'
# Secureblue Hardening for Qubes dom0
# المصدر: https://github.com/secureblue/secureblue

# منع تفريغ الذاكرة عند الوصول الفيزيائي (SysRq)
kernel.sysrq=0

# تقييد الوصول إلى أدوات المراقبة (يمنع القنوات الجانبية)
kernel.perf_event_paranoid=3

# إخفاء عناوين النواة (يصعّب استغلال KASLR)
kernel.kptr_restrict=2

# إعادة تشغيل تلقائي بعد 5 ثوانٍ من الانهيار
kernel.panic=5

# تقييد تسجيل console (يقلل تسرب البيانات)
kernel.printk=3 3 3 3

# منع تحميل نواة بديلة (يمنع الاستمرارية)
kernel.kexec_load_disabled=1

# تعطيل io_uring تماماً (يمنع rootkits)
kernel.io_uring_disabled=2

# حماية الملفات العادية من هجمات Symlink
fs.protected_regular=2

# حماية الـ FIFOs من تصعيد الصلاحيات
fs.protected_fifos=2

# منع المستخدمين العاديين من قراءة dmesg
kernel.dmesg_restrict=1

# تعطيل eBPF لغير المتميزين
kernel.unprivileged_bpf_disabled=1

# تحديد الحد الأقصى لتعيينات الذاكرة
vm.max_map_count=1048576

# تعطيل core dumps
fs.suid_dumpable=0
EOF
        sudo sysctl --system
        ok "تم تطبيق Secureblue sysctl"
    else
        info "تم تخطي Secureblue sysctl"
    fi
    
    echo ""
    warn "⚠️ التغييرات لن تفعّل إلا بعد إعادة التشغيل"
    echo ""
    echo "📋 للتحقق من التطبيق بعد إعادة التشغيل، استخدم:"
    echo "   cat /proc/cmdline | grep -E 'init_on_free|pti'"
    echo "   sysctl kernel.sysrq kernel.perf_event_paranoid"
    echo ""
    
    read -p "إعادة التشغيل الآن؟ (y/n): " reboot_choice
    [[ "$reboot_choice" == "y" || "$reboot_choice" == "Y" ]] && sudo reboot
    
    pause
}
# ========
# 1ب. إضافة معلمات النواة لجميع الـ VMs (النسخة النهائية)
# ========
setup_kernel_opts_vms() {
    clear
    echo "=========================================="
    echo "  🔧 إعداد معلمات النواة لجميع الـ VMs"
    echo "=========================================="
    echo ""

    # القائمة الكاملة
    NEW_OPTS="xen_scrub_pages=1 init_on_free=1 init_on_alloc=1 page_poison=1 mitigations=auto random.trust_cpu=off random.trust_bootloader=off spec_store_bypass_disable=on tsx_async_abort=full mds=full,nosmt page_alloc.shuffle=1 randomize_kstack_offset=on l1tf=full,force ipv6.disable=1 slab_nomerge vsyscall=none retbleed=stuff spectre_v2_user=on kvm.nx_huge_pages=force"

    read -p "تطبيق المعلمات على جميع VMs؟ (y/n): " confirm
    [[ "$confirm" != "y" && "$confirm" != "Y" ]] && { info "تم الإلغاء"; return; }

    info "إغلاق VMs..."
    sudo qvm-shutdown --all 2>/dev/null
    sleep 3

    local APPLIED_COUNT=0

    # تطبيق المعلمات على الكل ما عدا dom0
    for vm in $(qvm-ls --raw-list 2>/dev/null); do
        vm_clean=$(echo "$vm" | tr -d '[:space:]')
        [ "$vm_clean" = "dom0" ] && continue

        if qvm-prefs "$vm_clean" kernelopts "$NEW_OPTS" 2>/dev/null; then
            echo "   ✅ $vm_clean: تم التطبيق"
            ((APPLIED_COUNT++))
        else
            warn "   ❌ $vm_clean: فشل"
        fi
    done

    echo ""
    ok "✅ تم تطبيق المعلمات على $APPLIED_COUNT VM"

    # تصفير البوابات الخاصة
    echo ""
    info "🧹 تصفير kernelopts لبوابات Whonix..."

    for gw in $(qvm-ls --raw-list 2>/dev/null | grep -E 'sys-whonix|whonix-gateway'); do
        gw_clean=$(echo "$gw" | tr -d '[:space:]')
        if qvm-prefs "$gw_clean" kernelopts "" 2>/dev/null; then
            echo "   🧹 $gw_clean: تم التصفير (kernelopts=\"\")"
        else
            warn "   ❌ $gw_clean: فشل التصفير"
        fi
    done

    echo ""
    info "إعادة تشغيل الخدمات الأساسية..."
    for vm in sys-net sys-firewall sys-usb; do
        qvm-start "$vm" 2>/dev/null && echo "   🔄 $vm: تم التشغيل"
    done

    # تفعيل ephemeral_volatile
    echo ""
    echo "╔═══════════════════════════════════════════════════════════════╗"
    echo "║  💧 تفعيل ephemeral_volatile                                   ║"
    echo "╠═══════════════════════════════════════════════════════════════╣"
    echo "║  يتم تفعيل التشفير العابر للـ volatile volume                 ║"
    echo "╚═══════════════════════════════════════════════════════════════╝"
    echo ""

    info "تفعيل ephemeral_volatile على الـ pools..."
    for pool in vm-pool varlibqubes; do
        if qvm-pool ls 2>/dev/null | grep -q "$pool"; then
            qvm-pool set "$pool" -o ephemeral_volatile=True 2>/dev/null && \
                ok "تم تفعيل ephemeral_volatile على $pool" || \
                warn "فشل تفعيل ephemeral_volatile على $pool"
        else
            warn "الـ pool $pool غير موجود، تخطي"
        fi
    done
    ok "تم تفعيل ephemeral_volatile على $EPHEMERAL_COUNT VM"

    echo ""
    ok "✅ اكتمل إعداد معلمات VMs بنجاح!"
    pause
}

# ========
# 1ج. استعادة GRUB من النسخة الاحتياطية
# ========
rollback_grub() {
    clear
    echo "======"
    echo "  🔄 استعادة GRUB من النسخة الاحتياطية"
    echo "======"
    echo ""
    
    echo "📁 النسخ الاحتياطية المتوفرة:"
    ls -la /etc/default/grub.backup.* 2>/dev/null | head -5 || { err "لا توجد نسخ احتياطية"; pause; return 1; }
    echo ""
    
    read -p "أدخل اسم ملف النسخة الاحتياطية (أو Enter لأحدث نسخة): " backup_name
    
    if [ -z "$backup_name" ]; then
        backup_name=$(ls -t /etc/default/grub.backup.* 2>/dev/null | head -1)
    else
        backup_name="/etc/default/$backup_name"
    fi
    
    [ ! -f "$backup_name" ] && { err "الملف غير موجود"; pause; return 1; }
    
    sudo cp "$backup_name" /etc/default/grub
    ok "تم استعادة الملف"
    
    sudo grub2-mkconfig -o /boot/grub2/grub.cfg
    ok "تم تحديث GRUB"
    
    read -p "إعادة التشغيل الآن؟ (y/n): " reboot_choice
    [[ "$reboot_choice" == "y" || "$reboot_choice" == "Y" ]] && sudo reboot
    pause
}



# ========
# 2. MAC Randomization + تعطيل IPv6 + إغلاق القالب
# ========
mac_random() {
    info "إعداد MAC Randomization: $BASE_TEMPLATE"
    
    info "التحقق من إعدادات IPv6 لـ sys-net و sys-firewall..."
    
    for vm in sys-net sys-firewall; do
        if qvm-ls "$vm" >/dev/null 2>&1; then
            CURRENT_OPTS=$(qvm-prefs "$vm" kernelopts 2>/dev/null | xargs)
            
            if [[ "$CURRENT_OPTS" == *"ipv6.disable=1"* ]]; then
                warn "⚠️ $vm: IPv6 معطل بالفعل"
            else
                info "🔧 $vm: جاري تعطيل IPv6..."
                qvm-prefs "$vm" kernelopts "$CURRENT_OPTS ipv6.disable=1"
                ok "✅ تم تعطيل IPv6 لـ $vm"
            fi
        else
            warn "$vm غير موجود، تخطي"
        fi
    done
    
    if qvm-ls "$BASE_TEMPLATE" >/dev/null 2>&1; then
        info "🔧 إعداد MAC Randomization في $BASE_TEMPLATE..."
        qvm-run "$BASE_TEMPLATE" "sudo bash -c 'mkdir -p /usr/lib/NetworkManager/conf.d/ && cat > /usr/lib/NetworkManager/conf.d/31-randomize-mac.conf << EOF
[connection]
ethernet.cloned-mac-address=random
wifi.cloned-mac-address=random
wifi.scan-rand-mac-address=yes
EOF'"
        ok "✅ تم إعداد MAC Randomization في $BASE_TEMPLATE"
        
        info "إغلاق القالب $BASE_TEMPLATE..."
        qvm-shutdown "$BASE_TEMPLATE" 2>/dev/null || true
        ok "تم إغلاق $BASE_TEMPLATE"
    else
        warn "القالب $BASE_TEMPLATE غير موجود، تخطي إعداد MAC"
    fi
    
    info "ملاحظة: قد تحتاج إلى إعادة تشغيل الأجهزة المبنية على هذا القالب"
    pause
}


# ========
# 3. إنشاء بوابات Whonix
# ========
whonix_gws() {
    for g in "sys-whonix-A:red" "sys-whonix-B:blue"; do
        n=${g%:*}; l=${g#*:}
        if ! qvm-ls | grep -q "$n"; then
            qvm-create --class AppVM --label "$l" --template whonix-gateway-18 "$n"
            qvm-prefs "$n" provides_network true
            ok "تم إنشاء $n"
        else
            info "$n موجود بالفعل، تخطي"
        fi
    done
    pause
}

# ========
# 4. تثبيت Kicksecure + جعله الأساس + إعدادات متقدمة (مصحح لـ Qubes)
# ========
kicksecure() {
    clear
    echo "=========================================="
    echo "  🔒 تثبيت وتكوين Kicksecure 18 لـ Qubes OS"
    echo "=========================================="
    echo ""
    echo "📌 ملاحظة: في Qubes OS، القوالب تشارك نواة dom0."
    echo "   سيتم تطبيق تقوية المستخدم (userspace) فقط داخل القالب."
    echo "   يجب ضبط معاملات النواة عبر kernelopts أو GRUB."
    echo ""

    info "التحقق من وجود قالب Kicksecure 18..."
    if qvm-ls | grep -q kicksecure-18; then
        ok "قالب Kicksecure 18 موجود مسبقاً"
        info "تخطي مرحلة التثبيت..."
    else
        info "قالب Kicksecure 18 غير موجود، جاري التثبيت..."
        qvm-template --enablerepo qubes-templates-community install kicksecure-18
        if ! qvm-ls | grep -q kicksecure-18; then
            err "فشل تثبيت kicksecure-18"
            pause
            return
        fi
        ok "تم تثبيت Kicksecure-18 بنجاح"
    fi

    info "تثبيت الإضافات..."
    sudo qubes-dom0-update --action=install -y qubes-core-admin-addon-kicksecure

    info "إعادة تشغيل خدمة qubesd..."
    sudo systemctl restart qubesd.service
    ok "تم إعادة تشغيل qubesd.service"

    info "تشغيل قالب Kicksecure 18..."
    qvm-start kicksecure-18

    local MAX_WAIT=30
    local WAIT_COUNT=0
    while ! qvm-check --running kicksecure-18 2>/dev/null; do
        sleep 2
        WAIT_COUNT=$((WAIT_COUNT + 1))
        if [ $WAIT_COUNT -ge $MAX_WAIT ]; then
            warn "القالب لم ينته من التشغيل، نكمل بحذر..."
            break
        fi
    done
    sleep 5

    # 1. ضبط المنطقة الزمنية
    info "ضبط المنطقة الزمنية إلى UTC..."
    qvm-run kicksecure-18 "sudo timedatectl set-timezone Etc/UTC" 2>/dev/null || true
    ok "تم ضبط المنطقة الزمنية"

    # 2. تفعيل MAC Randomization
    info "إعداد MAC Randomization..."
    qvm-run kicksecure-18 "sudo bash -c 'mkdir -p /usr/lib/NetworkManager/conf.d/ && cat > /usr/lib/NetworkManager/conf.d/31-randomize-mac.conf << \"EOF\"
[connection]
ethernet.cloned-mac-address=random
wifi.cloned-mac-address=random
wifi.scan-rand-mac-address=yes
EOF'" 2>/dev/null || true
    ok "تم تكوين MAC Randomization"

    # 3. تعطيل الخدمات غير الضرورية
    info "تعطيل الخدمات غير الضرورية..."
    qvm-run kicksecure-18 "sudo systemctl mask bluetooth.service cups.service avahi-daemon.service ModemManager.service 2>/dev/null || true" 2>/dev/null || true
    qvm-run kicksecure-18 "sudo systemctl disable --now NetworkManager-wait-online.service 2>/dev/null || true" 2>/dev/null || true
    ok "تم تعطيل الخدمات غير الضرورية"

    # 4. إزالة الحزم غير الضرورية
    info "إزالة الحزم غير الضرورية..."
    qvm-run kicksecure-18 "sudo apt remove -y --purge thunderbird hexchat transmission-common 2>/dev/null || true" 2>/dev/null || true
    qvm-run kicksecure-18 "sudo apt autoremove -y 2>/dev/null || true" 2>/dev/null || true
    ok "تمت إزالة الحزم غير الضرورية"

