> Езиковата редакция на този превод е в ход. При неясноти сравнете с [английския оригинал](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Незадължително удостоверяване на системата и заключване на подпорите

Създаване или отключване на Трезора с неговата главна парола първо. Отворете **Settings → Security**, проверете статуса на доставчика и активирайте биометричните отключване. Записването изисква установяване на нова система. След това нанасяне на покритието за вход предлага Touch ID, Windows Здравейте или пръстови отпечатъци отключване заедно с формата master-password. **Desable и премахване на записване** премахва скрития ключ на това приложение, никога регистрираните пръстови отпечатъци на операционната система.

Запазете главната парола: анулиране, таймаут, недостъпен хардуер/ключинг и невалидно записване всички изискват парола резервно копие. Биометричният запис е локален за този потребител, устройство и трезор. Това не е механизъм за възстановяване или резервно копие. Рестартиране на трезора отменя записване и изтрива съществуващите криптирани профили и пръстови отпечатъци на хоста само след съществуващото потвърждение на `SMAZAT`.

| Платформа | Идентификация и съхранение | Изисквания и граници |
| --- | --- | --- |
|  macOS  Apple Silicon  | Локално управление / Touch ID; Security.framework Ключодържател с `biometryCurrentSet` както и `WhenUnlockedThisDeviceOnly`  | Входен ключодържател, наличен сензор и използваем вход. Промените в пръстовите отпечатъци обезсилват предмета. Използвайте стабилен Разработчик ID подписване за актуализации на производството; ad hoc алфа подписване може да наруши доверието в Keychain и локалните мрежи за проследяване на разрешенията. |
|  Windows  x64  | Кореспонденция WinRT Windows Здравейте десктоп интероп прикрепен към главния HWND; текущата потребител DPAPI криптиран ключ в Windows Управител на системата за идентификация | Настройване на Hello printing, face **или ПИН код**. Това е удобство отключване: Hello одобрение се прилага от приложението, докато самият DPAPI не е биометричен затворен. Друг код, работещ като същия потребител, може да дешифрира удостоверението. |
|  Ubuntu  x64  | Записаната от потребителя дактилоскопия чрез frprintd D-Bus; изрична libacret / Secret Service credential storage | Поддържан четец, записани пръстови отпечатъци, работещ настолен Secret Service и по подразбиране ключ. Удобство отключване: ключодържателя не е криптографско свързан с проверка на пръстови отпечатъци. Не `basic_text` или обикновен текстов файл. |

На Ubuntu незадължителните пакети за време на работа са `python3-gi`, `gir1.2-secret-1` и `gnome-keyring` (или друг съвместим Secret Service) и `fprintd`. Инсталиране на липсващи пакети с помощта на нормалния мениджър на пакетни OS, след което се записва отпечатък в настройките на операционната система. Автентикацията използва текущия потребител и не изисква корен или промяна на PAM. Безглавият SSH сесия без десктоп ключове не е наличен; той не съхранява тихо ключ другаде.

## Правила за заключване

Автоматичното заключване е изключено за съществуващи инсталации. Включване на избирането **15 минути** по подразбиране; поддържаните стойности никога не са, 1, 5, 10, 15, 30 както и 60 минути. Входът на клавиатурата и мишката в прозореца на приложението се брои като активност; входящият SSH изход не е. Опционално заключване фокус третира приставка прозорци на приложението като част от приложението и позволява in-progress система за удостоверяване, за да завършите. Промяната на тези правила изисква главната парола.

**Всяко заключване на трезора, включително неактивност и заключване на фокуса, изключва активните сесии SSH, затваря приставките и спира диагностиката.** Записва отдалечените редактирания преди заключване. Това запазва съществуващото поведение на ръчно блокиране; не SSH пълномощията остават на разположение за фонови приставки след заключване.

Политиката за незадължително чувствително-опериране изисква установяване на нова система за изтриване на профили, инсталиране/премахване на приставките, стартиране на инсталатор и нулиране на отключено хранилище. Дистанционните терминални команди и приставки за редактиране на файлове са извън тази политика. Политиката не заменя SSH сървъра. Ако доставчикът спре да работи, отключи с главната парола и промени политиката с тази парола. Рестартирането остава на разположение от заключения екран за възстановяване след неговото разрушително потвърждение.

## Конструкция на трезора и IPC

Съществуващото v1 Vault остава AES-256-GCM с шифроване; записване не пренаписва файловете си или промяна на схемата. Само копие от неговото **получени 32- Byte ключ** Отива в хранилището на ОС. Паролата на главния текст никога не се записва. Метаданните за записване на място съдържат случайна идентификация, доставчик и SHA-256 свързване към неизменните метаданни на Трезора. Възстановеният ключ трябва да премине през автентично разшифроване преди отваряне на сесията. Основните буфери се изчистват след употреба; низовете на локалния протокол са преходни технологични памет, а не претенция за пълно изтриване на паметта в управляваните часове.

