> Tämän käännöksen kielentarkistus on kesken. Vertaa epäselviä kohtia [englanninkieliseen alkuperäiseen tekstiin](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Valinnainen järjestelmän tunnistaminen ja holvin lukitus

Luo tai avaa holvi pääsalasanalla ensin. Avaa **Asetukset → Turvallisuus**, tarkista palveluntarjoajan tila ja mahdollista biometrinen avaus. Ilmoittautuminen vaatii uuden järjestelmän tunnistamista. Sen jälkeen kirjautumisaula tarjoaa Touch ID:n, Windows Hellon tai sormenjälkiavaimen pääsalasanan rinnalle. **Poista ja poista ilmoittautuminen** poistaa tämän sovelluksen välimuistin avaimen, ei koskaan käyttöjärjestelmän rekisteröityjä sormenjälkiä.

Pidä pääsalasana: peruutus, aikalisä, ei saatavilla oleva laitteisto/avain ja mitätöity ilmoittautuminen edellyttävät salasanan varaumaa. Biometrinen ilmoittautuminen on käyttäjälle, laitteelle ja Vaultille paikallista. Se ei ole elvytysmekanismi eikä varajärjestelmä. Holvin uudelleenasettaminen kumoaa rekisteröinnin ja poistaa olemassa olevat salatut profiilit ja isännöi sormenjälkiä vasta nykyisen `SMAZAT`-vahvistuksen jälkeen.

| Platform | Authentication and warement | Vaatimukset ja rajoitukset |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Security.Foundal Keychain -tuote `biometryCurrentSet` sekä `WhenUnlockedThisDeviceOnly`  | Enrolled Touch ID, saatavilla oleva anturi ja käyttökelpoinen sisäänkirjautuminen Keychain. Sormenjäljen muutokset mitätöivät kohteen. Käytä tuotannon päivityksiin vakaata Developer ID -tunnusta; ad hoc alpha-allekirjoittaminen voi häiritä Keychainin luottamusta ja paikallisverkon lupaseurantaa. |
|  Windows  x64  | Omaperäinen WinRT Windows Hello-työpöytälinkki liitetty pääkäyttöiseen HWND:hen; nykyinen käyttäjä DPAPI salattu avain Windows Valtakirjallinen johtaja | Asetettu Hello Sormenjälki, kasvot **tai PIN-arvo**. Tämä on mukavuusavain: Moi-hyväksyntää valvoo sovellus, kun taas itse DPAPI ei ole biometrinen portti. Toinen saman käyttäjän käyttämä koodi voi purkaa luottamuksellisuuden. |
|  Ubuntu  x64  | Nykyisen käyttäjän sormenjälki fprinted D-Busin kautta; selkeä libsalaisuus / Salaisen palvelun luotettava säilytys | Tuettu lukija, rekisteröity sormenjälki, työpöydän salainen palvelu ja oletusavain. Kätevä aukaisu: avaintieto ei ole salakielellä sidottu sormenjälkivarmennukseen. Ei `basic_text`:tä tai pelkkää tekstitiedostojen varmuuskopiointia. |

Ubuntu:ssä valinnaiset juoksupakkaukset ovat `python3-gi`, `gir1.2-secret-1` ja `gnome-keyring` (tai toinen yhteensopiva salainen palvelu) sekä `fprintd`. Asenna puuttuvat paketit käyttäen normaalia OS-pakettihallintaa ja merkitse sitten sormenjälki käyttöjärjestelmän asetuksiin. Tunnistus käyttää nykyistä käyttäjää eikä vaadi juuri- tai muutosohjelmaa PAM. Päätön SSH-istunto ilman työpöytäavainraportteja ei ole saatavilla; se ei tallenna avainta äänettömästi muualle.