    # 5. إغلاق القالب
    info "إغلاق قالب Kicksecure 18..."
    qvm-shutdown --wait kicksecure-18 2>/dev/null || true
    ok "تم إغلاق Kicksecure-18"

    # 6. إنشاء قالب DVM مقوّى (بدون rw False)
    echo ""
    echo "╔═══════════════════════════════════════════════════════════════╗"
    echo "║  🧬 إنشاء قالب DVM مقوّى (قالب عابر)                         ║"
    echo "╚═══════════════════════════════════════════════════════════════╝"
    echo ""
    read -p "هل تريد إنشاء قالب DVM مقوّى من Kicksecure؟ (y/n): " create_dvm

    if [[ "$create_dvm" == "y" || "$create_dvm" == "Y" ]]; then
        info "إنشاء قالب DVM مقوّى..."
        if ! qvm-ls kicksecure-18-dvm >/dev/null 2>&1; then
            qvm-create --template kicksecure-18 --label red kicksecure-18-dvm
            ok "✓ تم إنشاء kicksecure-18-dvm"
        else
            info "kicksecure-18-dvm موجود مسبقاً"
        fi
        qvm-prefs kicksecure-18-dvm template_for_dispvms true
        # تم حذف: qvm-volume config kicksecure-18-dvm:root rw False
        qvm-prefs kicksecure-18-dvm kernelopts "init_on_free=1 init_on_alloc=1 page_poison=1 slab_nomerge"
        ok "✓ تم تعيين kicksecure-18-dvm كـ DVM مقوّى"

        read -p "هل تريد جعله الـ default-dvm؟ (y/n): " make_default
        if [[ "$make_default" == "y" || "$make_default" == "Y" ]]; then
            qvm-prefs default-dvm template kicksecure-18-dvm
            ok "✓ default-dvm يستخدم الآن kicksecure-18-dvm"
        fi
    fi

    # 7. السؤال عن جعل Kicksecure القالب الافتراضي (يتضمن تعديل sys-usb)
    echo ""
    echo "╔═══════════════════════════════════════════════════════════════╗"
    echo "║  🎯 جعل Kicksecure 18 القالب الافتراضي لـ default-dvm        ║"
    echo "╚═══════════════════════════════════════════════════════════════╝"
    echo ""
    read -p "هل تريد جعل Kicksecure 18 الافتراضي لـ default-dvm؟ (y/n): " yn
    if [[ "$yn" == "y" || "$yn" == "Y" ]]; then
        BASE_TEMPLATE="kicksecure-18"
        if ! qvm-ls --raw-list | grep -q "^$BASE_TEMPLATE$"; then
            err "القالب $BASE_TEMPLATE غير موجود"
            pause
            return
        fi

        info "إيقاف الآلات المتأثرة..."
        qvm-kill sys-* 2>/dev/null
        qvm-kill default-dvm 2>/dev/null

        info "تغيير قالب default-dvm..."
        qvm-prefs default-dvm template "$BASE_TEMPLATE"
        ok "✓ default-dvm يعمل الآن من Kicksecure 18"

        echo ""
        info "مسح kernelopts لـ sys-firewall و sys-net..."
        qvm-prefs sys-firewall kernelopts "" 2>/dev/null
        qvm-prefs sys-net kernelopts "" 2>/dev/null
        ok "✓ تم مسح kernelopts للآلات المعنية"

        echo ""
        info "رفع إعدادات الذاكرة لـ sys-net و sys-firewall..."
        qvm-prefs sys-net memory 800 2>/dev/null
        qvm-prefs sys-net maxmem 800 2>/dev/null
        qvm-prefs sys-firewall memory 800 2>/dev/null
        qvm-prefs sys-firewall maxmem 800 2>/dev/null
        ok "✓ تم رفع إعدادات الذاكرة"

        # تعديل sys-usb فقط إذا وافق المستخدم على جعل Kicksecure افتراضياً
        if qvm-ls sys-usb >/dev/null 2>&1; then
            info "تعديل إعدادات sys-usb..."
            qvm-prefs sys-usb memory 800 2>/dev/null
            qvm-prefs sys-usb maxmem 800 2>/dev/null
            qvm-start sys-usb 2>/dev/null || true
            ok "✓ تم رفع ذاكرة sys-usb إلى 800MB"
        fi

        echo ""
        info "تشغيل الآلات..."
        qvm-start sys-net 2>/dev/null
        qvm-start sys-firewall 2>/dev/null

        sleep 5
        sudo systemctl restart qubesd.service
        ok "✓ اكتمل بنجاح"
    fi

    echo ""
    echo "╔═══════════════════════════════════════════════════════════════╗"
    echo "║                    ✅ اكتمل إعداد Kicksecure!                 ║"
    echo "╠═══════════════════════════════════════════════════════════════╣"
    echo "║  📋 تم تطبيق:                                                ║"
    echo "║  • المنطقة الزمنية UTC                                       ║"
    echo "║  • تفعيل MAC Randomization                                   ║"
    echo "║  • تعطيل الخدمات غير الضرورية                                ║"
    echo "║  • إزالة الحزم غير الضرورية                                  ║"
    echo "║                                                               ║"
    echo "║  ⚠️  ملاحظة: يتم تطبيق معاملات النواة عبر:                    ║"
    echo "║     • dom0: GRUB (التبويب 0 أو الخيار 1 من السكربت)          ║"
    echo "║     • الآلات: kernelopts (الخيار 2 من السكربت)               ║"
    echo "╚═══════════════════════════════════════════════════════════════╝"
    echo ""
    pause
}

# ========
# 5. سكريبتات RAM Pool 
# ========
ram_pool_scripts() {
    mkdir -p "$DESKTOP_PATH/ram-pool-scripts"
    echo 'org.gnome.DiskUtility.desktop
janondisttorbrowser.desktop
pcmanfm-qt.desktop
qterminal.desktop
anondist-torbrowser_update.desktop' | qvm-appmenus --set-default-whitelist - whonix-workstation-18

    qvm-appmenus --update whonix-workstation-18

    echo "✅ تم تعيين Disks (org.gnome.DiskUtility.desktop) افتراضياً - تأكد من تثبيتها"

    # ========== setup-ram-pool.sh ==========
    cat > "$DESKTOP_PATH/ram-pool-scripts/setup-ram-pool.sh" << 'EOF'
#!/bin/bash
RAM_POOL_PATH="$HOME/ram_pool"
RAM_POOL_SIZE="4G"
sudo mkdir -p "$RAM_POOL_PATH"
sudo mount -t tmpfs -o size=$RAM_POOL_SIZE tmpfs "$RAM_POOL_PATH"
if ! qvm-pool ls | grep -q ram_pool; then
    qvm-pool add ram_pool file -o dir_path="$RAM_POOL_PATH"
fi
qvm-pool set ram_pool -o ephemeral_volatile=True
echo "✅ RAM pool جاهز مع ephemeral_volatile مفعل"
EOF

# ========== setup-ram-pool.sh ==========
cat > "$DESKTOP_PATH/ram-pool-scripts/setup-ram-pool.sh" << 'EOF'
#!/bin/bash
RAM_POOL_PATH="$HOME/ram_pool"
RAM_POOL_SIZE="4G"
sudo mkdir -p "$RAM_POOL_PATH"
sudo mount -t tmpfs -o size=$RAM_POOL_SIZE tmpfs "$RAM_POOL_PATH"
if ! qvm-pool ls | grep -q ram_pool; then
    qvm-pool add ram_pool file -o dir_path="$RAM_POOL_PATH"
fi
qvm-pool set ram_pool -o ephemeral_volatile=True
echo "✅ RAM pool جاهز مع ephemeral_volatile مفعل"
EOF

# ========== create-ram-vm.sh (فردي - بدون توصيل تلقائي) ==========
cat > "$DESKTOP_PATH/ram-pool-scripts/create-ram-vm.sh" << 'SCRIPT_EOF'
#!/bin/bash
# create-ram-vm.sh - إنشاء whonix-work-ram
set -e

GATEWAY="sys-whonix"
WORKSTATION="whonix-work-ram"
TEMPLATE="whonix-workstation-18"
RAM_PATH="$HOME/ram_pool"

KERNEL_OPTS="xen_scrub_pages=1 init_on_free=1 init_on_alloc=1 page_poison=1 mitigations=auto random.trust_cpu=off random.trust_bootloader=off spec_store_bypass_disable=on tsx_async_abort=full mds=full,nosmt page_alloc.shuffle=1 randomize_kstack_offset=on l1tf=full,force ipv6.disable=1 slab_nomerge vsyscall=none retbleed=stuff spectre_v2_user=on kvm.nx_huge_pages=force"

# 1. RAM pool
if ! mount | grep -q "$RAM_PATH"; then
    sudo mkdir -p "$RAM_PATH"
    sudo mount -t tmpfs -o size=4G tmpfs "$RAM_PATH"
    qvm-pool add ram_pool file -o dir_path="$RAM_PATH" 2>/dev/null || true
    qvm-pool set ram_pool -o ephemeral_volatile=True 2>/dev/null || true
fi

# 2. إنشاء VM
qvm-kill "$WORKSTATION" 2>/dev/null || true
qvm-remove --force "$WORKSTATION" 2>/dev/null || true
qvm-create -P ram_pool -t "$TEMPLATE" -l red "$WORKSTATION"
qvm-prefs "$WORKSTATION" kernelopts "$KERNEL_OPTS"
echo "✅ تم إنشاء $WORKSTATION"

# 3. توصيل البوابة (اختياري - تأكد من وجودها)
qvm-prefs "$WORKSTATION" netvm "$GATEWAY" 2>/dev/null || echo "⚠️ تعذّر توصيل البوابة"
SCRIPT_EOF

chmod +x "$DESKTOP_PATH/ram-pool-scripts/create-ram-vm.sh"

# ========== mount-to-whonix.sh (توصيل + فصل آمن) ==========
cat > "$DESKTOP_PATH/ram-pool-scripts/mount-to-whonix.sh" << 'EOF'
#!/bin/bash
# mount-to-whonix.sh - توصيل/فصل الأقراص في Whonix VMs
set -e

MOUNT_POINT="/home/user/usb"
DEFAULT_DISK="xvdi"

G='\033[0;32m'; Y='\033[1;33m'; R='\033[0;31m'; N='\033[0m'

find_vm() {
    mapfile -t VMS < <(qvm-ls --raw-list --running --template-source whonix-workstation-18 whonix-workstation-18-dvm | grep -v "^sys-whonix")
    [ ${#VMS[@]} -eq 0 ] && { echo -e "${R}❌ لا توجد كيوبات Whonix عاملة${N}"; exit 1; }
    echo -e "${G}الكيوبات المتاحة:${N}"
    for i in "${!VMS[@]}"; do echo -e "  ${Y}[$((i+1))]${N} ${VMS[$i]}"; done
    while true; do
        read -p "اختر الرقم: " C
        [[ "$C" =~ ^[0-9]+$ && $C -ge 1 && $C -le ${#VMS[@]} ]] && { TARGET="${VMS[$((C-1))]}"; break; }
        echo -e "${R}خطأ${N}"
    done
}

echo -e "\n${G}🔌 إدارة الأقراص${N}"
echo -e "  [1] توصيل وتركيب\n  [2] فصل آمن (umount + detach)\n  [3] عرض الحالة\n  [4] خروج"
read -p "اختر: " OP

case $OP in
    1) # توصيل
        find_vm
        qvm-run --pass-io -u root "$TARGET" "lsblk -o NAME,SIZE,TYPE,MOUNTPOINT | head -20"
        read -p "اسم القرص [$DEFAULT_DISK]: " DISK; DISK=${DISK:-$DEFAULT_DISK}
        qvm-run --pass-io -u root "$TARGET" "test -b /dev/$DISK" || { echo -e "${R}❌ غير موجود${N}"; exit 1; }
        qvm-run --pass-io -u root "$TARGET" "mkdir -p $MOUNT_POINT && mount /dev/$DISK $MOUNT_POINT && echo '✅ تم'" || echo -e "${R}❌ فشل${N}"
        ;;
    2) # فصل آمن
        find_vm
        echo -e "${Y}الأجهزة المثبتة على $MOUNT_POINT:${N}"
        qvm-run --pass-io -u root "$TARGET" "mount | grep $MOUNT_POINT" 2>/dev/null || echo -e "${Y}لا شيء مثبت${N}"
        read -p "متابعة الفصل الكامل؟ (y/n): " CONFIRM
        [[ "$CONFIRM" =~ ^[Yy] ]] || exit 0

        # إلغاء التثبيت داخل VM
        echo -e "${Y}جاري إلغاء التثبيت من VM...${N}"
        qvm-run --pass-io -u root "$TARGET" "sync && umount $MOUNT_POINT 2>/dev/null" && echo -e "${G}✅ تم إلغاء التثبيت${N}" || echo -e "${Y}⚠️ غير مثبت أو فشل الإلغاء${N}"

