> Selle tõlke keeleline läbivaatamine on pooleli. Ebaselguse korral võrrelge [ingliskeelse originaaliga](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Vabatahtlik süsteemi autentimine ja seifi lukustamine

Looge või avage võlvkelder oma peaparooliga. Avage **Settings → Security**, kontrollige pakkuja staatust ja võimaldage biomeetrilist avamisvõimalust. Registreerimine nõuab uut süsteemi autentimist. Pärast sisselogimist pakub Touch ID, Windows Hello või sõrmejälje avamise kõrval master-parool vormi. **Asitav ja eemaldage registreerumine** eemaldab selle rakenduse puhverdatud võti, kunagi operatsioonisüsteemi registreeritud sõrmejäljed.

Hoidke peaparool: tühistamine, aeg maha, kättesaamatu riistvara / võtmehoidja ja kehtetuks registreerumine kõik nõuavad parooli varukoopia. Biomeetriline registreerimine on selle kasutaja, seadme ja Vaulti jaoks kohalik. See ei ole taastamismehhanism ega varukoopia. Vaulti taaskäivitamine tühistab registreerumise ning kustutab olemasolevad krüpteeritud profiilid ja asukoha sõrmejäljed alles pärast `SMAZAT` kinnitust.

| Platform | Autentimine ja säilitamine | Nõuded ja piirangud |
| --- | --- | --- |
|  macOS  Apple Silicon  | Kohalik kohalik autentimine / Touch ID; Turvalisus. Framework Keychain kirje koos `biometryCurrentSet` ning `WhenUnlockedThisDeviceOnly`  | Touch ID, saadaval sensor ja kasutatav sisselogimine Keychain. Sõrmejälg muudab elemendi kehtetuks. Kasuta stabiilset Arendaja ID signeerimist toodangu uuendamiseks; ad hoc alfa signeerimine võib häirida Keychain usaldust ja kohaliku võrgu loa jälgimist. |
|  Windows  x64  | Native WinRT Windows Tere töölaua interop lisatud peamine HWND; praeguse kasutaja DPAPI krüptitud võti Windows Usaldusväärne haldur | Seadistatud Hello sõrmejälg, nägu **või PIN**. See on mugav lahti: Tere heakskiidu jõustab rakendus, samas kui DPAPI ise ei ole biomeetrilise väravaga. Muud sama kasutajaga töötavad koodid võivad veakoodi lahti krüptida. |
| UbuntuZ x64 | Praegune kasutaja sisestatud sõrmejälg läbi fprintd D-Bus; selgesõnaline libscret / Secret Service credential storage | Toetatud lugeja, registreerunud sõrmejälg, töötab töölaua salajane teenus ja vaikimisi võti. Mugavus lahti: võtmerõngas ei ole krüptograafiliselt seotud sõrmejälje kontrollimisega. `basic_text` või lihttekstifaili varukoopia puudub. |

Ubuntu-l on vabatahtlikud töögraafiku paketid: `python3-gi`, `gir1.2-secret-1` ja `gnome-keyring` (või mõni teine ühilduv salateenistus) ning `fprintd`. Paigalda puuduvad paketid kasutades tavalist OS paketihaldur, seejärel registreeruda sõrmejälg OS seaded. Autentimine kasutab aktiivset kasutajat ega nõua juurt või PAM- i muutmist. Peata SSH seanss ilma töölaua klahvivajutusteta ei ole kättesaadav; see ei salvesta vaikselt võtit mujal.

## Lukustuseeskirjad

Automaatne lukustamine on välja lülitatud olemasolevate seadmete jaoks. Võimaldab valida **15 minutit** vaikimisi; toetatud väärtused ei ole kunagi; 1, 5, 10, 15, 30 ning 60 Minutit. Klaviatuuri ja hiire sisend rakenduse aknad loevad aktiivsus; sisenev SSH väljund ei. Valikuline fookuse lukustamine käsitleb rakenduse pluginaaknaid rakenduse osana ja võimaldab süsteemisisese autentimise kohe lõpetada. Nende reeglite muutmine nõuab peaparooli.

**Iver Vault lukk, sealhulgas tegevusetus ja fookuse lukustamine, katkestab aktiivsed SSH seansid, sulgeb pluginad ja peatab diagnostika.** Salvesta kaugtoimetused enne lukustamist. See säilitab olemasoleva käsitsiluku käitumise; SSH volikirjad jäävad pärast lukku taustapluginatele kättesaadavaks.

Vabatahtlik tundliku operatsiooni poliitika nõuab uut süsteemi autentimist profiili kustutamiseks, plugina paigaldamist/moval, paigaldaja käivitamist ja lukustamata kambri taaskäivitamist. Kaugterminali käsud ja plugin fail redigeerimine on väljaspool seda reeglit. See reegel ei asenda SSH serveri luba. Kui pakkuja lõpetab töötamise, avage peaparool ja muuta poliitikat kasutades seda parooli. Lähtesta jääb lukustatud taastamise ekraanil pärast selle hävitavat kinnitust.