## Lukitussäännöt

Automaattinen lukitus on pois päältä olemassa olevia asennukset. Mahdollistaa sen valinnan **15 minuutteja** Oletusarvo; tuetut arvot eivät ole koskaan, 1, 5, 10, 15, 30 sekä 60 minuutteja. Näppäimistö- ja hiirisyöte sovellusikkunoissa lasketaan aktiivisuudeksi; saapuva SSH-lähtö ei. Valinnainen tarkennuslukitus käsittelee sovelluksen lisäikkunat osana sovellusta ja mahdollistaa järjestelmän jatkuvan todentamisen. Sääntöjen muuttaminen vaatii pääsalasanan.

**Every Holv -lukko, mukaan lukien toimettomuus ja focus-lukitus, katkaisee aktiiviset SSH-istunnot, sulkee liitännäiset ja pysäyttää diagnostiikan.** Tallenna etämuokkaukset ennen lukitusta. Näin säilytetään nykyinen manuaalinen lukituskäyttäytyminen; SSH-tunnuksia ei ole taustojen liitännäisten käytettävissä lukollisen käytön jälkeen.

Valinnainen arkaluontoinen toimintapolitiikka vaatii uuden järjestelmän todentamista profiilin poistoon, liitännän asentamiseen/poistamiseen, asentajan käynnistämiseen ja lukitsemiseen. Etäpäätekomennot ja liitännäistiedostojen muokkaukset eivät kuulu tämän käytännön piiriin. Käytäntö ei korvaa SSH-palvelimen valtuutusta. Jos palveluntarjoaja lopettaa työskentelyn, avaa pääsalasana ja vaihda käytäntö kyseisen salasanan avulla. Palautus on saatavilla lukitusta elvytysruudusta sen jälkeen, kun se on vahvistettu tuhoisasti.

## Holvin ja IPC:n suunnittelu

Nykyinen v1 Vault on edelleen AES-256-GCM salauksella; ilmoittautuminen ei muuta sen tiedostoja tai schemaa. Vain kopio **:n johtamasta 32-tavun näppäimestä ** menee OS:n luotettavaan tallenteeseen. Pelkän tekstin pääsalasanaa ei koskaan tallenneta. Paikallisen ilmoittautumisen metadata sisältää satunnaisia varmennustunnuksia, palveluntarjoajaa ja SHA-256:n, joka sitoutuu Holvin muuttumattomaan metatietoon. Palautetun avaimen on läpäistävä oikeaksi todistettu salauksen purku ennen istunnon avaamista. Pääprosessipuskurit poistetaan käytön jälkeen; natiivit protokollakielet ovat ohimeneviä prosessimuistia, eivät täydellistä muistin poistoa hoidetuilla juoksuajoilla.

Auttaja viestii suljetuilla yksityisillä stdin-/stondout-putkilla, ei hyväksy komentoja, hänellä on aitousaikaa ja hän palauttaa puhtaat virhekoodit. Apujoukot pakataan Asarin ulkopuolelle `resources/biometrics`:ssä; ne ovat itsenäisiä alkuperäisiä suorittajia, joten Electron ABI-natiivimoduulia ei tarvita. Linux-apulainen käyttää järjestelmää Python ja GI. Omaperäisiä esineitä ja johdettuja avaimia ei koskaan ylitetä renderointi-/tulkkaussillalla. Biometrinen IPC vahvistaa live-pääikkunan ja sen päärungon; liitännäiset eivät voi vedota siihen. Epäsuora lukitus peruuttaa odottaessaan biometristä ja salasanaa, joten myöhäinen hyväksyntä ei voi avata Holvia uudelleen. Rekisteröinnin poistaminen kumoaa paikallisen sidoksen, vaikka käyttöjärjestelmäkauppa olisi pois päältä; tavoittamaton kauppa voi säilyttää käyttökelvottoman orvon.