        # فصل جميع الأجهزة من dom0
        echo -e "${Y}جاري فصل الأجهزة من dom0...${N}"
        qvm-block list | grep "$TARGET" | while read -r line; do
            DEVICE=$(echo "$line" | awk '{print $1}')
            echo -e "فصل $DEVICE..."
            qvm-block detach "$TARGET" "$DEVICE" 2>/dev/null && echo -e "${G}✅ $DEVICE مفصول${N}" || echo -e "${R}❌ فشل فصل $DEVICE${N}"
        done

        echo -e "${G}🎉 تم الفصل الكامل. يمكنك إعادة توصيل الجهاز لاحقاً وسيتولى المراقب تركيبه تلقائياً.${N}"
        ;;
    3) # عرض الحالة
        find_vm
        echo -e "${Y}=== حالة الأجهزة ===${N}"
        qvm-run --pass-io -u root "$TARGET" "lsblk -o NAME,SIZE,TYPE,MOUNTPOINT"
        echo -e "\n${Y}=== حالة التثبيت ===${N}"
        qvm-run --pass-io -u root "$TARGET" "mountpoint -q $MOUNT_POINT 2>/dev/null && echo '✅ مثبت' || echo '⚠️ غير مثبت'"
        echo -e "\n${Y}=== الأجهزة المتصلة ===${N}"
        qvm-block list | grep "$TARGET" || echo "لا توجد أجهزة متصلة"
        ;;
    4) echo -e "${G}👋${N}"; exit 0 ;;
    *) echo -e "${R}❌ خطأ${N}"; exit 1 ;;
esac
EOF

chmod +x "$DESKTOP_PATH/ram-pool-scripts/mount-to-whonix.sh"

    # ========== apply-cwtch-onionshare.sh ==========
    cat > "$DESKTOP_PATH/ram-pool-scripts/apply-cwtch-onionshare.sh" << 'EOF'
#!/bin/bash
# apply-cwtch-onionshare.sh - إعداد Cwtch و OnionShare على كيوب Whonix عامل
set -e

G='\033[0;32m'; Y='\033[1;33m'; R='\033[0;31m'; N='\033[0m'

echo -e "${G}🔧 تطبيق إعدادات Cwtch و OnionShare${N}"

# 1. البحث عن كيوبات Whonix العاملة (باستثناء sys-whonix)
mapfile -t VMS < <(qvm-ls --running --raw-list | grep -i whonix | grep -v sys-whonix)

if [ ${#VMS[@]} -eq 0 ]; then
    echo -e "${R}❌ لا توجد كيوبات Whonix عاملة. شغّل whonix-work-ram أولًا.${N}"
    exit 1
fi

echo -e "${G}الكيوبات المتاحة:${N}"
for i in "${!VMS[@]}"; do
    echo -e "  ${Y}[$((i+1))]${N} ${VMS[$i]}"
done

# 2. اختيار الكيوب
while true; do
    read -p "👉 اختر رقم الكيوب لتطبيق الإعدادات عليه (1-${#VMS[@]}): " CHOICE
    if [[ "$CHOICE" =~ ^[0-9]+$ ]] && [ "$CHOICE" -ge 1 ] && [ "$CHOICE" -le "${#VMS[@]}" ]; then
        WORKSTATION="${VMS[$((CHOICE-1))]}"
        break
    else
        echo -e "${R}❌ اختيار غير صحيح.${N}"
    fi
done

GATEWAY=$(qvm-prefs "$WORKSTATION" netvm 2>/dev/null | cut -d'|' -f1 | tr -d '[:space:]')
if [ -z "$GATEWAY" ] || [ "$GATEWAY" = "None" ]; then
    echo -e "${R}❌ $WORKSTATION لا يملك بوابة محددة.${N}"
    exit 1
fi

echo -e "\n${Y}⚙️  سيتم تطبيق الإعدادات على:${N}"
echo -e "  المحطة: ${G}$WORKSTATION${N}"
echo -e "  البوابة: ${G}$GATEWAY${N}"
read -p "❓ متابعة؟ (y/n): " CONFIRM
if [[ ! "$CONFIRM" =~ ^[Yy]$ ]]; then
    echo -e "${R}تم الإلغاء.${N}"
    exit 0
fi

# 3. إعداد البوابة (onion-grater)
echo -e "\n${Y}🔐 إضافة قواعد onion-grater على $GATEWAY ...${N}"
qvm-run --pass-io -u root "$GATEWAY" "onion-grater-add 40_cwtch && onion-grater-add 40_onionshare && systemctl restart onion-grater" && \
    echo -e "${G}✅ تم إعداد onion-grater${N}" || echo -e "${R}❌ فشل إعداد onion-grater${N}"

# 4. إعداد محطة العمل (فتح المنافذ)
echo -e "\n${Y}📡 فتح المنافذ على $WORKSTATION ...${N}"
qvm-run --pass-io -u root "$WORKSTATION" "mkdir -p /usr/local/etc/whonix_firewall.d && echo 'EXTERNAL_OPEN_PORTS+=\" \$(seq 15000 15378) \$(seq 17600 17659) \"' >> /usr/local/etc/whonix_firewall.d/50_user.conf && whonix_firewall" && \
    echo -e "${G}✅ تم فتح المنافذ وإعادة تحميل الجدار الناري${N}" || echo -e "${R}❌ فشل إعداد الجدار الناري${N}"

echo -e "\n${G}🎉 اكتملت إعدادات Cwtch و OnionShare${N}"
EOF

    chmod +x "$DESKTOP_PATH/ram-pool-scripts/apply-cwtch-onionshare.sh"

# ========== create-multi-ram-vm.sh (متعدد - بدون توصيل تلقائي) ==========
cat > "$DESKTOP_PATH/ram-pool-scripts/create-multi-ram-vm.sh" << 'EOF'
#!/bin/bash

BASE_TEMPLATE="whonix-workstation-18"
VM_BASE="whonix-work-ram"
RAM_POOL_PATH="$HOME/ram_pool"
RAM_POOL_SIZE="4G"
SAVE_SCRIPT_PATH="$HOME/Desktop/qubes-auto-create.sh"

G='\033[0;32m'; Y='\033[1;33m'; R='\033[0;31m'; B='\033[0;34m'; N='\033[0m'

KERNEL_OPTS="xen_scrub_pages=1 init_on_free=1 init_on_alloc=1 page_poison=1 mitigations=auto random.trust_cpu=off random.trust_bootloader=off spec_store_bypass_disable=on tsx_async_abort=full mds=full,nosmt page_alloc.shuffle=1 randomize_kstack_offset=on l1tf=full,force ipv6.disable=1 slab_nomerge vsyscall=none retbleed=stuff spectre_v2_user=on kvm.nx_huge_pages=force"

echo -e "${G}🔧 إنشاء أجهزة VM في RAM pool...${N}"

# 1. عدد الأجهزة
echo -e "${Y}كم عدد أجهزة VM التي تريد إنشاؤها؟${N}"
read -p "العدد: " VM_COUNT

if ! [[ "$VM_COUNT" =~ ^[0-9]+$ ]] || [ "$VM_COUNT" -lt 1 ]; then
    echo -e "${R}❌ خطأ: الرجاء إدخال رقم صحيح أكبر من 0${N}"
    exit 1
fi

# 2. البحث عن بوابات sys-whonix
echo -e "${Y}🔍 البحث عن بوابات sys-whonix المتاحة...${N}"

mapfile -t GATEWAYS < <(qvm-ls --raw-data --fields NAME,CLASS 2>/dev/null | grep -E '^sys-whonix(-[0-9]+)?' | awk '{print $1}' | cut -d'|' -f1)

if [ ${#GATEWAYS[@]} -eq 0 ]; then
    mapfile -t GATEWAYS < <(qvm-ls 2>/dev/null | grep -E '^sys-whonix(-[0-9]+)?' | awk '{print $1}')
fi

if [ ${#GATEWAYS[@]} -eq 0 ]; then
    echo -e "${R}❌ خطأ: لم يتم العثور على أي بوابة sys-whonix${N}"
    exit 1
fi

echo -e "${G}✅ تم العثور على البوابات التالية:${N}"
for i in "${!GATEWAYS[@]}"; do
    CLEAN_GATEWAY=$(echo "${GATEWAYS[$i]}" | cut -d'|' -f1 | tr -d '[:space:]')
    GATEWAYS[$i]="$CLEAN_GATEWAY"
    echo -e "  ${Y}[$((i+1))]${N} ${GATEWAYS[$i]}"
done

# 3. اختيار البوابات
echo -e "\n${Y}هل تريد استخدام بوابات مختلفة لكل VM؟ (y/n)${N}"
read -p "اختيار: " USE_DIFFERENT_GATEWAYS

declare -a VM_GATEWAYS

if [[ "$USE_DIFFERENT_GATEWAYS" =~ ^[Yy]$ ]]; then
    echo -e "\n${Y}حدد رقم البوابة لكل VM:${N}"
    for (( i=1; i<=VM_COUNT; i++ )); do
        while true; do
            read -p "VM رقم $i - اختر رقم البوابة (1-${#GATEWAYS[@]}): " GATEWAY_NUM
            if [[ "$GATEWAY_NUM" =~ ^[0-9]+$ ]] && [ "$GATEWAY_NUM" -ge 1 ] && [ "$GATEWAY_NUM" -le ${#GATEWAYS[@]} ]; then
                VM_GATEWAYS[$i]=${GATEWAYS[$((GATEWAY_NUM-1))]}
                echo -e "  ${G}✅ تم اختيار: ${VM_GATEWAYS[$i]}${N}"
                break
            else
                echo -e "${R}❌ رقم غير صحيح${N}"
            fi
        done
    done
else
    echo -e "\n${Y}اختر رقم البوابة لجميع الأجهزة:${N}"
    while true; do
        read -p "رقم البوابة (1-${#GATEWAYS[@]}): " GATEWAY_NUM
        if [[ "$GATEWAY_NUM" =~ ^[0-9]+$ ]] && [ "$GATEWAY_NUM" -ge 1 ] && [ "$GATEWAY_NUM" -le ${#GATEWAYS[@]} ]; then
            SELECTED_GATEWAY=${GATEWAYS[$((GATEWAY_NUM-1))]}
            for (( i=1; i<=VM_COUNT; i++ )); do
                VM_GATEWAYS[$i]=$SELECTED_GATEWAY
            done
            echo -e "${G}✅ تم اختيار: $SELECTED_GATEWAY${N}"
            break
        else
            echo -e "${R}❌ رقم غير صحيح${N}"
        fi
    done
fi

# 4. تأكيد
echo -e "\n${B}📋 ملخص الأجهزة:${N}"
for (( i=1; i<=VM_COUNT; i++ )); do
    echo -e "  ${VM_BASE}${i} → ${VM_GATEWAYS[$i]}"
done

echo -e "\n${Y}هل تريد المتابعة؟ (y/n)${N}"
read -p "اختيار: " CONFIRM
if [[ ! "$CONFIRM" =~ ^[Yy]$ ]]; then
    echo -e "${R}تم الإلغاء${N}"
    exit 0
fi

# 5. تحقق القالب
if ! qvm-check --quiet "$BASE_TEMPLATE" 2>/dev/null; then
    echo -e "${R}❌ القالب $BASE_TEMPLATE غير موجود${N}"
    exit 1
fi

# 6. حذف الأجهزة القديمة
echo -e "${Y}🗑️  حذف الأجهزة القديمة...${N}"
for vm in $(qvm-ls --raw-data --fields NAME 2>/dev/null | grep "^${VM_BASE}[0-9]" | cut -d'|' -f1); do
    qvm-kill "$vm" 2>/dev/null
    qvm-remove --force "$vm" 2>/dev/null
done
echo -e "${G}✅ تم الحذف${N}"

# 7. RAM pool
if ! mount | grep -q "$RAM_POOL_PATH"; then
    echo -e "${Y}📁 إنشاء RAM pool...${N}"
    sudo mkdir -p "$RAM_POOL_PATH"
    sudo mount -t tmpfs -o size=$RAM_POOL_SIZE tmpfs "$RAM_POOL_PATH"
    if ! qvm-pool ls | grep -q ram_pool; then
        qvm-pool add ram_pool file -o dir_path="$RAM_POOL_PATH"
        qvm-pool set ram_pool -o ephemeral_volatile=True 2>/dev/null
    fi
    echo -e "${G}✅ RAM pool جاهز${N}"
fi

# 8. إنشاء الأجهزة
declare -a CREATED_VMS

for (( i=1; i<=VM_COUNT; i++ )); do
    VM_NAME="${VM_BASE}${i}"
    GATEWAY="${VM_GATEWAYS[$i]}"
    CLEAN_GATEWAY=$(echo "$GATEWAY" | cut -d'|' -f1 | tr -d '[:space:]')

    echo ""
    echo -e "${Y}📦 إنشاء: $VM_NAME (بوابة: $CLEAN_GATEWAY)${N}"

    if qvm-create -P ram_pool -t "$BASE_TEMPLATE" -l red "$VM_NAME" 2>/dev/null; then
        echo -e "  ${G}✅ تم الإنشاء${N}"
        CREATED_VMS+=("$VM_NAME")

        echo -e "  ${Y}⚙️  معلمات النواة...${N}"
        qvm-prefs "$VM_NAME" kernelopts "$KERNEL_OPTS" 2>/dev/null && echo -e "  ${G}✅ تم${N}" || echo -e "  ${Y}⚠️ فشل${N}"

        echo -e "  ${Y}🔌 توصيل البوابة...${N}"
        if qvm-prefs "$VM_NAME" netvm "$CLEAN_GATEWAY" 2>/dev/null; then
            echo -e "  ${G}✅ تم توصيل $CLEAN_GATEWAY${N}"
        else
            echo -e "  ${R}❌ فشل التوصيل${N}"
        fi

        qvm-features "$VM_NAME" no-monitor-layout 1 2>/dev/null || true

    else
        echo -e "  ${R}❌ فشل إنشاء $VM_NAME${N}"
    fi
done

echo -e "\n${G}🎉 تم إنشاء ${#CREATED_VMS[@]} جهاز${N}"

