> Este texto traducido está en revisión lingüística. Si un pasaje no está claro, consulte el [original en inglés](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Autenticación opcional del sistema y bloqueo de la bóveda

Crear o desbloquear la bóveda con su contraseña maestra primero. Abra **Settings → Security**, compruebe el estado del proveedor y active el desbloqueo biométrico. La inscripción solicita una autenticación del sistema nueva. Después la superposición de login ofrece Touch ID, Windows Hola o huella dactilar desbloquear junto con el formulario de contraseña maestro. **Desactivar y eliminar la inscripción** elimina la clave caché de esta aplicación, nunca las huellas dactilares registradas del sistema operativo.

Mantenga la contraseña maestra: cancelación, tiempo de espera, hardware/teclado no disponible y inscripción invalidada todos requieren contraseña de reserva. La inscripción biométrica es local para este usuario, dispositivo y Vault. No es un mecanismo de recuperación o una copia de seguridad. Reset the Vault revoca la inscripción y elimina los perfiles cifrados existentes y las huellas dactilares del host sólo después de la confirmación `SMAZAT` existente.

| Plataforma | Autenticación y almacenamiento | Requisitos y límites |
| --- | --- | --- |
| macOS Apple Silicon locales nativos | Autenticación / Touch ID; Seguridad.framework Artículo llavero con `biometryCurrentSet` y `WhenUnlockedThisDeviceOnly` DNI de tacto registrado |, sensor disponible y un Keychain de acceso utilizable. Los cambios de huella dactilar invalidan el elemento. Utilice la firma estable de identificación de desarrollador para actualizaciones de producción; la firma ad hoc de alfa puede interrumpir la confianza en Keychain y el seguimiento de permisos de red local. |
| Windows x64 XQQZ | Native WinRT Windows Hola interop de escritorio conectado al HWND principal; clave cifrada DPAPI del usuario actual en Windows Credential Manager | Configurado Hola huella dactilar, cara **or PIN**. Esto es desbloqueo por conveniencia: La aprobación de Hello se hace cumplir por la aplicación, mientras que DPAPI en sí no está cerrado biométricamente. Otro código que se ejecuta como el mismo usuario puede descifrar la credencial. |
| Ubuntu x64Z | Huella registrada del usuario actual a través de fprintd D-Bus; libsecret explícito / almacenamiento credencial del Servicio Secreto | Lector compatible, huella registrada, funcionamiento del servicio secreto de escritorio y llavero predeterminado. Desbloqueo de conveniencia: la credencial del llavero no está criptográficamente vinculada a la verificación de huellas dactilares. No hay copia de seguridad `basic_text` o archivo de texto plano. |

Activar Ubuntu los paquetes de tiempo de ejecución opcionales son `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (u otro servicio secreto compatible) y `fprintd`. Instale los paquetes que faltan usando el gestor de paquetes normal del sistema operativo, y luego inscriba una huella dactilar en la configuración del sistema operativo. La autenticación utiliza el usuario actual y no requiere root ni cambiar PAM. Una sesión sin cabeza SSH sin un teclado de escritorio no está disponible; no almacena una llave en silencio en otro lugar.

## Reglas de bloqueo

El bloqueo automático está apagado para las instalaciones existentes. Habilitando que seleccione **15 minutos** por defecto; los valores soportados nunca, 1, 5, 10, 15, 30 y 60 minutos. La entrada de teclado y ratón en las ventanas de aplicaciones cuentan como actividad; la salida SSH entrante no lo hace. El bloqueo de enfoque opcional trata las ventanas de plugins de la aplicación como parte de la aplicación y permite que un sistema de autenticación en progreso se termine. Cambiar estas reglas requiere la contraseña maestra.

**Cada bloqueo de la bóveda, incluyendo el bloqueo de la inactividad y del foco, desconecta las sesiones activas de SSH, cierra los complementos y detiene los diagnósticos.** Guardar ediciones remotas antes de bloquear. Esto preserva el comportamiento de bloqueo manual existente; no hay credenciales SSH disponibles para los complementos de fondo después de un bloqueo.

La política de operación sensible opcional solicita autenticación del sistema para la eliminación de perfiles, instalación/absorción de complementos, lanzamiento del instalador y restablecimiento de una Bóveda desbloqueada. Los comandos de terminal remoto y las ediciones de archivos de plugins están fuera de esta política. La política no reemplaza la autorización del servidor SSH. Si el proveedor deja de trabajar, desbloquee con la contraseña maestra y cambie la política usando esa contraseña. Reset permanece disponible desde la pantalla de recuperación bloqueada después de su confirmación destructiva.