Помощникът комуникира чрез ограничени частни тръби stdin/stdout, приема никакви команди, има време за удостоверяване на автентичността и връща дезинфекцирани кодове за грешки. Помощниците са опаковани извън ASAR в `resources/biometrics`; те са самостоятелни местни изпълними, така че не се изисква Electron ABI роден модул. Помощникът Linux използва системата Python и GI. Местните обекти и извлечените ключове никога не пресичат моста на динаматора/plugin. Биометрични IPC валидира главния прозорец на живо и основната му рамка; плъгини не могат да го извикват. Изрично заключване отменя работата по биометрични и пароли, така че късното одобрение не може да отвори отново трезора. Премахването на записване отменя локалното свързване, дори и ако магазинът на операционната система е офлайн; недостъпен магазин може да запази неизползваем сирак.

## Изграждане и проверка

`npm run biometrics:build` подготвя помощник-платформен; разработката започва и освобождава подготовката го извиква автоматично. macOS изисква Swift/Apple SDK със сигурност и местно управление; Windows изисква Visual Studio C++ изгражда инструменти, Windows SDK и C++/WinRT; Linux копира помощника на Пайтън. Не се добавят нови зависимости от npm. Изградете на местно ниво всяка целева операционна система. Помощникът macOS е включен в рекурсивния пакет за подписване; не се нуждае от права на App Sandbox, тъй като това приложение за настолни компютри не е shandboxed. Производство macOS дистрибуция все още изисква разработчик ID подписване и нотариализация, независимо от OpenPGP освобождаване подписи.

Пусни `npm test`, `npm run test:biometrics:ui` и `npm run test:diagnostics:ui`. Биометрични изпитвания на възела и изолираното изпитване за UI дим **mair OS адаптер** за покриване на успеха, отхвърлянето/отказването, грешните ключове, липсващия хардуер/завъртане, нулирането, таймаут и късните резултати, недостъпен Linux ключове, проблеми със системата за идентификация, Windows Одобрени с PIN отговори, macOS промени в записване, съществуваща съвместимост с Vault, изолация на IPC и SSH Почистване. Това не установява успешно удостоверяване на хардуера.

Местната компилация е потвърдена на macOS  arm64 както и Windows  x64. macOS докладва Touch ID на разположение; Windows VM доклади Здравейте недостъпен. Записването на пръстови отпечатъци /face/PIN, действителното извличане на защитени ключове, анулирането на диалоговия прозорец и анулирането на промените в регистрацията все още изискват интерактивни хардуерни тестове на всяка поддържана система. Помощникът на Linux трябва допълнително да бъде тестван на работен плот с поддържан четец с frprintd; безглав VM не може да установи тази проверка.

Референции на платформата: [Контрол на биометричния достъп на Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows Настолен компютър Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [frinted устройство жизнен цикъл](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Спецификация на тайните служби](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH достъп до локална мрежа

Ако всеки местен SSH Профилът не успява с `connect EHOSTUNREACH` но същата връзка работи в терминал, проверете **Системни настройки → Поверителност и сигурност → Локална мрежа → CH-J Server Manager**, позволяват достъп, напълно се откажат от приложението и да го отвори отново. Ако вече е включено, превключете неговото разрешение и рестартирайте. Също така проверка маршрутизиране, Wi-Fi/Ethernet и VPN: грешката само по себе си не е доказателство за отказ за поверителност. Не нулирайте Vault или изхвърлете надеждните пръстови отпечатъци на SSH за тази грешка.

Приложението декларира `NSLocalNetworkUsageDescription` и осигурява локализирано ръководство за разрешение на мрежата macOS/Route грешки. Тя не може да си даде разрешение. Apple препоръчва на Apple-издаден подписване идентичност, така че macOS може да следите неприкосновеността на мрежата надеждно във всички конструкции; текущи ad hoc алфа изгражда запази това ограничение. Виж. [Ръководство за поверителност на Apple в локалната мрежа](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Икона на приложението Ubuntu

Пакетите Дебиан инсталират съществуващата икона CH-J в стандартни размери на hicolor (16–512 px), със съвпадащ работен плот и клас Electron прозорец. Главният прозорец също получава иконата, когато е пресъздадена. След обновяването на вече закачен стар установъчен, разкопчайте го и закрепете ново инсталираното приложение; десктоп изход/логин може да освежи стара GNOME кеша.