# 9. حفظ الإعدادات بدون أي توصيل تلقائي
echo -e "\n${B}💾 حفظ الإعدادات كسكريبت؟${N}"
read -p "اختيار (y/n): " SAVE_SCRIPT

if [[ "$SAVE_SCRIPT" =~ ^[Yy]$ ]]; then
    cat > "$SAVE_SCRIPT_PATH" << EOT
#!/bin/bash
# سكريبت محفوظ - إنشاء أجهزة Whonix في RAM
BASE_TEMPLATE="$BASE_TEMPLATE"
VM_BASE="$VM_BASE"
RAM_POOL_PATH="$RAM_POOL_PATH"
RAM_POOL_SIZE="$RAM_POOL_SIZE"
KERNEL_OPTS="$KERNEL_OPTS"

G='\\033[0;32m'
Y='\\033[1;33m'
R='\\033[0;31m'
N='\\033[0m'

echo -e "\${G}🚀 بدء الإنشاء المحفوظ...\${N}"

if ! qvm-check --quiet "\$BASE_TEMPLATE" 2>/dev/null; then
    echo -e "\${R}❌ القالب غير موجود\${N}"
    exit 1
fi

for vm in \$(qvm-ls --raw-data --fields NAME 2>/dev/null | grep "^\${VM_BASE}[0-9]" | cut -d'|' -f1); do
    qvm-kill "\$vm" 2>/dev/null
    qvm-remove --force "\$vm" 2>/dev/null
done

if ! mount | grep -q "\$RAM_POOL_PATH"; then
    sudo mkdir -p "\$RAM_POOL_PATH"
    sudo mount -t tmpfs -o size=\$RAM_POOL_SIZE tmpfs "\$RAM_POOL_PATH"
    qvm-pool add ram_pool file -o dir_path="\$RAM_POOL_PATH" 2>/dev/null || true
    qvm-pool set ram_pool -o ephemeral_volatile=True 2>/dev/null || true
fi

echo -e "\${Y}📦 إنشاء الأجهزة...\${N}"
EOT

    for (( i=1; i<=VM_COUNT; i++ )); do
        cat >> "$SAVE_SCRIPT_PATH" << EOT

VM_NAME="${VM_BASE}${i}"
GATEWAY="${VM_GATEWAYS[$i]}"
echo "  إنشاء: \$VM_NAME (بوابة: \$GATEWAY)"
if qvm-create -P ram_pool -t "\$BASE_TEMPLATE" -l red "\$VM_NAME" 2>/dev/null; then
    echo -e "  \${G}✅ تم الإنشاء\${N}"
    qvm-prefs "\$VM_NAME" kernelopts "\$KERNEL_OPTS" 2>/dev/null
    qvm-prefs "\$VM_NAME" netvm "\$GATEWAY" 2>/dev/null
    qvm-features "\$VM_NAME" no-monitor-layout 1 2>/dev/null
else
    echo -e "  \${R}❌ فشل الإنشاء\${N}"
fi
EOT
    done

    cat >> "$SAVE_SCRIPT_PATH" << EOT

echo -e "\n\${G}✅ تم إنشاء الأجهزة بدون توصيل تلقائي\${N}"
EOT

    chmod +x "$SAVE_SCRIPT_PATH"
    echo -e "${G}✅ تم الحفظ في: $SAVE_SCRIPT_PATH${N}"
fi
EOF

chmod +x "$DESKTOP_PATH/ram-pool-scripts/create-multi-ram-vm.sh"

    # ========== cleanup-ram-pool.sh ==========
    cat > "$DESKTOP_PATH/ram-pool-scripts/cleanup-ram-pool.sh" << 'EOF'
#!/bin/bash
RAM_POOL_PATH="$HOME/ram_pool"
echo "🧹 تنظيف RAM Pool..."
for vm in $(qvm-ls --raw-list 2>/dev/null | grep -E "whonix-work-ram|ram-"); do
    qvm-kill "$vm" 2>/dev/null
    qvm-remove --force "$vm" 2>/dev/null
done
qvm-pool remove ram_pool 2>/dev/null
mount | grep -q "$RAM_POOL_PATH" && sudo umount "$RAM_POOL_PATH"
[ -d "$RAM_POOL_PATH" ] && sudo rm -rf "$RAM_POOL_PATH"
echo "✅ تم التنظيف"
free -h
EOF

    # ========== ram-pool-status.sh ==========
    cat > "$DESKTOP_PATH/ram-pool-scripts/ram-pool-status.sh" << 'EOF'
#!/bin/bash
echo "=== حالة RAM Pool ==="
mount | grep ram_pool && df -h "$HOME/ram_pool"
echo "VMs في RAM Pool:"
qvm-pool volumes ram_pool 2>/dev/null | grep -oE '^[^:]+' | sort -u
echo "استخدام الذاكرة:"
free -h
EOF

    chmod +x "$DESKTOP_PATH/ram-pool-scripts"/*.sh
    ok "تم إنشاء 7 سكريبتات في $DESKTOP_PATH/ram-pool-scripts/"
    pause
}

# ========
# 6. سكريبت Amnesic Tmpfs
# ========
amnesic_script() {
    clear
    echo "╔═══════════════════════════════════════════════════════════╗"
    echo "║  🧠 Amnesic Tmpfs - مجلدات في RAM تختفي بعد الإغلاق      ║"
    echo "╚═══════════════════════════════════════════════════════════╝"
    echo ""
    echo "1) تطبيق Amnesic Tmpfs على جهاز"
    echo "2) إلغاء Amnesic Tmpfs من جهاز"
    echo "0) رجوع"
    echo ""
    read -p "اختر: " CHOICE
    
    case $CHOICE in
        1) apply_amnesic ;;
        2) remove_amnesic ;;
        0) return ;;
        *) amnesic_script ;;
    esac
}

apply_amnesic() {
    clear
    echo "╔═══════════════════════════════════════════════════════════╗"
    echo "║  📌 تطبيق Amnesic Tmpfs                                   ║"
    echo "╚═══════════════════════════════════════════════════════════╝"
    echo ""
    
    SCRIPT_PATH="$DESKTOP_PATH/apply-amnesic.sh"
    
    cat > "$SCRIPT_PATH" << 'SCRIPTEOF'
#!/bin/bash
clear
echo "تطبيق Amnesic Tmpfs"
echo ""
echo "📋 الأجهزة المتاحة:"
echo "----------------------------------------"
qvm-ls --raw-list 2>/dev/null | grep -v dom0
echo "----------------------------------------"
echo ""
read -p "🔧 اسم الجهاز: " TARGET_VM
[ -z "$TARGET_VM" ] && { echo "❌ لا يوجد اسم"; read -p "Enter..."; exit 1; }
! qvm-ls "$TARGET_VM" >/dev/null 2>&1 && { echo "❌ غير موجود"; read -p "Enter..."; exit 1; }

echo ""
echo "🔧 تجهيز: $TARGET_VM"
qvm-start "$TARGET_VM" 2>/dev/null
sleep 3

cat > /tmp/rc_local_content.txt << 'RCEOF'
#!/bin/bash
mkdir -p /var/log /var/cache /var/tmp /tmp /home/user/QubesIncoming
mount -t tmpfs tmpfs /var/log -o size=512M,mode=0755,nosuid,nodev
mount -t tmpfs tmpfs /var/cache -o size=512M,mode=0755,nosuid,nodev
mount -t tmpfs tmpfs /var/tmp -o size=256M,mode=1777,nosuid,nodev,noexec
mount -t tmpfs tmpfs /tmp -o size=512M,mode=1777,nosuid,nodev,noexec
mount -t tmpfs tmpfs /home/user -o size=2G,mode=0700,nosuid,nodev
cp -r /etc/skel/. /home/user/ 2>/dev/null
mkdir -p /home/user/QubesIncoming
chown -R user:user /home/user 2>/dev/null
exit 0
RCEOF

qvm-run --pass-io "$TARGET_VM" 'sudo tee /rw/config/rc.local' < /tmp/rc_local_content.txt 2>/dev/null
qvm-run "$TARGET_VM" "sudo chmod +x /rw/config/rc.local" 2>/dev/null
qvm-shutdown "$TARGET_VM" 2>/dev/null
rm -f /tmp/rc_local_content.txt

echo ""
echo "✅ تم تطبيق Amnesic Tmpfs على: $TARGET_VM"
read -p "Enter..."
SCRIPTEOF

    chmod +x "$SCRIPT_PATH"
    bash "$SCRIPT_PATH"
    rm -f "$SCRIPT_PATH"
}

remove_amnesic() {
    clear
    echo "╔═══════════════════════════════════════════════════════════╗"
    echo "║  🗑️ إلغاء Amnesic Tmpfs                                   ║"
    echo "╚═══════════════════════════════════════════════════════════╝"
    echo ""
    
    SCRIPT_PATH="$DESKTOP_PATH/remove-amnesic.sh"
    
    cat > "$SCRIPT_PATH" << 'SCRIPTEOF'
#!/bin/bash
clear
echo "إلغاء Amnesic Tmpfs"
echo ""
echo "📋 الأجهزة المتاحة:"
echo "----------------------------------------"
qvm-ls --raw-list 2>/dev/null | grep -v dom0
echo "----------------------------------------"
echo ""
read -p "🔧 اسم الجهاز: " TARGET_VM
[ -z "$TARGET_VM" ] && { echo "❌ لا يوجد اسم"; read -p "Enter..."; exit 1; }
! qvm-ls "$TARGET_VM" >/dev/null 2>&1 && { echo "❌ غير موجود"; read -p "Enter..."; exit 1; }

echo ""
echo "🔧 تجهيز: $TARGET_VM"
qvm-start "$TARGET_VM" 2>/dev/null
sleep 3

# كتابة #!/bin/bash فقط في rc.local
qvm-run "$TARGET_VM" "sudo bash -c 'echo \"#!/bin/bash\" > /rw/config/rc.local'" 2>/dev/null
qvm-run "$TARGET_VM" "sudo chmod +x /rw/config/rc.local" 2>/dev/null

qvm-shutdown "$TARGET_VM" 2>/dev/null

echo ""
echo "✅ تم إلغاء Amnesic Tmpfs من: $TARGET_VM"
echo "📌 تم استعادة rc.local إلى الوضع الافتراضي"
read -p "Enter..."
SCRIPTEOF

    chmod +x "$SCRIPT_PATH"
    bash "$SCRIPT_PATH"
    rm -f "$SCRIPT_PATH"
}
# ========
# 7. Live Mode
# ========
live_mode() {
    clear
    REAL_USER=$(logname 2>/dev/null || echo "$SUDO_USER" 2>/dev/null || echo "$USER")
    
    info "المستخدم الحقيقي: $REAL_USER"
    
    warn "هذا السكريبت سيقوم بإنشاء ملف live.sh وتنفيذه بصلاحيات sudo"
    warn "قد يستغرق التنفيذ عدة دقائق"
    warn "🟢 سيتم تثبيت Overlay-Live Mode مع zram"
    read -p "متابعة؟ (y/n): " confirm
    [[ "$confirm" != "y" && "$confirm" != "Y" ]] && return
    
    LIVE_SCRIPT="/home/$REAL_USER/Desktop/live.sh"
    info "جاري إنشاء $LIVE_SCRIPT ..."
    
    cat > "$LIVE_SCRIPT" << 'EOOFF'
#!/bin/bash

# Qubes Dom0 Amnesic modes
# ⚠️ Make backup before running! Run as root: sudo ./amnesic.sh
echo "=== Qubes Dom0 Live Boot Setup ==="

#BOOT_UUID
BOOT_UUID=$(findmnt -n -o UUID /boot 2>/dev/null || echo "AUTO_BOOT_NOT_FOUND")
if [ "$BOOT_UUID" = "AUTO_BOOT_NOT_FOUND" ]; then
    BOOT_UUID=$(blkid -s UUID -o value -d $(findmnt -n -o SOURCE /boot 2>/dev/null))
fi

# LUKS_UUID
LUKS_DEVICE=$(blkid -t TYPE="crypto_LUKS" -o device 2>/dev/null | head -n1 || echo "")
if [ -n "$LUKS_DEVICE" ]; then
    LUKS_UUID=$(sudo cryptsetup luksUUID "$LUKS_DEVICE" 2>/dev/null)
else
    LUKS_UUID="AUTO_LUKS_NOT_FOUND"
fi

# Latest XEN_PATH 
XEN_PATH=$(ls /boot/xen*.gz 2>/dev/null | sort -V | tail -1 | xargs basename 2>/dev/null || echo "/xen-4.19.4.gz")

# Latest kernel/initramfs
LATEST_KERNEL=$(ls /boot/vmlinuz-*qubes*.x86_64 2>/dev/null | grep -E 'qubes\.fc[0-9]+' | sort -V | tail -1 | xargs basename)
LATEST_INITRAMFS=$(echo "/initramfs-${LATEST_KERNEL#vmlinuz-}.img")

# Max memory dom0
system_total_mb=$(xl info | grep total_memory | awk '{print $3}')

if [ -n "$system_total_mb" ] && [ "$system_total_mb" -gt 0 ] 2>/dev/null; then
    # 80% total_memory
    DOM0_MAX_MB=$((system_total_mb * 80 / 100))
    DOM0_MAX_GB=$((DOM0_MAX_MB / 1024))
    DOM0_MAX_RAM="dom0_mem=max:${DOM0_MAX_MB}M"
    DOM0_MAX_GBG="${DOM0_MAX_GB}G"
else
    DOM0_MAX_RAM="dom0_mem=max:10240M"
    DOM0_MAX_GB="10"
    DOM0_MAX_GBG="10G"
fi

# qubes_dom0-root
Qubes_Root=$(findmnt -n -o SOURCE /)

# /home/user
if [ -n "$SUDO_USER" ] && [ "$SUDO_USER" != "root" ]; then
    USER_HOME=$(getent passwd "$SUDO_USER" | cut -d: -f6)
else
    USER_HOME="$HOME"
fi

if [ ! -d "$USER_HOME" ]; then
    echo "home dir '$USER_HOME' not found!" >&2
    exit 1
fi

