> Šio vertimo kalbinė peržiūra dar vyksta. Jei tekstas neaiškus, palyginkite su [anglišku originalu](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Neprivalomas sistemos atpažinimas ir blokavimas

Pirmiausia sukurti arba atrakinti Vault su savo pagrindiniu slaptažodžiu. Atidarykite **Settings → Security**, patikrinkite teikėjo statusą ir įjunkite biometrinį atrakinimą. Rollection reikalauja naujo sistemos autentiškumo patvirtinimo. Po to prisijungimas siūlo Touch ID, Windows Sveiki arba pirštų atrakinti šalia viršūninio slaptažodį formą. **Išjungiamas ir pašalinamas įrašymas** pašalina šios programos keblį, niekada operacinės sistemos užregistruotus pirštų atspaudus.

Išlaikyti pagrindinį slaptažodį: panaikinimas, laiko tarpas, neprieinama aparatinė/klavišinė ir anuliuotas įrašymas visiems reikia atsarginio slaptažodžio. Biometrinis registravimas yra vietinis šiam naudotojui, prietaisui ir Vault. Tai nėra atkūrimo mechanizmas ar atsarginė kopija. Atstatoma duomenų rinkmenos paieška atšaukia įrašymą ir ištrina esamus šifruotus profilius bei priimančiosios šalies pirštų atspaudus tik po to, kai yra `SMAZAT` aspartamas.

| Platforma | Autentiškumo nustatymas ir saugojimas | Reikalavimai ir ribos |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Saugumas. Framework Keychain elementas su `biometryCurrentSet` ir `WhenUnlockedThisDeviceOnly`  | Ritininis Touch ID, prieinamas jutiklis ir naudojamas prisijungimo Keychain. Pirštų atspaudų pakeitimai negalioja. Naudoti stabilią programuotojo ID parašas gamybos atnaujinimui; ad hoc alfa pasirašymas gali sutrikdyti Keychain pasitikėjimą ir vietinio tinklo leidimo sekimą. |
|  Windows  x64  | Natūralusis WinRT Windows Hello darbastalio interop prikabintas prie pagrindinio HWND; dabartinio naudotojo DPAPI šifruotas raktas Windows Kredencinė tvarkyklė | Konfigūruotas Hello pirštų atspaudas, veidas **arba PIN**. Tai patogus atrakinimas: Hello patvirtinimą vykdo programa, o DPAPI pati nėra biometrinių gatvių. Kitas kodas veikia kaip tas pats vartotojas gali iššifruoti kredencialą. |
|  Ubuntu  x64  | Dabartinio naudotojo įtraukti pirštų atspaudai per Fprinted D-Bus; aiškus libSecret / Secret Service credential saugojimo | Palaikomas skaitytuvas, įtraukti pirštų atspaudai, veikia darbastalis Secret Service ir numatytasis raktas. Patogumas atrakinti: raktas credential nėra kriptografiškai susieta su pirštų atspaudų patikrinimas. Jokių `basic_text` ar paprasto teksto failo atsarginių kopijų. |

Įrašas Ubuntu neprivalomi vykdymo laiko paketai yra `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (arba kita suderinama slaptoji paslauga) ir `fprintd`. Įdiegti trūkstamus paketus naudojant įprastą OS paketų tvarkyklę, tada įrašyti pirštų atspaudus į OS nustatymus. Autentikacija naudoja dabartinį naudotoją ir nereikalauja root ar pakeisti PAM. Be galvos SSH sesija be darbastalio raktų sudarymo ataskaitų nepasiekiama; ji tyliai nesaugo rakto kitur.

## Užrakinimo taisyklės

Esamų įrenginių automatinis užrakinimas išjungtas. Leisti jį pasirinkti **15 minutės** pagal nutylėjimą; palaikomos vertės niekada, 1, 5, 10, 15, 30 ir 60 minučių. Klaviatūra ir pelės įvestis taikomųjų langų yra veikla; gaunamų SSH išvedinių nėra. Neprivalomas fokusas užrakinimas apdoroja programos įskiepio langus kaip programos dalį ir leidžia greitai baigti sistemos autentiškumo nustatymą. Keičiant šias taisykles reikia pagrindinio slaptažodžio.

**Kiekvienas skliautas, įskaitant neveiklumo ir fokusavimo užraktą, atjungia aktyvų SSH sesijos, uždaryti įskiepių ir sustabdyti diagnostika.** Įrašyti nutolusius redagavimus prieš užrakinant. Tai išsaugo esamą rankinio užrakinimo elgesį; nėra SSH duomenų po užrakto fono įskiepių.

Neprivaloma jautrių operacijų politika reikalauja naujo sistemos autentiškumo patvirtinimo profilio ištrynimui, įskiepiui įdiegti/šalinimui, montuotojui paleidimo ir atrakintos Vault perjungimui. Nutolusių terminalų komandos ir įskiepių failų redagavimas yra už šios politikos ribų. Ši taisyklė nepakeičia SSH serverio leidimo. Jei teikėjas nustos dirbti, atrakinkite pagrindinį slaptažodį ir pakeiskite politiką naudojant šį slaptažodį. Atstatyti lieka iš užrakinto atkūrimo ekrano po jo destruktyvaus patvirtinimo.

## Vakvių ir IPC dizainas

Esamas v1 Vault lieka AES-256-GCM su skriptu; įrašymas neperrašo savo failų ar nepakeičia jų schemos. Tik jo kopija **iš jų 32- baitas raktas** eina į OS kredencialų saugojimą. Paprasta tekstas pagrindinis slaptažodis niekada nėra saugomas. Vietos įregistravimo metaduomenys turi atsitiktinių kreminių ID, tiekėją ir SHA-256 jungiantį prie Vault nejudamų metaduomenų. Atkurtas raktas turi praeiti autentišką iššifravimą prieš atidarymą. Pagrindinio proceso buferiai pašalinami po naudojimo; gimtosios protokolo eilutės yra laikina proceso atmintis, o ne visiško atminties ištrynimo reikalavimas valdomais vykdymo laikotarpiais.