## Diseño de la bóveda y el IPC

La actual V1 Vault sigue siendo AES-256-GCM con scrypt; la inscripción no reescribe sus archivos ni cambia su esquema. Sólo una copia de su ** derivada de 32-byte key** va al almacenamiento de credenciales OS. La contraseña maestra de texto plano nunca se almacena. Los metadatos de inscripción local contienen ID de credencial aleatorio, proveedor y una unión SHA-256 a los metadatos inmutables de la bóveda. Una clave recuperada debe pasar el descifrado autenticado antes de abrir una sesión. Los buffers de proceso principal se eliminan después de su uso; las cadenas de protocolo nativas son memoria de proceso transitoria, no una reclamación de borrado completo de memoria en tiempos de ejecución gestionados.

El ayudante se comunica a través de tuberías privadas stdin/stdout delimitadas, no acepta comandos shell, tiene tiempos de autenticación y devuelve códigos de error sanitizados. Los ayudantes se empaquetan fuera de ASAR en `resources/biometrics`; son ejecutables nativos independientes, por lo que no se requiere ningún módulo nativo Electron ABI. El ayudante Linux utiliza el sistema Python y GI. Los objetos nativos y las teclas derivadas nunca cruzan el renderizador/puente plugin. Biometric IPC valida la ventana principal en vivo y su marco principal; los plugins no pueden invocarlo. El bloqueo explícito cancela el trabajo biométrico pendiente y la contraseña desbloquea así que la aprobación tardía no puede reabrir la bóveda. Eliminar la inscripción revoca su enlace local incluso si la tienda OS está desconectada; una tienda inalcanzable puede retener una credencial huérfana inutilizable.

## Construcción y verificación

`npm run biometrics:build` prepara el ayudante host-platform; la preparación de inicio y lanzamiento del desarrollo lo invoca automáticamente. macOS requiere SDK Swift/Apple con seguridad y autentificación local; Windows necesita Visual Studio C++ Build Tools, Windows SDK y C++/WinRT; Linux copia el ayudante de Python. No se añaden nuevas dependencias de npm. Construir nativamente en cada objetivo OS. El ayudante macOS está incluido en la firma de paquetes recursivos; no necesita ningún derecho de aplicación Sandbox porque esta aplicación de escritorio no está arenosa. Producción La distribución macOS todavía requiere firma de ID de desarrollador y notarización, independientemente de las firmas de liberación de OpenPGP.

Ejecute `npm test`, `npm run test:biometrics:ui` y `npm run test:diagnostics:ui`. Prueba de nodo biométrico y prueba de humo de la interfaz de usuario aislada **adaptador de simulación del sistema operativo** para cubrir el éxito, rechazo/cancelación, claves incorrectas, hardware/inscripción faltante, reinicio, tiempo muerto y resultados tardíos, no disponibles Linux llaveros, fallos de credenciales del sistema operativo, Windows Respuestas aprobadas por la PIN, macOS cambios en la inscripción, compatibilidad con Vault existente, aislamiento IPC y SSH Limpieza. Esto no establece una autenticación de hardware exitosa.

Compilación nativa se verificó en macOS  arm64 y Windows  x64. macOS informa de Touch ID disponible; los informes Windows VM Hola no disponibles. Huella digitalLa inscripción de /face/PIN, la recuperación real de teclas protegidas, la cancelación del diálogo del sistema operativo y la invalidación del cambio de inscripción todavía requieren pruebas interactivas de hardware en cada sistema soportado. Además, el ayudante de Linux debe probarse en un escritorio con un lector fprintd soportado; una VM sin cabeza no puede establecer esa verificación.

Referencias de la plataforma: [Control de acceso biométrico de Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows Hola interop escritorio](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [ciclo de vida del dispositivo fprintd](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Especificación del Servicio Secreto](https://specifications.freedesktop.org/secret-service/latest/).

## macOS Acceso a la red local SSH

Si todos los perfiles SSH locales fallan con `connect EHOSTUNREACH` pero la misma conexión funciona en Terminal, compruebe **System Settings → Privacidad y seguridad → Red local → CH-J Server Manager**, permita el acceso, abandone completamente la aplicación y vuelva a abrirla. Si ya está activado, cambie su permiso y reinicie. También compruebe el enrutamiento, Wi-Fi/Ethernet y VPN: el error por sí solo no es prueba de una denegación de privacidad. No reinicie las huellas dactilares de confianza de la Bóveda ni descarte las huellas digitales SSH para este error.

La aplicación declara `NSLocalNetworkUsageDescription` y proporciona orientación localizada para los errores de permisos/rutas de la red macOS. No se puede dar permiso. Apple recomienda una identidad de firma emitida por Apple para que macOS pueda rastrear la privacidad de la red de forma fiable en todas las construcciones; las actuales construcciones ad hoc alfa conservan esa limitación. Ver [Guía de privacidad de la red local de Apple](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Icono de aplicación Ubuntu

Los paquetes Debian instalan el icono CH-J existente a tamaños hicolor estándar (16–512 px), con una entrada de escritorio correspondiente y clase de ventana Electron. La ventana principal también recibe el icono cuando se recrea. Después de actualizar un lanzador antiguo ya fijado, desenrosque y pin la aplicación recién instalada; un login/login de escritorio puede refrescar una caché de lanzamiento de GNOME rancio.