## Vault ja IPC disain

Olemasolev v1 Vault jääb AES-256-GCM koos skrüpt; registreerimine ei kirjuta oma faile ümber ega muuda selle skeemi. Ainult koopia oma ** tuletatud 32-byte võti** läheb OS credential ladustamiseks. Klaarteksti peaparooli ei salvestata kunagi. Kohalikud registreerumismetaandmed sisaldavad juhuslikku usalduskoodi, pakkujat ja SHA-256-d, mis on seotud Vault'i muutumatute metaandmetega. Taastatud võti peab enne seansi avamist läbima autenditud dekrüptimise. Põhiprotsessi puhvrid puhastatakse pärast kasutamist; native protokollistringid on ajutine protsessi mälu, mitte väide täieliku mälu kustutamise kohta juhitavate tööaegade jooksul.

Abiline suhtleb piiratud privaatsete stdin/stdout torude kaudu, ei võta vastu shelli käske, tal on autentimise aegumistähtajad ja tagastab sanitiseeritud veakoodid. Abilised on pakitud väljaspool ASAR `resources/biometrics`; nad on eraldi native käivitatavad, nii et Electron ABI native moodul on vaja. Linux abiline kasutab süsteemi Python ja GI. Põlisobjektid ja tuletatud võtmed ei ületa kunagi renderdaja/plugin silda. Biomeetriline IPC valideerib live peaakna ja selle peamise raami; pluginad ei saa seda kasutada. Selgesõnaline lukustamine tühistab ootel biomeetrilise ja salasõna avamise, nii et hiline kinnitamine ei saa Vault'i uuesti avada. Registreerimise eemaldamine tühistab oma kohaliku sideme isegi juhul, kui OS-pood on võrgust väljas; kättesaamatu kauplus võib säilitada kasutuskõlbmatu orvutunnistuse.

## Ehitamine ja kontrollimine

`npm run biometrics:build` valmistab ette host-platform abistaja; arendus- start ja vabastage ettevalmistamisel tugineda automaatselt. macOS nõuab Swift/Apple SDK koos turvalisuse ja kohaliku autentimine; Windows vajab Visual Studio C++ Build Tools, Windows SDK ja C++/WinRT; Linux kopeerib Python abiline. Uusi sõltuvusi npm- ist ei lisata. Ehitame igale sihtmärgile OS-i. macOS abiline on kaasatud rekursiivne kimbu signeerimine; see ei vaja App Liivakasti õigus, sest see töölaua rakendus ei ole liivakast. Tootmine macOS jaotus vajab arendaja ID allkirjastamist ja notariseerimist, sõltumata OpenPGP release allkirjad.

Käivitada `npm test`, `npm run test:biometrics:ui` ja `npm run test:diagnostics:ui`. Biomeetriliste sõlmekatsete ja isoleeritud UI suitsukatse puhul tuleb kasutada a **imitatsioon OS-adapter** et katta edu, tagasilükkamine/lubamine, vale võtmed, puudu riistvara / registreerimine, reset, aegumine ja hilised tulemused, kättesaamatu Linux võtmerõngad, OS-i läbikukkumised; Windows PIN-kinnitusega vastused, macOS registreerimise muudatused, olemasolev laeka ühilduvus, IPC isolatsioon ja SSH Puhastus. See ei loo edukat riistvara autentimist.

Kohalikku kompileerimist kontrolliti macOS  arm64 ning Windows  x64. macOS teatab Touch ID saadaval; Windows VM aruanded Hello ei ole kättesaadav. Fingerprint/face/PIN registreerumine, tegelik kaitstud võti otsing, OS dialoogi tühistamine ja registreerimine muutmine kehtetuks tunnistamine ikka vaja interaktiivne riistvara testimine iga toetatud süsteemi. Linux abilist tuleb täiendavalt testida toetatud fprintd-lugejaga töölaual; peata VM ei suuda seda kontrollida.

Platvormi viited: [Apple'i biomeetrilise juurdepääsu kontroll](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows töölaud Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprintd seadme elutsükkel](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Salateenistuse spetsifikatsioon](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH kohaliku võrgu juurdepääs

Kui iga kohalik SSH profiil nurjus `connect EHOSTUNREACH` kuid sama ühendus töötab Terminal, kontrollida **Süsteemi seadistused → Privaatsus ja turvalisus → Kohalik võrk → CH-J Server Manager**, võimaldada juurdepääsu, täielikult loobuda rakendusest ja taasavada. Kui see on juba lubatud, lülitab selle õigused sisse ja taaskäivitab. Kontrollige ka marsruuti, Wi-Fi/Ethernet ja VPN: viga üksi ei ole tõend privaatsuse eitamise. Ärge taaskäivitage Vault ega kõrvaldage usaldusväärseid SSH sõrmejälgi selle vea jaoks.

Rakendus deklareerib `NSLocalNetworkUsageDescription` ja pakub kohalikke juhiseid macOS võrguloa/marsruudi vigade jaoks. Ta ei saa endale luba anda. Apple soovitab Apple'i välja antud allkirja identiteeti, et macOS saaks jälgida võrgu privaatsust usaldusväärselt üle ehitab; praegune ad hoc alfa ehitab säilitab selle piirangu. Vt [Apple'i kohaliku võrgu privaatsusjuhend ](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu rakenduse ikoon

Debian paketid installida olemasolev CH-J ikoon standard hicolor suurused (16–512 px), mis sobib töölaua kirje ja Electron akna klassi. Peaaken võtab taasloomise korral vastu ka ikooni. Pärast vana juba pinned käivitaja uuendamist, lahti ja viik äsja paigaldatud rakendus; töölaua logimine / sisselogimine võib värskendada aegunud GNOME käivitaja vahemälu.