# === dom0 resize ===

REQUIRED_FREE_GB=100
MIN_DOM0_SIZE_GB=40

get_dom0_size_gb() {
    local size_bytes
    size_bytes=$(df -B1 /dev/mapper/qubes_dom0-root 2>/dev/null | awk 'NR==2 {print $2}')
    if [[ -z "$size_bytes" ]]; then
        echo "Warning: failed to determine dom0 size" >&2
        return 1
    fi
    echo "$((size_bytes / 1024 / 1024 / 1024))"
    return 0
}

get_vg_free_gb() {
    local lv_size data_pct
    lv_size=$(lvs --noheadings --nosuffix --units b -o lv_size qubes_dom0/vm-pool 2>/dev/null | tr -dc '0-9')
    data_pct=$(lvs --noheadings -o data_percent qubes_dom0/vm-pool 2>/dev/null | tr ',' '.' | tr -dc '0-9.')

    if [[ -z "$lv_size" || -z "$data_pct" ]]; then
        echo "Warning: failed to determine free space in vm-pool" >&2
        return 1
    fi

    local free_gb
    free_gb=$(awk "BEGIN { printf \"%.0f\", ($lv_size * (100 - $data_pct) / 100) / 1024 / 1024 / 1024 }")
    echo "$free_gb"
    return 0
}

main() {
    if [[ "$EUID" -ne 0 ]]; then
        echo "Warning: This script should be run as root (sudo)" >&2
        # Changed from exit 1 to just warning
    fi

    local dom0_size_gb vg_free_gb
    dom0_size_gb=$(get_dom0_size_gb) || dom0_size_gb="unknown"
    vg_free_gb=$(get_vg_free_gb) || vg_free_gb="unknown"

    echo "Current dom0 size: ${dom0_size_gb} GB"
    echo "Free space in VM pool: ${vg_free_gb} GB"

    if [[ "$vg_free_gb" != "unknown" ]] && ((vg_free_gb < REQUIRED_FREE_GB)); then
        echo "Info: free space is less than ${REQUIRED_FREE_GB} GB (available: ${vg_free_gb} GB) - skipping resize"
        # Changed from exit 0 to continue
    elif [[ "$dom0_size_gb" != "unknown" ]] && ((dom0_size_gb >= MIN_DOM0_SIZE_GB)); then
        echo "Info: dom0 size is already ${dom0_size_gb} GB (>= ${MIN_DOM0_SIZE_GB} GB) - skipping resize"
        # Changed from exit 0 to continue
    else
        echo "Conditions met. Starting dom0 resize..."

        if lvresize --size 40G /dev/mapper/qubes_dom0-root; then
            resize2fs /dev/mapper/qubes_dom0-root
            lvresize -L +20G qubes_dom0/root-pool
            echo "Done. New dom0 size: $(get_dom0_size_gb) GB"
        else
            echo "Warning: dom0 resize failed - continuing with other commands"
        fi
    fi

    echo "--- dom0 resize completed ---"
}

main "$@"

# === swapoff ===
sudo sed -i '/\/dev\/mapper\/swap/!{/^[[:space:]]*#/!{/\/s/^/# /}}' /etc/fstab
sudo sed -i '/\/dev\/mapper\/swap/b; /[[:space:]]\+swap[[:space:]]\+/s/^/# /' /etc/fstab

# === harden autostart ===
mkdir -p "$USER_HOME/.config"
if [ ! -f "$USER_HOME/.config/harden.sh" ]; then
    cat > "$USER_HOME/.config/harden.sh" << 'EOF'
#!/bin/bash
sleep 1
if findmnt -n -o SOURCE / | grep -qE "(overlay|/dev/zram0)"; then
    notify-send --expire-time=20000 "Amnesic session is running" "dom0 mode: $(findmnt -n -o SOURCE /)" --icon=dialog-information
    sudo sysctl -w kernel.sysrq=0
    sudo sysctl -w kernel.perf_event_paranoid=3
    sudo sysctl -w kernel.kptr_restrict=2
    sudo sysctl -w kernel.panic=5
    sudo sysctl -w fs.protected_regular=2
    sudo sysctl -w fs.protected_fifos=2
    sudo sysctl -w kernel.printk="3 3 3 3"
    sudo sysctl -w kernel.kexec_load_disabled=1
    sudo sysctl -w kernel.io_uring_disabled=2
    sudo chattr +i /boot/grub2/grub.cfg
    sudo chattr +i /boot
else
    sudo chattr -i /boot/grub2/grub.cfg
    sudo chattr -i /boot
fi
EOF
    chmod 755 "$USER_HOME/.config/harden.sh"
    echo "Created harden.sh"
else
    echo "harden.sh already exists, skipping"
fi

# === autostart desktop entry ===
mkdir -p "$USER_HOME/.config/autostart"
if [ ! -f "$USER_HOME/.config/autostart/harden.desktop" ]; then
    cat > "$USER_HOME/.config/autostart/harden.desktop" << EOF
[Desktop Entry]
Encoding=UTF-8
Version=0.9.4
Type=Application
Name=harden
Comment=
Exec=$USER_HOME/.config/harden.sh
OnlyShowIn=XFCE;
RunHook=0
StartupNotify=false
Terminal=false
Hidden=false
EOF
    echo "Created harden.desktop"
else
    echo "harden.desktop already exists, skipping"
fi

# === Dracut module directories ===
DIR_OVERLAY_CRYPT=/usr/lib/dracut/modules.d/90overlay-crypt
DIR_RAMBOOT=/usr/lib/dracut/modules.d/90ramboot
DIR_OVERLAY=/usr/lib/dracut/modules.d/90overlayfs-root
DIR_RAMWIPE=/usr/lib/dracut/modules.d/40ram-wipe

for d in "$DIR_RAMBOOT" "$DIR_OVERLAY" "$DIR_RAMWIPE" "$DIR_OVERLAY_CRYPT"; do
    if [ ! -d "$d" ]; then
        mkdir -p "$d"
        echo "Created $(basename "$d")"
    else
        echo "$(basename "$d") already exists, skipping"
    fi
done

# === 90overlay-crypt/module-setup.sh ===
if [ ! -f "$DIR_OVERLAY_CRYPT/module-setup.sh" ]; then
    cat > "$DIR_OVERLAY_CRYPT/module-setup.sh" << 'EOF'
#!#!/bin/bash

check() {
    require_binaries cryptsetup || return 1
    require_binaries losetup || return 1
    require_binaries mkfs.ext4 || return 1
    return 0
}

depends() {
    return 0
}

installkernel() {
    hostonly='' instmods overlay 2>/dev/null || true
    hostonly='' instmods dm-crypt 2>/dev/null || true
}

install() {
    inst_multiple cryptsetup losetup mkfs.ext4 dd modprobe mount umount shred
    inst_hook pre-pivot 10 "$moddir/overlay-crypt.sh"
}
EOF
    chmod 755 "$DIR_OVERLAY_CRYPT/module-setup.sh"
    echo "Created 90overlay-crypt/module-setup.sh"
else
    echo "90overlay-crypt/module-setup.sh already exists, skipping"
fi

# === 90overlay-crypt/overlay-crypt.sh ===
if [ ! -f "$DIR_OVERLAY_CRYPT/overlay-crypt.sh" ]; then
    cat > "$DIR_OVERLAY_CRYPT/overlay-crypt.sh" << 'EOF'
#!/bin/bash

. /lib/dracut-lib.sh

if ! getargbool 0 cryptovl ; then
    return
fi

modprobe overlay 2>/dev/null || true
modprobe dm-crypt 2>/dev/null || true

#
mount -o remount,ro /sysroot 2>/dev/null || true

# 
mkdir -p /live/image
mount --bind /sysroot /live/image
umount /sysroot

# 
dd if=/dev/urandom bs=64 count=1 of=/dev/shm/overlay-key status=none
chmod 600 /dev/shm/overlay-key

# create 20 GB size (seek)
mkdir -p /var/lib
dd if=/dev/zero of=/var/lib/overlay-crypt.img bs=1M count=0 seek=20480 status=none

# 
losetup -f
LOOP_DEV=$(losetup -f --show /var/lib/overlay-crypt.img)

# 
cryptsetup luksFormat --type luks2 \
    --cipher aes-xts-plain64 --key-size 512 \
    --hash sha256 --pbkdf pbkdf2 --pbkdf-force-iterations 1000 \
    --batch-mode --key-file /dev/shm/overlay-key "$LOOP_DEV"

# 
cryptsetup open --type luks2 --key-file /dev/shm/overlay-key "$LOOP_DEV" overlaycrypt

# 
mkfs.ext4 -F -L "overlaycrypt" /dev/mapper/overlaycrypt

# 
mkdir -p /cow
mount -o noatime,nodiratime,nobarrier /dev/mapper/overlaycrypt /cow
mkdir -p /cow/work /cow/rw

# 
mount -t overlay -o noatime,nodiratime,volatile,lowerdir=/live/image,upperdir=/cow/rw,workdir=/cow/work,default_permissions,relatime overlay /sysroot

# 
mkdir -p /sysroot/live/cow /sysroot/live/image
mount --bind /cow/rw /sysroot/live/cow
mount --bind /live/image /sysroot/live/image

# 
umount /cow 2>/dev/null || true
umount /live/image 2>/dev/null || true

# 
shred -u /dev/shm/overlay-key 2>/dev/null || rm -f /dev/shm/overlay-key
EOF
    chmod 755 "$DIR_OVERLAY_CRYPT/overlay-crypt.sh"
    echo "Created 90overlay-crypt/overlay-crypt.sh"
else
    echo "90overlay-crypt/overlay-crypt.sh already exists, skipping"
fi

# === 90ramboot/module-setup.sh ===
if [ ! -f "$DIR_RAMBOOT/module-setup.sh" ]; then
    cat > "$DIR_RAMBOOT/module-setup.sh" << 'EOF'
#!/usr/bin/bash
check() {
    return 0
}
depends() {
    return 0
}
install() {
    inst_simple "$moddir/zram-mount.sh"
    inst_hook cleanup 00 "$moddir/zram-mount.sh"
}
EOF
    chmod 755 "$DIR_RAMBOOT/module-setup.sh"
    echo "Created 90ramboot/module-setup.sh"
else
    echo "90ramboot/module-setup.sh already exists, skipping"
fi

# === 90ramboot/zram-mount.sh ===
if [ ! -f "$DIR_RAMBOOT/zram-mount.sh" ]; then
    cat > "$DIR_RAMBOOT/zram-mount.sh" << EOF
#!/bin/sh

. /lib/dracut-lib.sh

if ! getargbool 0 rootzram ; then
    return
fi

mkdir -p /mnt
umount /sysroot
mount -o ro $Qubes_Root /mnt
modprobe zram
echo $DOM0_MAX_GBG > /sys/block/zram0/disksize
#/mnt/usr/sbin/mkfs.xfs -f -m reflink=0 /dev/zram0
/mnt/usr/sbin/mkfs.ext2 /dev/zram0
mount -o nodev,nosuid,noatime,nodiratime /dev/zram0 /sysroot
EXCLUDES=("dev" "proc" "sys" "tmp" "run" "mnt" "media" "lost+found" "var/log")

FIND_EXPR=()
for dir in "${EXCLUDES[@]}"; do
    FIND_EXPR+=(-name "$dir" -o)
done
unset 'FIND_EXPR[${#FIND_EXPR[@]}-1]'
find /mnt -mindepth 1 -maxdepth 1 ! \( "${FIND_EXPR[@]}" \) -exec cp -a {} /sysroot \;
for dir in "${EXCLUDES[@]}"; do
    mkdir -p "/sysroot/$dir"
done

# Disable swap
if [ -f /sysroot/etc/fstab ]; then
    sed -i '/[ \t]swap[ \t]/d' /sysroot/etc/fstab
fi

if [ -d /sysroot/etc/systemd/system ]; then
    ln -sf /dev/null /sysroot/etc/systemd/system/dev-mapper-swap.device
fi

umount /mnt
exit 0
EOF
    chmod 755 "$DIR_RAMBOOT/zram-mount.sh"
    echo "Created 90ramboot/zram-mount.sh"
else
    echo "90ramboot/zram-mount.sh already exists, skipping"
fi

# === 90overlayfs-root/module-setup.sh ===
if [ ! -f "$DIR_OVERLAY/module-setup.sh" ]; then
    cat > "$DIR_OVERLAY/module-setup.sh" << 'EOF'
#!/bin/bash

check() {
    [ -d /lib/modules/$kernel/kernel/fs/overlayfs ] || return 1
}

depends() {
    return 0
}

installkernel() {
    hostonly='' instmods overlay
}

install() {
    inst_hook pre-pivot 10 "$moddir/overlay-mount.sh"
}
EOF
    chmod 755 "$DIR_OVERLAY/module-setup.sh"
    echo "Created 90overlayfs-root/module-setup.sh"
else
    echo "90overlayfs-root/module-setup.sh already exists, skipping"
fi

