> A fordítás nyelvi ellenőrzése folyamatban van. Ha egy rész nem egyértelmű, tekintse meg az [angol eredetit](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Opcionális rendszerhitelesítés és páncélterem zárolás

Először a páncéltermet kell létrehozni vagy kinyitni a fő jelszóval. Nyitott **Beállítások → Biztonság**, ellenőrizze a szolgáltató állapotát és engedélyezze a biometrikus feloldást. A beiratkozás új rendszer hitelesítést kér. Ezt követően a bejelentkezési overlay Touch ID, Windows Hello vagy ujjlenyomat kinyit mellett mester-jelszó formában. **A beiratkozás kikapcsolása és eltávolítása** eltávolítja az alkalmazás gyorsítótáras kulcsát, soha nem az operációs rendszer regisztrált ujjlenyomatait.

Tartsa meg a fő jelszót: lemondás, időkimaradás, nem elérhető hardver / kulcsolás és érvénytelenített beiratkozás minden jelszó visszaesik. A biometrikus beiratkozás helyi a felhasználó, eszköz és a páncélterem számára. Ez nem egy helyreállítási mechanizmus vagy egy tartalék. A Vault visszaállítása csak a meglévő `SMAZAT` visszaigazolás után vonja vissza a már létező titkosított profilokat, és törli az ujjlenyomatokat.

| Platform | Authentication and storage | Requirements and limits |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Security.framework Keychain elem `biometryCurrentSet` valamint `WhenUnlockedThisDeviceOnly`  | Besorolt Touch ID, rendelkezésre álló érzékelő és egy használható bejelentkezési kulcstartó. Ujjlenyomat módosítása érvényteleníti a tételt. Használja stabil fejlesztői azonosító aláírás a gyártási frissítések; ad hoc alfa aláírás megzavarhatja a keychain bizalmat és a helyi hálózati engedély nyomon követése. |
|  Windows  x64  | Native WinRT Windows Hello asztali interop csatolt fő HWND; jelenlegi felhasználó DPAPI titkosított kulcs Windows Hitelesítési vezető | Beállított Hello ujjlenyomat, arc **vagy PIN**. Ez a kényelmi kinyit: Hello jóváhagyást érvényesít az alkalmazás, míg DPAPI maga nem biometrikus kapu. Más kód fut, mint ugyanaz a felhasználó dekódolhatja a hitelt. |
|  Ubuntu  x64  | A jelenlegi felhasználó ujjlenyomata fprinted D-Bus; explicit libsecret / Secret Service licencally storage | Támogatott olvasó, regisztrált ujjlenyomat, futó asztali titkosszolgálat és alapértelmezett billentyűzet. Kényelem feloldása: a kulcsismeret nem köti kriptográfiailag az ujjlenyomat-ellenőrzéshez. Nincs `basic_text` vagy egyszerű szöveges fájl vissza. |

A Ubuntu opcionális futási csomagok a `python3-gi`, `gir1.2-secret-1` és `gnome-keyring` (vagy egy másik kompatibilis titkosszolgálat) és `fprintd`. Telepítse a hiányzó csomagokat a normál OS csomagkezelővel, majd írjon be egy ujjlenyomatot az OS beállításokba. A hitelesítés az aktuális felhasználót használja, és nem igényel gyökeret vagy változást a PAM-ben. Fejnélküli SSH munkamenet asztali kulcstartó nélkül nem érhető el; máshol nem tárol csendesen kulcsot.

## Zárási szabályok

A meglévő létesítmények automatikus zárolása nem lehetséges. A kiválasztottak engedélyezése **15 perc** alapértelmezés szerint; a támogatott értékek soha, 1, 5, 10, 15, 30 valamint 60 Percek. Billentyűzet és egér bevitel az alkalmazás ablakok számít tevékenység; bejövő SSH kimenet nem. Opcionális fókusz zár kezeli az alkalmazás plugin ablakok részeként az app, és lehetővé teszi egy előremutató rendszer hitelesítése azonnal befejezni. A szabályok megváltoztatása a mester jelszavát igényli.

**Minden páncélterem zár, beleértve az inaktivitást és a fókusz zárolását is, lekapcsolja az aktív SSH munkamenetek, lezárja a bővítményeket és leállítja a diagnosztikát.** A távoli szerkesztések elmentése zárolás előtt. Ez megőrzi a meglévő kézi zár viselkedését; nincs SSH-igazolvány a háttérmodulok számára egy zár után.

Az opcionális érzékeny-műveleti politika friss rendszerhitelesítést kér profiltörléshez, plugin telepítéshez/eltávolításhoz, telepítő indításához és egy nyitott páncélterem újraindításához. Távoli terminál parancsok és plugin fájl szerkesztése kívül esik ezen a szabályzaton. A szabály nem helyettesíti a SSH szerverengedélyt. Ha a szolgáltató nem működik, oldja fel a fő jelszót és változtassa meg a szabályzatot ezzel a jelszóval. Az újraindítás a pusztító megerősítés után továbbra is elérhető a zárt visszaállító képernyőn.

## Széf és IPC tervezés

A meglévő v1 Vault marad AES-256-GCM scripttel; a beiratkozás nem írja át a fájlokat, és nem változtatja meg a séma. Csak a ** származó 32-byte key** egy példánya kerül az OS hiteles tárhelyére. Az egyszerű szöveges mester jelszavat soha nem tárolják. A helyi beiratkozási metaadatok véletlenszerű azonosítót, szolgáltatót és SHA-256-t tartalmaznak, amely a Vault megváltoztathatatlan metaadatokhoz kapcsolódik. A visszanyert kulcsnak hiteles dekódoláson kell átmennie, mielőtt megnyitják a munkamenetet. A főfolyamatú pufferek használat után kerülnek törlésre; a natív protokoll stringek tranziens folyamatmemória, nem pedig teljes memóriatörlés követelése kezelt futamokban.