## Rakentaminen ja varmentaminen

`npm run biometrics:build` valmistelee isäntä-alustan apurin, ja kehitystyö käynnistyy ja vapautuu automaattisesti. macOS edellyttää Swift/Apple SDK:ta tietoturva- ja paikallisauthentiaatiotoiminnalla; Windows vaatii Visual Studio C++ Building Tools -työkaluja, Windows SDK -työkaluja ja C++/WinRT -laitteita; Linux kopioi Python-apulaista. Uusia npm-riippuvuuksia ei lisätä. Rakenna natiivisti kunkin kohteen käyttöjärjestelmälle. macOS-auttaja on mukana rekursiivisessa nippukirjoituksessa; se ei tarvitse App Sandbox -oikeutta, koska tämä työpöytäsovellus ei ole hiekkalaatikkomainen. Tuotanto macOS:n jakelu edellyttää yhä kehittäjätunnuksen allekirjoittamista ja notaarin notaaria riippumatta OpenPGP-levyn julkaisuallekirjoituksista.

Suorita `npm test`, `npm run test:biometrics:ui` ja `npm run test:diagnostics:ui`. Biometriset solmutestit ja eristetty UI-savutesti käyttävät a **Moka OS-adapteri** peittämään menestyksen, hylkäämisen/peruuttamisen, väärät avaimet, puuttuvat laitteistot/lähetykset, nollaus, aikalisä ja myöhäistulokset, ei saatavilla Linux keyringit, OS:n arvovaltavirheet, Windows PIN-hyväksytyt vastaukset, macOS Ilmoittautumismuutokset, nykyinen Holvin yhteensopivuus, IPC-eristys ja SSH siivous. Tämä ei luo onnistunutta laitteiston todentamista.

Omaperäisyys varmistui macOS  arm64 sekä Windows  x64. macOS-raportit Touch ID saatavilla; Windows VM -raportit Hei ei saatavilla. Sormenjälki/face/PIN ilmoittautuminen, varsinainen suojattu avainhaku, käyttöjärjestelmän dialogin peruminen ja kirjautumis-muutosten mitätöinti edellyttävät yhä vuorovaikutteista laitteistotestausta jokaiseen tuettuun järjestelmään. Linux:n avustajaa on lisäksi testattava työpöydällä, jossa on tuettu fprintoitu lukulaite. Päätön VM ei pysty vahvistamaan tätä varmistusta.

Alustan viitetiedot: [Applen biometrinen kulunvalvonta](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows Työpöytä Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [Fprinttilaitteen elinkaari](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Salaisen palvelun spesifikaatio](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH paikallisverkkoyhteys

Jos jokainen paikallinen SSH-profiili epäonnistuu `connect EHOSTUNREACH`:n kanssa, mutta sama yhteys toimii Terminalissa, tarkista **System Settings → Privacy & Security → Local Network → CH-J Server Manager**, salli pääsy, lopeta sovellus kokonaan ja avaa se uudelleen. Jos se on jo käytössä, vaihda sen lupa ja käynnistä se uudelleen. Tarkista myös reititys, Wi-Fi/Ethernet ja VPN: pelkkä virhe ei ole todiste yksityisyyden epäämisestä. Älä nollaa holvia tai hävitä luotettuja SSH-sormenjälkiä tämän virheen vuoksi.

Sovellus julistaa `NSLocalNetworkUsageDescription`:n ja toimittaa paikallisohjauksen macOS-verkon luvalle/reitille. Se ei voi myöntää itselleen lupaa. Apple suosittelee Applen julkaisemaa allekirjoitusidentiteettiä, jotta macOS voi seurata verkon yksityisyyttä luotettavasti eri rakennuksissa. Nykyiset ad hoc -alpha-rakennukset säilyttävät rajoituksen. Katso [Applen paikallisverkon yksityisyysohjeistus](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu-sovelluskuvake

Debian-paketit asentavat olemassa olevan CH-J-kuvakkeen vakiohikoilukokoihin (16–512 px), joissa on vastaava työpöydän merkintä ja Electron:n ikkunaluokka. Pääikkuna saa kuvakkeen myös luotuaan uudelleen. Kun olet päivittänyt jo kiinnitetyn vanhan kantoraketin, irrota se ja kiinnitä juuri asennettu sovellus. Työpöydän kirjautuminen/login voi virkistää vanhaa Gnome-kantorakettia.