# === 90overlayfs-root/overlay-mount.sh ===
if [ ! -f "$DIR_OVERLAY/overlay-mount.sh" ]; then
    cat > "$DIR_OVERLAY/overlay-mount.sh" << 'EOF'
#!/bin/sh
. /lib/dracut-lib.sh

if ! getargbool 0 rootovl ; then
    return
fi

modprobe overlay
mount -o remount,nolock,noatime $NEWROOT
mkdir -p /live/image
mount --bind $NEWROOT /live/image
umount $NEWROOT
mkdir /cow
mount -n -t tmpfs -o mode=0755,size=100%,nr_inodes=500k,noexec,nodev,nosuid,noatime,nodiratime tmpfs /cow
mkdir /cow/work /cow/rw
mount -t overlay -o noatime,nodiratime,volatile,lowerdir=/live/image,upperdir=/cow/rw,workdir=/cow/work,default_permissions,relatime overlay $NEWROOT
mkdir -p $NEWROOT/live/cow
mkdir -p $NEWROOT/live/image
mount --bind /cow/rw $NEWROOT/live/cow
umount /cow
mount --bind /live/image $NEWROOT/live/image
umount /live/image
umount $NEWROOT/live/cow
EOF
    chmod 755 "$DIR_OVERLAY/overlay-mount.sh"
    echo "Created 90overlayfs-root/overlay-mount.sh"
else
    echo "90overlayfs-root/overlay-mount.sh already exists, skipping"
fi

# === ramboot dracut.conf ===
if [ ! -f /etc/dracut.conf.d/ramboot.conf ]; then
    cat > /etc/dracut.conf.d/ramboot.conf << 'EOF'
add_drivers+=" zram "
add_dracutmodules+=" ramboot "
EOF
    echo "Created ramboot.conf"
else
    echo "ramboot.conf already exists, skipping"
fi

# === 40ram-wipe/module-setup.sh ===
if [ ! -f "$DIR_RAMWIPE/module-setup.sh" ]; then
    cat > "$DIR_RAMWIPE/module-setup.sh" << 'EOF'
#!/bin/bash
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh

## Copyright (C) 2023 - 2025 ENCRYPTED SUPPORT LLC 
## See the file COPYING for copying conditions.

check() {
   require_binaries sync || return 1
   require_binaries sleep || return 1
   require_binaries dmsetup || return 1
   return 0
}

depends() {
   return 0
}

install() {
   inst_simple "/usr/libexec/ram-wipe/ram-wipe-lib.sh" "/lib/ram-wipe-lib.sh"
   inst_multiple sync
   inst_multiple sleep
   inst_multiple dmsetup
   inst_hook shutdown 40 "$moddir/wipe-ram.sh"
   inst_hook cleanup 80 "$moddir/wipe-ram-needshutdown.sh"
}

installkernel() {
   return 0
}
EOF
    chmod +x "$DIR_RAMWIPE/module-setup.sh"
    echo "Created 40ram-wipe/module-setup.sh"
else
    echo "40ram-wipe/module-setup.sh already exists, skipping"
fi

# === 40ram-wipe/wipe-ram-needshutdown.sh ===
if [ ! -f "$DIR_RAMWIPE/wipe-ram-needshutdown.sh" ]; then
    cat > "$DIR_RAMWIPE/wipe-ram-needshutdown.sh" << 'EOF'
#!/bin/sh

## Copyright (C) 2023 - 2025 ENCRYPTED SUPPORT LLC 
## See the file COPYING for copying conditions.

type getarg >/dev/null 2>&1 || . /lib/dracut-lib.sh

. /lib/ram-wipe-lib.sh

ram_wipe_check_needshutdown() {
   #local kernel_wiperam_setting

   kernel_wiperam_setting="$(getarg wiperam)"

   if [ "$kernel_wiperam_setting" = "skip" ]; then
      force_echo "wipe-ram-needshutdown.sh: Skip, because wiperam=skip kernel parameter detected, OK."
      return 0
   fi

   true "wipe-ram-needshutdown.sh: Calling dracut function need_shutdown to drop back into initramfs at shutdown, OK."
   need_shutdown

   return 0
}

ram_wipe_check_needshutdown
EOF
    chmod +x "$DIR_RAMWIPE/wipe-ram-needshutdown.sh"
    echo "Created 40ram-wipe/wipe-ram-needshutdown.sh"
else
    echo "40ram-wipe/wipe-ram-needshutdown.sh already exists, skipping"
fi

# === 40ram-wipe/wipe-ram.sh ===
if [ ! -f "$DIR_RAMWIPE/wipe-ram.sh" ]; then
    cat > "$DIR_RAMWIPE/wipe-ram.sh" << 'EOF'
#!/bin/sh

## Copyright (C) 2023 - 2025 ENCRYPTED SUPPORT LLC 
## See the file COPYING for copying conditions.

## Credits:
## First version by @friedy10.
## https://github.com/friedy10/dracut/blob/master/modules.d/40sdmem/wipe.sh

. /lib/ram-wipe-lib.sh

drop_caches() {
   sync
   echo 3 > /proc/sys/vm/drop_caches
   sync
}

ram_wipe() {
   #local kernel_wiperam_setting

   kernel_wiperam_setting="$(getarg wiperam)"

   if [ "$kernel_wiperam_setting" = "skip" ]; then
      force_echo "wipe-ram.sh: Skip, because wiperam=skip kernel parameter detected, OK."
      return 0
   fi

   force_echo "wipe-ram.sh: RAM extraction attack defense... Starting RAM wipe pass during shutdown..."

   drop_caches

   force_echo "wipe-ram.sh: RAM wipe pass completed, OK."
}

ram_wipe
EOF
    chmod +x "$DIR_RAMWIPE/wipe-ram.sh"
    echo "Created 40ram-wipe/wipe-ram.sh"
else
    echo "40ram-wipe/wipe-ram.sh already exists, skipping"
fi

# === ram-wipe dracut.conf ===
if [ ! -f /etc/dracut.conf.d/30-ram-wipe.conf ]; then
    cat > /etc/dracut.conf.d/30-ram-wipe.conf << 'EOF'
add_dracutmodules+=" ram-wipe "
EOF
    echo "Created 30-ram-wipe.conf"
else
    echo "30-ram-wipe.conf already exists, skipping"
fi

# === ram-wipe-lib.sh ===
DIR_RAMWIPE_LIB=/usr/libexec/ram-wipe
if [ ! -d "$DIR_RAMWIPE_LIB" ]; then
    mkdir -p "$DIR_RAMWIPE_LIB"
fi

if [ ! -f "$DIR_RAMWIPE_LIB/ram-wipe-lib.sh" ]; then
    cat > "$DIR_RAMWIPE_LIB/ram-wipe-lib.sh" << 'EOF'
#!/bin/sh

## Copyright (C) 2023 - 2025 ENCRYPTED SUPPORT LLC 
## See the file COPYING for copying conditions.

if [ -z "$DRACUT_SYSTEMD" ]; then
    force_echo() {
        echo "<28>dracut INFO: $*" > /dev/kmsg
        echo "dracut INFO: $*" >&2
    }
else
    force_echo() {
        echo "INFO: $*" >&2
    }
fi
EOF
    chmod +x "$DIR_RAMWIPE_LIB/ram-wipe-lib.sh"
    echo "Created ram-wipe-lib.sh"
else
    echo "ram-wipe-lib.sh already exists, skipping"
fi

# Update INITRAMFS
dracut --verbose --force

# Create GRUB custom
echo "Creating GRUB custom ..."

cat > /etc/grub.d/40_custom << EOF
#!/usr/bin/sh
exec tail -n +3 \$0

menuentry 'Qubes Encrypted-Overlay Amnesic Mode' --class qubes --class gnu-linux --class gnu --class os --class xen \$menuentry_id_option 'xen-gnulinux-simple-/dev/mapper/qubes_dom0-root' {
	insmod part_gpt
	insmod ext2
	search --no-floppy --fs-uuid --set=root $BOOT_UUID
	echo 'Loading Xen ...'
	if [ "\$grub_platform" = "pc" -o "\$grub_platform" = "" ]; then
	    xen_rm_opts=
	else
	    xen_rm_opts="no-real-mode edd=off"
	fi
	insmod multiboot2
	multiboot2 /$XEN_PATH placeholder console=none dom0_mem=min:1024M $DOM0_MAX_RAM ucode=scan smt=off gnttab_max_frames=2048 gnttab_max_maptrack_frames=4096 \${xen_rm_opts}
	echo 'Loading Linux $LATEST_KERNEL ...'
	module2 /$LATEST_KERNEL placeholder root=/dev/mapper/qubes_dom0-root ro rd.luks.uuid=$LUKS_UUID rd.lvm.lv=qubes_dom0/root rd.lvm.lv=qubes_dom0/swap plymouth.ignore-serial-consoles rhgb cryptovl quiet module.sig_enforce=1 bootscrub=on
	echo 'Loading initial ramdisk ...'
	insmod multiboot2
	module2 --nounzip $LATEST_INITRAMFS
}

menuentry 'Qubes Zram-Live Amnesic Mode' --class qubes --class gnu-linux --class gnu --class os --class xen \$menuentry_id_option 'xen-gnulinux-simple-/dev/mapper/qubes_dom0-root' {
	insmod part_gpt
	insmod ext2
	search --no-floppy --fs-uuid --set=root $BOOT_UUID
	echo 'Loading Xen ...'
	if [ "\$grub_platform" = "pc" -o "\$grub_platform" = "" ]; then
	    xen_rm_opts=
	else
	    xen_rm_opts="no-real-mode edd=off"
	fi
	insmod multiboot2
	multiboot2 /$XEN_PATH placeholder console=none dom0_mem=min:1024M $DOM0_MAX_RAM ucode=scan smt=off gnttab_max_frames=2048 gnttab_max_maptrack_frames=4096 \${xen_rm_opts}
	echo 'Loading Linux $LATEST_KERNEL ...'
	module2 /$LATEST_KERNEL placeholder root=/dev/mapper/qubes_dom0-root ro rd.luks.uuid=$LUKS_UUID rd.lvm.lv=qubes_dom0/root rd.lvm.lv=qubes_dom0/swap plymouth.ignore-serial-consoles rhgb rootzram quiet module.sig_enforce=1 bootscrub=on
	echo 'Loading initial ramdisk ...'
	insmod multiboot2
	module2 --nounzip $LATEST_INITRAMFS
}
EOF

chmod 755  /etc/grub.d/40_custom

# Update GRUB
grub2-mkconfig -o /boot/grub2/grub.cfg

# Cleanup
dnf clean all
journalctl --vacuum-time=1d
rm -rf /var/cache/dnf/* 2>/dev/null || true


echo
echo "Done!"
echo "✓ ALL STEPS COMPLETED SUCCESSFULLY! Reboot Qubes OS, select one of the new GRUB options (Encrypted-Overlay or Zram-Live), and clone your appVMs to the varlibqubes pool to run in full amnesia mode."
EOOFF
    
    chmod +x "$LIVE_SCRIPT"
    ok "تم إنشاء $LIVE_SCRIPT"
    
    info "جاري تنفيذ live.sh بصلاحيات sudo..."
    sudo bash "$LIVE_SCRIPT"
    
    info "جاري حذف $LIVE_SCRIPT..."
    rm -f "$LIVE_SCRIPT"
    ok "تم حذف الملف"
    
    pause
}

# ========
# 8. سكريبتات الطوارئ (BusKill)
# ========
emergency_script() {
    mkdir -p "$DESKTOP_PATH/emergency"
    
    # ========== سكريبت Dead Man's Switch ==========
    cat > "$DESKTOP_PATH/emergency/deadman-switch.sh" << 'EOF'
#!/bin/bash
# ⚠️ Dead Man's Switch - تدمير مؤجل باستخدام BusKill

echo "╔═══════════════════════════════════════════════════════════╗"
echo "║     💀 Dead Man's Switch - التدمير المؤجل (BusKill) 💀     ║"
echo "╚═══════════════════════════════════════════════════════════╝"
echo ""

read -p "المهلة بالدقائق قبل التدمير: " T
[ -z "$T" ] && T=5

read -p "اكتب YES للتأكيد النهائي: " C
[ "$C" != "YES" ] && { echo "تم الإلغاء"; exit 1; }

# طباعة أمر الإلغاء أولاً
echo ""
echo "╔═══════════════════════════════════════════════════════════╗"
echo "║  📌 أمر الإلغاء (احفظه الآن قبل متابعة التثبيت):          ║"
echo "║     sudo /usr/local/bin/cancel                            ║"
echo "╚═══════════════════════════════════════════════════════════╝"
echo ""

# التحقق من وجود BusKill وتثبيته إذا لم يكن موجوداً
if [ ! -f "/etc/qubes-rpc/buskill.selfDestruct" ]; then
    echo "⚠️ BusKill غير مثبت. جاري تثبيته تلقائياً..."
    
    sudo tee /etc/qubes-rpc/buskill.selfDestruct > /dev/null << 'BUSKILL'
#!/bin/bash
# 1. حذف مجلد Qubes من EFI
EFI_PART=$(findmnt -n -o SOURCE /boot/efi 2>/dev/null)
if [ -n "$EFI_PART" ]; then
    sudo mount $EFI_PART /mnt
    sudo rm -rf /mnt/EFI/qubes
    sudo umount /mnt
    echo "✅ تم حذف مجلد Qubes من $EFI_PART"
else
    echo "⚠️ لم يتم العثور على قسم EFI"
fi
# حذف مدخل الإقلاع من NVRAM
if [ -d "/sys/firmware/efi" ]; then
    # البحث عن مدخل Qubes وحذفه
    sudo efibootmgr | grep -i qubes | while read -r line; do
        bootnum=
        sudo efibootmgr -b "" -B
        echo "✅ تم حذف مدخل الإقلاع: Boot"
    done
fi

# 2. تدمير قسم /boot
BOOT_PART=$(findmnt -n -o SOURCE /boot)
echo "💀 بدء تدمير $BOOT_PART"
sudo dd if=/dev/urandom of=$BOOT_PART bs=1M status=progress &