A segítő a kötött privát stdin/stdout csöveken keresztül kommunikál, nem fogad el shell parancsokat, rendelkezik hitelesítési időzítésekkel és visszaadja a szentesített hibakódokat. A segítők az ASAR-on kívül `resources/biometrics`-ben vannak csomagolva; önálló natív végrehajtó eszközök, így nincs szükség Electron ABI natív modulra. A Linux segítő Python és GI rendszert használ. Az őslakos tárgyak és az abból származó kulcsok soha nem kelnek át a render/plugin hídon. Biometrikus IPC érvényesíti az élő főablakot és annak fő keretét; a bővítmények nem hivatkozhatnak rá. Az explicit zárolás megszünteti a biometrikus és jelszó feloldásáig tartó munkát, így a késői jóváhagyás nem nyithatja meg a páncéltermet. A beiratkozás megszüntetése akkor is visszavonja a helyi kötést, ha az OS áruház nem működik; egy elérhetetlen áruház fenntarthat egy használhatatlan árva hitelt.

## Építkezés és ellenőrzés

A `npm run biometrics:build` előkészíti a host-platform segédprogramot; a fejlesztés indítása és felszabadítása automatikusan igénybe veszi. macOS szükséges SWift/Apple SDK biztonsági és helyi hitelesítés; Windows igényel Visual Studio C++ Build Tools, Windows SDK és C++/WinRT; Linux másolatok a Python segítő. Nincs új npm függőség. Minden egyes célponton építsenek. A macOS segítő a rekurzív csomagaláírásban szerepel; nem igényel alkalmazás Sandbox jogosultságot, mert ez az asztali alkalmazás nem homokozó. Production macOS disztribúció még mindig igényel Developer ID aláírás és hitelesítés, független OpenPGP kiadás aláírások.

Fuss `npm test`, `npm run test:biometrics:ui` és `npm run test:diagnostics:ui`. Biometrikus csomópont tesztek és az elszigetelt UI füstteszt **mock OS adapter**-t használ siker, kilökődés/kiegyenlítés, hibás billentyűk, hiányzó hardverek/beszerelés, újraindítás, időzítés és késői eredmények, nem elérhető Linux kulcsgyűrűk, OS hiteles hibák, Windows PIN jóváhagyott válaszok, macOS beiratkozás változások, meglévő Vault kompatibilisség, IPC elszigeteltség és SSH tisztítás. Ez nem hoz létre sikeres hardver-hitelesítést.

Az Native összeállítást macOS arm64 és WindowsZ x64 alapján ellenőrizték. macOS jelentések Touch ID elérhető; a Windows VM jelentések Hello nem elérhető. Ujjlenyomat/face/PIN beiratkozás, tényleges védett kulcs visszakeresés, OS párbeszédablak törlése és a bejegyzés-változás meghosszabbítása még mindig interaktív hardver tesztelést igényel minden támogatott rendszer. A Linux segítőjét emellett egy asztalon is tesztelni kell egy támogatott fprinted olvasóval; a fej nélküli VM nem tudja megállapítani ezt az ellenőrzést.

Platformhivatkozások: [Apple biometrikus hozzáférés ellenőrzése](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows desktop Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprinted device lifecycle](https://fprint.freedesktop.org/fprintd-dev/Device.html), [A titkosszolgálat specifikációja](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH helyi hálózati hozzáférés

Ha minden helyi SSH profil megbukik a `connect EHOSTUNREACH`-nél, de ugyanaz a kapcsolat működik a terminálban, ellenőrizze a **System beállításokat → Adatvédelem és biztonság → Helyi hálózat → CH-J Server Manager**, engedélyezze az alkalmazás elérését, teljes mértékben kilépjen és újraindítsa. Ha már be van kapcsolva, használja ki az engedélyt és indítsa újra. Szintén ellenőrizze útválasztás, Wi-Fi/Ethernet és VPN: a hiba önmagában nem bizonyítja az adatvédelmi tagadás. Ne indítsa újra a páncéltermet, és ne dobja el a megbízható SSH ujjlenyomatokat ehhez a hibához.

Az alkalmazás bejelenti a `NSLocalNetworkUsageDescription`-t, és lokalizált útmutatást ad a macOS hálózati engedély/útvonal hibákhoz. Nem adhat magának engedélyt. Az Apple egy Apple által kiadott aláírási identitást javasol, így a macOS megbízhatóan nyomon követheti a hálózati magánéletet az épületeken keresztül; a jelenlegi ad hoc alfa építi ezt a korlátozást. Látod? [Az Apple helyi hálózatra vonatkozó adatvédelmi irányelvei](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu alkalmazás ikon

Debian csomagok telepítse a meglévő CH-J ikont standard hicolor méretekben (16–512 px), egy megfelelő asztali bejegyzést és Electron ablak osztály. A főablak is megkapja az ikont, ha újrateremtette. Frissítés után egy már beszögelt régi kilövő, gombolja le és pin az újonnan telepített alkalmazás; egy asztali kijelentkezés / login frissíthet egy pattanásos GNOME kilövő gyorsítótár.