> La revisione linguistica di questa traduzione è in corso. In caso di dubbi, consultare l’[originale inglese](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Autenticazione del sistema opzionale e bloccaggio del vault

Crea o sblocca il Vault con la sua password principale. Apri **Impostazioni → Security**, controlla lo stato del provider e abilita lo sblocco biometrico. L'iscrizione richiede una nuova autenticazione di sistema. Successivamente l'overlay di login offre Touch ID, Windows Ciao o impronte digitali sbloccare accanto al modulo master-password. **Disabilita e rimuovi l'iscrizione** rimuove la chiave in cache di questa applicazione, mai le impronte digitali registrate del sistema operativo.

Mantieni la password principale: cancellazione, timeout, hardware/keyring non disponibile e iscrizione invalidata richiedono tutti i ripiego della passwort. L'iscrizione biometrica è locale a questo utente, dispositivo e Vault. Non è un meccanismo di recupero o di backup. Reimpostare il Vault revoca l'iscrizione ed elimina i profili crittografati esistenti e le impronte digitali dell'host solo dopo la conferma `SMAZAT` esistente.

| Piattaforma | Autenticazione e archiviazione | Requisiti e limiti |
| --- | --- | --- |
|  macOS  Apple Silicon  | Autenticazione locale nativa / Touch ID; Security.framework Keychain elemento con `biometryCurrentSet` e `WhenUnlockedThisDeviceOnly`  | Iscritta Touch ID, sensore disponibile e un accesso utilizzabile Portachiavi. Le modifiche dell'impronta del dito invalidano l'elemento. Utilizzare la firma stabile dell'ID dello sviluppatore per gli aggiornamenti di produzione; la firma alfa ad hoc può interrompere Keychain trust e il monitoraggio dei permessi di rete locale. |
|  Windows  x64  | Nativo WinRT Windows Ciao interop desktop collegato alla chiave principale HWND; corrente-utente DPAPI crittografato in Windows Gestore credenziale | Configurato Ciao impronte digitali, faccia **o PIN**. Questa è comodità sblocco: Ciao approvazione viene applicata dall'applicazione, mentre DPAPI in sé non è biometrico gated. Altri codici in esecuzione come lo stesso utente possono decriptare la credenziale. |
|  Ubuntu  x64  | Impronta registrata dall'utente attuale tramite D-Bus stampato; archiviazione esplicita delle credenziali del servizio segreto/libretta | Lettore supportato, impronte digitali registrate, servizio segreto desktop in esecuzione e portachiavi predefinito. Sblocco comodità: il portachiavi credenziale non è legato crittografalmente alla verifica delle impronte digitali. Nessun ripiego `basic_text` o file in chiaro. |

Acceso Ubuntu i pacchetti di runtime opzionali sono `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (o un altro servizio segreto compatibile) e `fprintd`. Installare i pacchetti mancanti utilizzando il normale gestore dei pacchetti OS, quindi inserire un'impronta digitale nelle impostazioni del sistema operativo. L'autenticazione utilizza l'utente attuale e non richiede root o cambiare PAM. Una sessione senza testa SSH senza un portachiavi desktop non è disponibile; non memorizza in silenzio una chiave altrove.

## Regole di blocco

Il blocco automatico è spento per gli impianti esistenti. Abilitarlo seleziona **15 minuti** per impostazione predefinita; i valori supportati non sono mai, 1, 5, 10, 15, 30 e 60 minuti. L'ingresso della tastiera e del mouse nelle finestre dell'applicazione conta come attività; l'uscita SSH in arrivo non lo fa. Il blocco di messa a fuoco opzionale tratta le finestre plugin dell'applicazione come parte dell'app e consente un'autenticazione del sistema in-progress per finire. Modificare queste regole richiede la password principale.

**Every Vault lock, incluso il blocco inattività e messa a fuoco, disconnette le sessioni SSH attive, chiude i plugin e ferma la diagnostica.** Salva le modifiche remote prima del bloccaggio. Questo preserva il comportamento manuale-blocco esistente; nessuna credenziali SSH rimangono disponibili ai plugin di sfondo dopo un blocco.

La politica opzionale di gestione sensibile richiede una nuova autenticazione del sistema per la cancellazione del profilo, l'installazione/rimozione dei plugin, il lancio e il ripristino di un Vault sbloccato. I comandi del terminale remoto e le modifiche dei file plugin sono al di fuori di questa politica. La politica non sostituisce l'autorizzazione del server SSH. Se il provider smette di funzionare, sbloccare con la password principale e modificare la politica utilizzando quella passwort. Reset rimane disponibile dalla schermata di recupero bloccata dopo la sua conferma distruttiva.

## Vault e progettazione IPC

Il Vault v1 esistente rimane AES-256-GCM con crittografia; l'iscrizione non riscrive i propri file o cambia il proprio schema. Solo una copia della sua chiave ** derivata da 32-byte** va all'archiviazione credenziale del sistema operativo. La password principale di testo semplice non viene mai memorizzata. I metadati di iscrizione locale contengono un ID credenziale casuale, un provider e un legame SHA-256 ai metadati immutabili del Vault. Una chiave recuperata deve passare la decrittazione autenticata prima dell'apertura di una sessione. I buffer di processo principale vengono eliminati dopo l'uso; le stringhe di protocollo nativo sono memoria di processo transitoria, non una pretesa di cancellazione completa della memoria nei runtime gestiti.