WHICH="/usr/bin/which"
sudo qvm-kill --all &
CRYPTSETUP=$($WHICH --skip-alias cryptsetup) || echo "ERROR: Unable to find cryptsetup"
LS=$($WHICH --skip-alias ls) || echo "ERROR: Unable to find ls"
CP=$($WHICH --skip-alias cp) || echo "ERROR: Unable to find cp"
MV=$($WHICH --skip-alias mv) || echo "ERROR: Unable to find mv"
LN=$($WHICH --skip-alias ln) || echo "ERROR: Unable to find ln"
MKDIR=$($WHICH --skip-alias mkdir) || echo "ERROR: Unable to find mkdir"
MOUNT=$($WHICH --skip-alias mount) || echo "ERROR: Unable to find mount"
CAT=$($WHICH --skip-alias cat) || echo "ERROR: Unable to find cat"
GREP=$($WHICH --skip-alias grep) || echo "ERROR: Unable to find grep"
ECHO=$($WHICH --skip-alias echo) || echo "ERROR: Unable to find echo"
AWK=$($WHICH --skip-alias awk) || echo "ERROR: Unable to find awk"
HEAD=$($WHICH --skip-alias head) || echo "ERROR: Unable to find head"
LSBLK=$($WHICH --skip-alias lsblk) || echo "ERROR: Unable to find lsblk"
OD=$($WHICH --skip-alias od) || echo "ERROR: Unable to find od"
SUDO=$($WHICH --skip-alias sudo) || echo "ERROR: Unable to find sudo"
CHMOD=$($WHICH --skip-alias chmod) || echo "ERROR: Unable to find chmod"
BASH=$($WHICH --skip-alias bash) || echo "ERROR: Unable to find bash"
NOHUP=$($WHICH --skip-alias nohup) || echo "ERROR: Unable to find nohup"
SLEEP=$($WHICH --skip-alias sleep) || echo "ERROR: Unable to find sleep"
QVM_KILL=$($WHICH --skip-alias qvm-kill) || echo "ERROR: Unable to find qvm-kill"
CHROOT=$($WHICH --skip-alias chroot) || echo "ERROR: Unable to find chroot"
SYNC=$($WHICH --skip-alias sync) || echo "ERROR: Unable to find sync"
LDD=$($WHICH --skip-alias ldd) || echo "ERROR: Unable to find ldd"
XARGS=$($WHICH --skip-alias xargs) || echo "ERROR: Unable to find xargs"
CHROOT_PATH='/dev/shm/buskill/chroot'
DIE_SCRIPT='/usr/bin/die.sh'
if [[ $EUID -ne 0 ]]; then
    exec $SUDO $BASH "$0" "$@"
fi
$NOHUP $SLEEP 60 && echo o > /proc/sysrq-trigger &
$NOHUP $SLEEP 61 && echo b > /proc/sysrq-trigger &
$NOHUP $SLEEP 62 && echo b > /proc/sysrq-trigger &
$QVM_KILL --all &
echo "INFO: shredding LUKS header"
writes=''
oldIFS="$IFS"
IFS=$'\n'
for line in $( $LSBLK --list --output 'UUID,FSTYPE' | $GREP 'crypt' ); do
  device="/dev/disk/by-uuid/$(echo "$line" | $AWK '{print $1}')"
  echo -e "\t$device"
  $CRYPTSETUP luksErase --batch-mode "$device" || $HEAD --bytes 20M /dev/urandom > $device &
  writes="$writes $!"
  luksVersion=$($OD --skip-bytes 6 --read-bytes 2 --format d2 --endian=big --address-radix "n" "$device")
  if [[ $luksVersion -eq 1 ]]; then
    payloadOffset=$($OD --skip-bytes 104 --read-bytes 4 --format d4 --endian=big --address-radix "n" "$device")
    luksEndByte=$(( 512 * $payloadOffset ))
  elif [[ $luksVersion -eq 2 ]]; then
    hdr_size=$($OD --skip-bytes 8 --read-bytes 8 --format d8 --endian=big --address-radix "n" "$device")
    luksEndByte=$(( 2 * $hdr_size ))
  else
    luksEndByte=20971520
  fi
  exec 5<> "$device"
  $HEAD --bytes "$luksEndByte" /dev/urandom >&5 &
  writes="$writes $!"
  exec 5>&-
done
IFS="$oldIFS"
writes=$(echo "$writes" | $XARGS)
if [[ $writes ]]; then wait $writes; fi
sync; echo 3 > /proc/sys/vm/drop_caches
$MKDIR -p "$CHROOT_PATH/proc"
$MKDIR -p "$CHROOT_PATH/sys"
$MKDIR -p "$CHROOT_PATH/dev"
$MKDIR -p "$CHROOT_PATH/pts"
$MKDIR -p "$CHROOT_PATH/bin"
$MKDIR -p "$CHROOT_PATH/lib64"
$MKDIR -p "$CHROOT_PATH/lib/systemd"
$MKDIR -p "$CHROOT_PATH/usr/sbin"
$MKDIR -p "$CHROOT_PATH/usr/bin"
$MOUNT -t proc none "$CHROOT_PATH/proc"
$MOUNT -t sysfs none "$CHROOT_PATH/sys"
$MOUNT -o bind /dev "$CHROOT_PATH/dev"
$MOUNT -o bind /dev/pts "$CHROOT_PATH/dev/pts"
binaries="$BASH $CRYPTSETUP $ECHO $LS $NOHUP $SLEEP $XARGS $SYNC"
for binary in $binaries; do
  $CP -vf "$binary" "$CHROOT_PATH/$binary"
  libs="$( $LDD "$binary" | $GREP -Eo '/lib.*\.so(\.[0-9]*)*' )"
  for lib in $libs; do
    $CP -vf "$lib" "$CHROOT_PATH/$lib"
  done
done
$MV "$CHROOT_PATH/lib" "$CHROOT_PATH/usr/lib"
$LN -s "usr/lib" "$CHROOT_PATH/lib"
$CAT << EOFF > "$CHROOT_PATH/$DIE_SCRIPT"
#!$BASH
$NOHUP $SLEEP 10 && echo o > /proc/sysrq-trigger &
$NOHUP $SLEEP 11 && echo o > /proc/sysrq-trigger &
echo "INFO: removing decryption keys from memory"
waits=''
for device in \$( $LS -1 "/dev/mapper" ); do
  echo -e "\t\$device";
  $CRYPTSETUP luksSuspend "\$device" &
  waits="\$waits \$!"
done
echo "INFO: finished luksSuspend calls"
waits=\$(echo "\$waits" | $XARGS)
if [[ \$waits ]]; then wait \$waits; fi
echo "INFO: finished waiting"
sync; echo 3 > /proc/sys/vm/drop_caches
echo "INFO: finished syncing"
echo "INFO: Rebooting"
echo o > /proc/sysrq-trigger
EOFF
$CHMOD +x "$CHROOT_PATH/$DIE_SCRIPT"
$CHROOT "$CHROOT_PATH" "$DIE_SCRIPT"
BUSKILL
    sudo chmod +x /etc/qubes-rpc/buskill.selfDestruct
    
    sudo tee /etc/qubes-rpc/policy/buskill.selfDestruct > /dev/null << 'POLICY'
sys-usb dom0 allow
@anyvm @anyvm deny
POLICY
    
    echo "✅ تم تثبيت BusKill تلقائياً"
else
    echo "✅ BusKill موجود مسبقاً"
fi

# سكربت nuke
sudo tee /usr/local/bin/nuke > /dev/null << 'NUKE'
#!/bin/bash
/etc/qubes-rpc/buskill.selfDestruct
NUKE
sudo chmod 755 /usr/local/bin/nuke

# سكربت الإلغاء
sudo tee /usr/local/bin/cancel > /dev/null << 'CANCEL'
#!/bin/bash
sudo systemctl stop deadman.service
echo "✓ تم إلغاء التدمير"
CANCEL
sudo chmod 755 /usr/local/bin/cancel
echo "ALL ALL=(root) NOPASSWD: /bin/systemctl stop deadman.service" | sudo tee /etc/sudoers.d/cancel > /dev/null
sudo chmod 440 /etc/sudoers.d/cancel

# خدمة systemd
sudo tee /etc/systemd/system/deadman.service > /dev/null << SERVICE
[Unit]
Description=Dead Man's Switch (BusKill)
After=multi-user.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/bin/sh -c "sleep ${T}m && /usr/local/bin/nuke"

[Install]
WantedBy=multi-user.target
SERVICE

# تفعيل الخدمة
echo "📦 جاري تفعيل الخدمة..."
sudo systemctl daemon-reload
sudo systemctl enable deadman.service
sudo systemctl start deadman.service --no-block 2>/dev/null &

echo ""
echo "╔═══════════════════════════════════════════════════════════╗"
echo "║     ✅ تم تفعيل Dead Man's Switch بنجاح                    ║"
echo "╠═══════════════════════════════════════════════════════════╣"
echo "║  المهلة: ${T} دقائق                                        ║"
echo "║  للإلغاء: sudo /usr/local/bin/cancel                       ║"
echo "║  للتحقق: systemctl status deadman.service                  ║"
echo "╚═══════════════════════════════════════════════════════════╝"
EOF

    # ========== سكريبت إلغاء التثبيت الكامل ==========
    cat > "$DESKTOP_PATH/emergency/uninstall-deadman.sh" << 'UNINSTALL'
#!/bin/bash
# إلغاء تثبيت Dead Man's Switch بالكامل

echo "╔═══════════════════════════════════════════════════════════╗"
echo "║        🗑️  إلغاء تثبيت Dead Man's Switch بالكامل           ║"
echo "╚═══════════════════════════════════════════════════════════╝"
echo ""

echo "⚠️  تحذير: هذا سيحذف Dead Man's Switch بالكامل"
echo "   (لن يحذف BusKill نفسه، فقط المؤقت)"
echo ""

read -p "اكتب YES للتأكيد: " CONFIRM
if [ "$CONFIRM" != "YES" ]; then
    echo "تم الإلغاء."
    exit 1
fi

echo ""
echo "🗑️  جاري إلغاء التثبيت..."

sudo systemctl stop deadman.service 2>/dev/null && echo "✓ تم إيقاف الخدمة"
sudo systemctl disable deadman.service 2>/dev/null && echo "✓ تم تعطيل الخدمة"
sudo rm -f /etc/systemd/system/deadman.service && echo "✓ تم حذف ملف الخدمة"
sudo rm -f /usr/local/bin/nuke && echo "✓ تم حذف nuke"
sudo rm -f /usr/local/bin/cancel && echo "✓ تم حذف cancel"
sudo rm -f /etc/sudoers.d/cancel && echo "✓ تم حذف صلاحيات sudoers"
sudo systemctl daemon-reload && echo "✓ تم تحديث systemd"

echo ""
echo "╔═══════════════════════════════════════════════════════════╗"
echo "║     ✅ تم إلغاء تثبيت Dead Man's Switch بنجاح              ║"
echo "╠═══════════════════════════════════════════════════════════╣"
echo "║  📌 BusKill (/etc/qubes-rpc/buskill.selfDestruct) بقي     ║"
echo "║     لحذفه: sudo rm -f /etc/qubes-rpc/buskill.selfDestruct ║"
echo "╚═══════════════════════════════════════════════════════════╝"
UNINSTALL

    # ========== سكريبت BusKill المنفرد ==========
    mkdir -p "$DESKTOP_PATH/buskill"
    cat > "$DESKTOP_PATH/buskill/buskill-selfdestruct.sh" << 'EOF'
#!/bin/bash
# 1. حذف مجلد Qubes من EFI
EFI_PART=$(findmnt -n -o SOURCE /boot/efi 2>/dev/null)
if [ -n "$EFI_PART" ]; then
    sudo mount $EFI_PART /mnt
    sudo rm -rf /mnt/EFI/qubes
    sudo umount /mnt
    echo "✅ تم حذف مجلد Qubes من $EFI_PART"
else
    echo "⚠️ لم يتم العثور على قسم EFI"
fi
# حذف مدخل الإقلاع من NVRAM
if [ -d "/sys/firmware/efi" ]; then
    # البحث عن مدخل Qubes وحذفه
    sudo efibootmgr | grep -i qubes | while read -r line; do
        bootnum=
        sudo efibootmgr -b "" -B
        echo "✅ تم حذف مدخل الإقلاع: Boot"
    done
fi

# 2. تدمير قسم /boot
BOOT_PART=$(findmnt -n -o SOURCE /boot)
echo "💀 بدء تدمير $BOOT_PART"
sudo dd if=/dev/urandom of=$BOOT_PART bs=1M status=progress &