Padėjėjas bendrauja per ribojamus privačius stdin/stdout vamzdžius, nepriima jokių kriauklių komandų, turi autentiškumo patvirtinimo laukelius ir grąžina sanitalizuotus klaidų kodus. Padėjėjai yra supakuoti už ASAR ribų `resources/biometrics`; jie yra savarankiškas gimtoji vykdomieji, todėl ne Electron ABI gimtasis modulis yra reikalingas. Linux pagalbinis įrenginys naudoja sistemą Python ir GN. Natūralūs objektai ir išvestiniai raktai niekada nekerta piešėjo/plugino tilto. Biometrinė IPC patvirtina gyvą pagrindinį langą ir jo pagrindinį rėmelį; įskiepių negalima naudoti. Aiškus blokavimas atšaukia laukia biometrinių ir slaptažodžių atrakinimo darbą, todėl vėlyvas patvirtinimas negali atidaryti Vault. Pašalinus įrašymą, vietinis jungimas panaikinamas net jei OS parduotuvė yra neprisijungusi; nepasiekiama parduotuvė gali išsaugoti nenaudingą našlaičių kremalį.

## Kurti ir patikrinti

`npm run biometrics:build` parengia kompiuterio-platformos pagalbininką; kūrimas paleidžiant ir išleidus paruošimą jį naudoti automatiškai. macOS reikalauja Swift/Apple SDK su saugumu ir vietiniu Authentication; Windows reikia Visual Studio C++ Build Tools, Windows SDK ir C++/WinRT; Linux kopijas Python padėjėjas. Nepridedama jokių naujų priklausomybės nuo Npm. Sukurti gimtąja kiekvieno tikslo OS. macOS pagalbinė programa yra įtraukta į rekursyvią paketo pasirašymą; jai nereikia jokių app Sandbox teisės, nes ši programėlė nėra smėlio dėžė. Produkcijos macOS distribucijai vis dar reikia programuotojo ID pasirašymo ir notarizavimo, nepriklausomai nuo OpenPGP parašų.

Paleisti `npm test`, `npm run test:biometrics:ui` ir `npm run test:diagnostics:ui`. Biometrinių mazgų bandymai ir izoliuotas UI dūmų bandymas a **OS adapteris** Sėkmė, atmetimas / panaikinimas, klaidingi raktai, trūkstama aparatinė ir (arba) įjungimo įranga, perstatymas, laiko tarpas ir pavėluoti rezultatai, nepasiekiamas Linux rakteliai, OS kredenciniai sutrikimai, Windows PIN patvirtinti atsakymai, macOS Įrašo pakeitimai, esamos Vault suderinamumas, IPC izoliacija ir SSH valymas. Tai nenustato sėkmingo aparatinės įrangos autentiškumo patvirtinimo.

Nacionalinė kompiliacija buvo patikrinta macOS  arm64 ir Windows  x64. macOS teikia Touch ID pranešimus; Windows VM pranešimai Sveiki neprieinami. Pirštų atspaudas/face/PIN įrašymas, faktinis saugomas raktų ištraukimas, OS dialogo atšaukimas ir įtraukimo-įrašo pakeitimas negaliojančiu vis dar reikalauja interaktyvios aparatinės įrangos bandymų kiekvienoje palaikomoje sistemoje. Linux"pagalbinis įrenginys turi būti papildomai išbandytas ant darbastalio su frintu skaitytuvu; be galvos VM negali nustatyti šios patikros.

Platformos nuorodos: [Apple biometrinės prieigos kontrolė](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows darbastalio Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprintuoto prietaiso gyvavimo ciklas](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Slaptos paslaugos specifikacija](https://specifications.freedesktop.org/secret-service/latest/).

## macOS  SSH prieiga prie vietinio tinklo

Jei kiekvienas vietinis SSH profilis nesugenda su `connect EHOSTUNREACH`, bet tas pats ryšys veikia terminale, patikrinkite **System Nustatymai → Privatumas ir saugumas → Vietinis tinklas → CH-J Server Manager**. Jei jau įjungta, išjungti savo leidimą ir iš naujo paleisti. Taip pat patikrinti maršrutizavimą, Wi-Fi/Ethernet ir VPN: klaida vien nėra privatumo atsisakymo įrodymas. Neiš naujo nustatyti seifo ar išmesti patikimų SSH pirštų atspaudai dėl šios klaidos.

Programėlė deklaruoja `NSLocalNetworkUsageDescription` ir teikia lokalizuotas gaires macOS tinklo leidimui/maršruto paklaidoms. Ji negali sau suteikti leidimo. Apple rekomenduoja "Apple" išleistą pasirašymo tapatybę, todėl macOS gali patikimai sekti tinklo privatumą per pastatų; dabartinė ad hoc alfa stato išlaikyti šį apribojimą. Žr. [Apple vietinio tinklo privatumo gairės](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu programos ikonas

Debian paketai įdiegti esamą CH-J piktograma standartinių hicolor dydžių (16–512 px), su suderinamu darbastalio įrašu ir Electron lango klasė. Pagrindinis langas taip pat gauna piktogramą kai atkuriamas. Atnaujinus jau prisegtą seną paleidimo įrenginį, jį išjudinti ir uždėti naujai įdiegtą programą; darbastalio atsijungimas/login gali atnaujinti statomą GNOME paleidimo talpyklę.