L'helper comunica tramite tubi privati limitati stdin/stdout, non accetta comandi di shell, ha timeout di autenticazione e restituisce codici di errore sanitizzati. Gli Helper sono confezionati fuori ASAR in `resources/biometrics`; sono eseguibili nativi standalone, quindi non è richiesto alcun modulo nativo Electron ABI. L'helper Linux utilizza il sistema Python e GI. Oggetti nativi e chiavi derivate non attraversano mai il ponte rendering/plugin. L'IPC biometrico convalida la finestra principale dal vivo e il suo frame principale; i plugin non possono richiamarla. Il blocco esplicito annulla i lavori in attesa di password e biometrico, quindi l'approvazione tardiva non può riaprire il Vault. La rimozione dell'iscrizione revoca il suo legame locale anche se il negozio di OS è offline; un negozio irraggiungibile può mantenere un credenziale orfano inutilizzabile.

## Costruzione e verifica

`npm run biometrics:build` prepara l'helper host-platform; la preparazione per lo sviluppo e il rilascio lo invoca automaticamente. macOS richiede SDK Swift/Apple con sicurezza e autenticazione locale; Windows richiede strumenti di generazione Visual Studio C++, Windows SDK e C++/WinRT; Linux copia l'aiutante Python. Non vengono aggiunte nuove dipendenze da npm. Costruisci nativamente su ogni sistema operativo di destinazione. L'helper macOS è incluso nella firma del pacchetto ricorsivo; non ha bisogno di alcun diritto App Sandbox perché questa applicazione desktop non è sandboxed. La distribuzione macOS di produzione richiede ancora la firma e la notarizzazione dell'ID dello sviluppatore, indipendentemente dalle firme di rilascio OpenPGP.

Esegui `npm test`, `npm run test:biometrics:ui` e `npm run test:diagnostics:ui`. I test biometrici dei nodi e i test isolati di fumo dell'interfaccia utente utilizzano un adattatore **mock OS** per coprire il successo, il rifiuto/cancellazione, chiavi sbagliate, hardware/iscrizione mancanti, reset, timeout e risultati tardivi, portachiavi Linux non disponibili, guasti credenziali del sistema operativo, risposte approvate da Windows PIN, modifiche all'iscrizione macOS, compatibilità esistente del Vault, isolamento IPC e pulizia SSH. Questo non stabilisce l'autenticazione hardware riuscita.

La compilazione nativa è stata verificata il macOS  arm64 e Windows  x64. macOS segnala Touch ID disponibile; la Windows VM riporta Ciao non disponibile. L'iscrizione a Fingerprint/face/PIN, il recupero di chiavi protette, la cancellazione della finestra di dialogo del sistema operativo e la invalidazione dell'iscrizione richiedono ancora test hardware interattivi su ogni sistema supportato. L'helper di Linux deve inoltre essere testato su un desktop con un lettore fprint supportato; una VM senza testa non può stabilire tale verifica.

Riferimento della piattaforma: [Controllo biometrico dell'accesso alla mela](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows desktop Ciao interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [ciclo di vita del dispositivo stampato](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specifiche dei servizi segreti](https://specifications.freedesktop.org/secret-service/latest/).

## Accesso di rete locale macOS SSH

Se ogni profilo SSH locale fallisce con `connect EHOSTUNREACH` ma la stessa connessione funziona in Terminal, controlla le impostazioni **System → Privacy & Security → Local Network → CH-J Server Manager**, permetti l'accesso, esci completamente dall'app e riaprilo. Se già abilitato, disattivare il suo permesso e riavviare. Controllare anche routing, Wi-Fi/Ethernet e VPN: l'errore da solo non è la prova di un rifiuto della privacy. Non resettare il Vault o scartare le impronte digitali di fiducia SSH per questo errore.

L'app dichiara `NSLocalNetworkUsageDescription` e fornisce una guida localizzata per gli errori di autorizzazione/strada della rete macOS. Non può concedersi il permesso. Apple raccomanda un'identità di firma rilasciata da Apple in modo che macOS possa monitorare la privacy della rete in modo affidabile attraverso build; le attuali builds ad hoc alpha mantengono tale limitazione. Vedere la guida [Apple sulla privacy di rete locale](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Icona dell'applicazione Ubuntu

I pacchetti Debian installano l'icona CH-J esistente alle dimensioni standard degli hicolor (16–512 px), con una voce desktop corrispondente e la classe di finestre Electron. La finestra principale riceve anche l'icona quando ricreata. Dopo l'aggiornamento di un vecchio lanciatore già incastrato, decollarlo e pin l'applicazione appena installata; un logout/login desktop può aggiornare una cache del lanciatore GNOME stantia.