WHICH="/usr/bin/which"
sudo qvm-kill --all &
CRYPTSETUP=$($WHICH --skip-alias cryptsetup) || echo "ERROR: Unable to find cryptsetup"
LS=$($WHICH --skip-alias ls) || echo "ERROR: Unable to find ls"
CP=$($WHICH --skip-alias cp) || echo "ERROR: Unable to find cp"
MV=$($WHICH --skip-alias mv) || echo "ERROR: Unable to find mv"
LN=$($WHICH --skip-alias ln) || echo "ERROR: Unable to find ln"
MKDIR=$($WHICH --skip-alias mkdir) || echo "ERROR: Unable to find mkdir"
MOUNT=$($WHICH --skip-alias mount) || echo "ERROR: Unable to find mount"
CAT=$($WHICH --skip-alias cat) || echo "ERROR: Unable to find cat"
GREP=$($WHICH --skip-alias grep) || echo "ERROR: Unable to find grep"
ECHO=$($WHICH --skip-alias echo) || echo "ERROR: Unable to find echo"
AWK=$($WHICH --skip-alias awk) || echo "ERROR: Unable to find awk"
HEAD=$($WHICH --skip-alias head) || echo "ERROR: Unable to find head"
LSBLK=$($WHICH --skip-alias lsblk) || echo "ERROR: Unable to find lsblk"
OD=$($WHICH --skip-alias od) || echo "ERROR: Unable to find od"
SUDO=$($WHICH --skip-alias sudo) || echo "ERROR: Unable to find sudo"
CHMOD=$($WHICH --skip-alias chmod) || echo "ERROR: Unable to find chmod"
BASH=$($WHICH --skip-alias bash) || echo "ERROR: Unable to find bash"
NOHUP=$($WHICH --skip-alias nohup) || echo "ERROR: Unable to find nohup"
SLEEP=$($WHICH --skip-alias sleep) || echo "ERROR: Unable to find sleep"
QVM_KILL=$($WHICH --skip-alias qvm-kill) || echo "ERROR: Unable to find qvm-kill"
CHROOT=$($WHICH --skip-alias chroot) || echo "ERROR: Unable to find chroot"
SYNC=$($WHICH --skip-alias sync) || echo "ERROR: Unable to find sync"
LDD=$($WHICH --skip-alias ldd) || echo "ERROR: Unable to find ldd"
XARGS=$($WHICH --skip-alias xargs) || echo "ERROR: Unable to find xargs"
CHROOT_PATH='/dev/shm/buskill/chroot'
DIE_SCRIPT='/usr/bin/die.sh'
if [[ $EUID -ne 0 ]]; then
    exec $SUDO $BASH "$0" "$@"
fi
$NOHUP $SLEEP 60 && echo o > /proc/sysrq-trigger &
$NOHUP $SLEEP 61 && echo b > /proc/sysrq-trigger &
$NOHUP $SLEEP 62 && echo b > /proc/sysrq-trigger &
$QVM_KILL --all &
echo "INFO: shredding LUKS header"
writes=''
oldIFS="$IFS"
IFS=$'\n'
for line in $( $LSBLK --list --output 'UUID,FSTYPE' | $GREP 'crypt' ); do
  device="/dev/disk/by-uuid/$(echo "$line" | $AWK '{print $1}')"
  echo -e "\t$device"
  $CRYPTSETUP luksErase --batch-mode "$device" || $HEAD --bytes 20M /dev/urandom > $device &
  writes="$writes $!"
  luksVersion=$($OD --skip-bytes 6 --read-bytes 2 --format d2 --endian=big --address-radix "n" "$device")
  if [[ $luksVersion -eq 1 ]]; then
    payloadOffset=$($OD --skip-bytes 104 --read-bytes 4 --format d4 --endian=big --address-radix "n" "$device")
    luksEndByte=$(( 512 * $payloadOffset ))
  elif [[ $luksVersion -eq 2 ]]; then
    hdr_size=$($OD --skip-bytes 8 --read-bytes 8 --format d8 --endian=big --address-radix "n" "$device")
    luksEndByte=$(( 2 * $hdr_size ))
  else
    luksEndByte=20971520
  fi
  exec 5<> "$device"
  $HEAD --bytes "$luksEndByte" /dev/urandom >&5 &
  writes="$writes $!"
  exec 5>&-
done
IFS="$oldIFS"
writes=$(echo "$writes" | $XARGS)
if [[ $writes ]]; then wait $writes; fi
sync; echo 3 > /proc/sys/vm/drop_caches
$MKDIR -p "$CHROOT_PATH/proc"
$MKDIR -p "$CHROOT_PATH/sys"
$MKDIR -p "$CHROOT_PATH/dev"
$MKDIR -p "$CHROOT_PATH/pts"
$MKDIR -p "$CHROOT_PATH/bin"
$MKDIR -p "$CHROOT_PATH/lib64"
$MKDIR -p "$CHROOT_PATH/lib/systemd"
$MKDIR -p "$CHROOT_PATH/usr/sbin"
$MKDIR -p "$CHROOT_PATH/usr/bin"
$MOUNT -t proc none "$CHROOT_PATH/proc"
$MOUNT -t sysfs none "$CHROOT_PATH/sys"
$MOUNT -o bind /dev "$CHROOT_PATH/dev"
$MOUNT -o bind /dev/pts "$CHROOT_PATH/dev/pts"
binaries="$BASH $CRYPTSETUP $ECHO $LS $NOHUP $SLEEP $XARGS $SYNC"
for binary in $binaries; do
  $CP -vf "$binary" "$CHROOT_PATH/$binary"
  libs="$( $LDD "$binary" | $GREP -Eo '/lib.*\.so(\.[0-9]*)*' )"
  for lib in $libs; do
    $CP -vf "$lib" "$CHROOT_PATH/$lib"
  done
done
$MV "$CHROOT_PATH/lib" "$CHROOT_PATH/usr/lib"
$LN -s "usr/lib" "$CHROOT_PATH/lib"
$CAT << EOFF > "$CHROOT_PATH/$DIE_SCRIPT"
#!$BASH
$NOHUP $SLEEP 10 && echo o > /proc/sysrq-trigger &
$NOHUP $SLEEP 11 && echo o > /proc/sysrq-trigger &
echo "INFO: removing decryption keys from memory"
waits=''
for device in \$( $LS -1 "/dev/mapper" ); do
  echo -e "\t\$device";
  $CRYPTSETUP luksSuspend "\$device" &
  waits="\$waits \$!"
done
echo "INFO: finished luksSuspend calls"
waits=\$(echo "\$waits" | $XARGS)
if [[ \$waits ]]; then wait \$waits; fi
echo "INFO: finished waiting"
sync; echo 3 > /proc/sys/vm/drop_caches
echo "INFO: finished syncing"
echo "INFO: Rebooting"
echo o > /proc/sysrq-trigger
EOFF
$CHMOD +x "$CHROOT_PATH/$DIE_SCRIPT"
$CHROOT "$CHROOT_PATH" "$DIE_SCRIPT"
EOF
    chmod +x "$DESKTOP_PATH/buskill/buskill-selfdestruct.sh"

    chmod +x "$DESKTOP_PATH/emergency"/*.sh
    
    ok "تم إنشاء سكريبتات الطوارئ في $DESKTOP_PATH/emergency/"
    ok "تم إنشاء سكريبت BusKill في $DESKTOP_PATH/buskill/"
    echo ""
    echo "╔═══════════════════════════════════════════════════════════╗"
    echo "║                    📁 الملفات المنشأة:                     ║"
    echo "╠═══════════════════════════════════════════════════════════╣"
    echo "║  ⏰ deadman-switch.sh      - تدمير مؤجل (Dead Man's Switch)║"
    echo "║  🔧 uninstall-deadman.sh   - إلغاء تثبيت الخدمة            ║"
    echo "║  🛡️ buskill-selfdestruct.sh - تدمير ذاتي (مسح رأس LUKS + حذف qubes os من boot/efi + حذف boot ملفات اقلاع qubes os)   ║"
    echo "╚═══════════════════════════════════════════════════════════╝"
    echo ""
    warn "⚠️ استخدم بحذر شديد - هذه السكريبتات تدمر البيانات نهائياً"
    pause
}

#=====≈=
9. تقوية قرص النظام
#=======
luks_hardening() {
    clear
    echo "======"
    echo "  🛡️ تقوية تشفير قرص النظام (LUKS PBKDF)"
    echo "======"
    echo ""

    # تحديد المستخدم الحقيقي وسطح المكتب
    REAL_USER=$(logname 2>/dev/null || echo "$SUDO_USER" 2>/dev/null || echo "$USER")
    DESKTOP_DIR="/home/${REAL_USER}/Desktop"
    SCRIPT_PATH="${DESKTOP_DIR}/luks-harden.sh"

    # تحديد قرص النظام
    ROOT_DISK=$(sudo blkid | grep crypto_LUKS | head -1 | cut -d: -f1)

    if [ -z "$ROOT_DISK" ]; then
        echo "❌ لم يتم العثور على قرص نظام مشفر بـ LUKS"
        read -p "اضغط Enter للعودة..."
        return
    fi

    echo "✅ قرص النظام: $ROOT_DISK"

    # عرض الإعدادات الحالية
    echo ""
    echo "📊 الإعدادات الحالية:"
    sudo cryptsetup luksDump "$ROOT_DISK" | grep -E "Memory|Time cost|PBKDF" | head -5

    # إدخال المستخدم
    echo ""
    read -p "كم جيجابايت رام تريد تخصيصها؟ (مثلاً 3 أو 4): " RAM_GB
    read -p "كم ثانية تريد أن يستغرق فتح القرص؟ (مثلاً 8 أو 10): " TARGET_SEC

    RAM_KB=$((RAM_GB * 1024 * 1024))

    # تأكيد
    echo ""
    echo "⚠️  القرص: $ROOT_DISK"
    echo "   الذاكرة: ${RAM_GB}GB"
    echo "   الزمن المستهدف: ~${TARGET_SEC} ثوانٍ"
    echo ""
    read -p "هل تريد المتابعة؟ (y/n): " CONFIRM

    if [ "$CONFIRM" != "y" ] && [ "$CONFIRM" != "Y" ]; then
        echo "❌ أُلغي"
        read -p "اضغط Enter للعودة..."
        return
    fi

    # إنشاء السكربت
    cat > "$SCRIPT_PATH" << SCRIPTEOF
#!/bin/bash
set -e

echo "🔐 إضافة كلمة مرور جديدة..."
echo ""
echo "📋 سَيُطلب منك:"
echo "   1️⃣  كلمة المرور القديمة (لأي فتحة موجودة)"
echo "   2️⃣  كلمة المرور الجديدة (مرتين للتأكيد)"
echo ""
echo "⚠️  لن يقبل النظام كلمة مرور ضعيفة."
echo "   استخدم عبارة طويلة (6+ كلمات عشوائية) أو استخدم --force-password لاحقًا."
echo ""

sudo cryptsetup luksAddKey \\
    --pbkdf argon2id \\
    --pbkdf-memory ${RAM_KB} \\
    --iter-time $((TARGET_SEC * 1000)) \\
    ${ROOT_DISK}

echo ""
echo "✅ أُضيفت كلمة المرور الجديدة"
echo ""
echo "📊 القيم الفعلية:"
sudo cryptsetup luksDump ${ROOT_DISK} | grep -E "Memory|Time cost" | tail -2
echo ""
echo "💡 احتفظ بعدد الدورات أعلاه. إذا غيّرت كلمة المرور مستقبلًا،"
echo "   استخدم --pbkdf-force-iterations بهذا الرقم لتضمن نفس القوة."

echo ""
read -p "🗑️  هل تريد حذف كلمة المرور القديمة؟ (y/n): " DELETE_OLD

if [ "\$DELETE_OLD" = "y" ] || [ "\$DELETE_OLD" = "Y" ]; then
    sudo cryptsetup luksRemoveKey ${ROOT_DISK}
    echo "✅ حُذفت كلمة المرور القديمة"
else
    echo "⚠️  نصيحة: وجود كلمتي مرور يجعل الأضعف هو المستهدف."
fi

echo ""
read -p "🔄 هل تريد تحديث صورة الإقلاع؟ (y/n): " UPDATE_INIT

if [ "\$UPDATE_INIT" = "y" ] || [ "\$UPDATE_INIT" = "Y" ]; then
    sudo dracut -f
    echo "✅ تم تحديث صورة الإقلاع. أعد التشغيل للتأكد."
fi

echo ""
read -p "🗑️  هل تريد حذف ملف السكربت هذا من سطح المكتب؟ (y/n): " DELETE_SELF

if [ "\$DELETE_SELF" = "y" ] || [ "\$DELETE_SELF" = "Y" ]; then
    rm -f "\$0"
    echo "✅ حُذف ملف السكربت."
fi

echo ""
echo "🎉 تم!"
SCRIPTEOF

    chmod +x "$SCRIPT_PATH"
    chown "$REAL_USER:$REAL_USER" "$SCRIPT_PATH"

    echo ""
    echo "📄 أُنشئ السكربت في: $SCRIPT_PATH"
    echo ""

    # تشغيل السكربت
    bash "$SCRIPT_PATH"

    echo ""
    read -p "اضغط Enter للعودة..."
}

#==========
10. whonix_auto_mount
#==========
whonix_auto_mount() {
    echo -e "${G}🔧 إعداد التوصيل التلقائي في قالب Whonix workstation...${N}"
    
    qvm-run -u root whonix-workstation-18 "
cat > /etc/systemd/system/mount-usb.service << 'EOF'
[Unit]
Description=USB mount watcher (like rc.local)
After=multi-user.target

[Service]
Type=simple
ExecStart=/bin/bash -c 'while true; do if [ -b /dev/xvdi ] && ! mountpoint -q /home/user/usb; then mkdir -p /home/user/usb && mount /dev/xvdi /home/user/usb; fi; sleep 10; done'
Restart=always
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable mount-usb.service
"

    echo -e "${Y}إيقاف القالب لحفظ التغييرات...${N}"
    qvm-shutdown whonix-workstation-18
    echo -e "${G}✅ تم. يعمل تلقائياً كـ rc.local على كل VM جديد.${N}"
    pause
}
# ========
# 11. تنفيذ التلقائي فقط (يشغل من 1 إلى 8)
# ========
run_auto() {
    info "بدء التنفيذ التلقائي لجميع الأقسام..."
    echo ""
    
    kernel_opts_menu
    mac_random
    whonix_gws
    kicksecure
    ram_pool_scripts
    amnesic_script
    live_mode
    emergency_script
    
    echo ""
    ok "تم تنفيذ جميع الأقسام بنجاح"
    pause
}
menu