> Šī tulkojuma valodas pārskatīšana vēl turpinās. Neskaidrību gadījumā salīdziniet ar [oriģinālu angļu valodā](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Neobligāta sistēmas autentifikācija un Vault bloķēšana

Vispirms izveido vai atbloķē Vault ar savu galveno paroli. Atvērt **Settings → Security**, pārbaudiet piegādātāja statusu un ļaujiet biometrisko atbloķēt. Ierakstīšana pieprasa jaunu sistēmas autentifikāciju. Pēc tam pieteikšanās piedāvā Touch ID, Windows Hallo vai pirkstu nospiedumu atbloķēt blakus meistarvārdu formu. **Disable un noņemt piesaisti** noņem šīs programmas kešatmiņu, nekad operētājsistēmas reģistrētos pirkstu nospiedumus.

Saglabāt galveno paroli: anulēšanu, noildzi, nepieejamu aparatūru / keeling un nederīgu reģistrēšanos visiem ir nepieciešama atteikšanās no paroles. Biometriskā reģistrācija ir vietēja šim lietotājam, ierīcei un Vault. Tas nav atgūšanas mehānisms vai dublējums. Atiestatot Vault, tiek atcelta ierakstīšana un dzēsti esošie šifrētie profili un uzņēmēja pirkstu nospiedumi tikai pēc esošās `SMAZAT` apstiprinājumu.

| Platforma | Autentificēšana un uzglabāšana | Prasības un ierobežojumi |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Drošības. Pamata Keychain vienība ar `biometryCurrentSet` kā arī `WhenUnlockedThisDeviceOnly`  | Ievilkts Touch ID, pieejams sensors un izmantojama pieteikšanās Keychain. Pirkstu nospiedumu izmaiņas padara objektu nederīgu. Izmantojiet stabilu izstrādātāja ID parakstu ražošanas atjauninājumiem; ad hoc alfa paraksts var traucēt Keychain uzticību un lokālā tīkla atļauju izsekošanu. |
|  Windows  x64  | Native WinRT Windows Hello darbvirsmas interop pievienots galvenajam HWND; pašreizējais lietotājs DPAPI šifrētajai atslēgai Windows Credential pārvaldnieks | Konfigurēt Hello pirkstu nospiedumus, sejā **vai PIN**. Šī ir ērtības atbloķēšana: Hello apstiprinājumu izpilda lietotne, bet DPAPI pati nav biometriskā gardums. Cits kods darbojas kā tas pats lietotājs var atšifrēt kredentiāls. |
| Ubuntu x64 | Aktuāla lietotāja iesaistītā pirkstu nospiedums, izmantojot fprinted D-Bus; skaidra libSecret / Secret Service credential krātuvi | atbalstīts lasītājs, iekļautie pirkstu nospiedumus, darbvirsmas slepenais pakalpojums un noklusējuma atslēgas. Ērtības atslēgt: taustiņu kredentiāls nav kriptogrāfiski saistīts ar pirkstu nospiedumu pārbaudi. Nav `basic_text` vai vienkāršu tekstu faila atkāpšanās. |

Ubuntu fakultatīvas darba laika pakotnes ir `python3-gi`, `gir1.2-secret-1` un `gnome-keyring` (vai cits savietojams slepenais serviss) un `fprintd`. Instalēt trūkstošās pakotnes, izmantojot parasto OS pakotņu pārvaldnieku, un pēc tam ievadiet pirkstu nospiedumus OS iestatījumos. Autentificēšana izmanto pašreizējo lietotāju un neprasa root vai mainīt PAM. Bez galvas SSH sesija bez darbvirsmas taustiņošanas ziņojumiem nav pieejama; tā klusi neuzglabā atslēgu citur.

## Slēgšanas noteikumi

Esošo iekārtu automātiska bloķēšana ir izslēgta. Iespējot to izvēlas **15 minūtes** pēc noklusējuma; atbalstītās vērtības nekad, 1, 5, 10, 15, 30 kā arī 60 minūtes. Klaviatūra un peles ievade lietojumprogrammā logos tiek uzskatīta par darbību; ienākošā SSH izvade nav. Fakultatīva fokusa bloķēšana apstrādā programmas spraudņa logus kā daļu no lietotnes un ļauj uzlabot sistēmas autentificēšanu ātri pabeigt. Mainot šos noteikumus, ir nepieciešama galvenā parole.

**Katra Vault slēdzene, ieskaitot neaktivitātes un fokusa bloķēšanu, atslēdz aktīvu SSH sesijas, aizver spraudņus un aptur diagnostika.** Saglabāt attālinātos rediģējumus pirms bloķēšanas. Tas saglabā esošo manuālo bloķēšanas uzvedību; neviens SSH akreditācijas paliek pieejams fona spraudņiem pēc slēdzenes.

Neobligātā sensitīvas darbības politika pieprasa jaunu sistēmas autentificēšanu profila dzēšanai, spraudņa uzstādīšanai/izdzēstajam, instalēšanas palaišanai un atslēgtās Vault atjaunošanai. Attālinātās termināla komandas un spraudņa failu rediģēšanas ir ārpus šīs politikas. Šī politika neaizstāj SSH servera atļauju. Ja pakalpojumu sniedzējs pārtrauc strādāt, atbloķējiet ar galveno paroli un mainiet politiku, izmantojot šo paroli. Atiestatīšana paliek pieejama no aizslēgtā atveseļošanās ekrāna pēc tā destruktīva apstiprinājuma.

## Vault un IPC konstrukcija

Esošā v1 Vault joprojām ir AES-256- GCM ar šifrēšanu; ierakstīšana nepārraksta savus failus un nemaina to shēmu. Tikai tā kopija **atvasināti 32- baitu atslēga** iet uz OS kredentu glabāšanu. Vienkāršo tekstu galvenā parole nekad netiek saglabāta. Vietējās reģistrācijas metadati satur izlases veida kredenciālo ID, nodrošinātāju un SHA-256 saistošo informāciju ar Vault nekustīgajiem metadatiem. Atgūtajai atslēgai pirms sesijas atvēršanas jāiziet autentificēta atšifrēšana. Galvenā procesa buferi tiek iztīrīti pēc izmantošanas; dzimtās protokola virknes ir pārejoša procesa atmiņa, nevis pilnīgas atmiņas dzēšanas prasība pārvaldītajos dzēšanas laikos.

Palīdzētājs sazinās, izmantojot ierobežoto privāto stdin/stdout caurules, nepieņem čaulas komandas, ir autentifikācijas laiki un atgriež sanitizētos kļūdu kodus. Palīdzības saņēmēji ir iepakoti ārpus ASAR in `resources/biometrics`; tie ir autonoms dzimtā izpildvaras, tāpēc nav Electron ABI dzimtais modulis ir nepieciešams. Linux palīgs izmanto Python un GI sistēmu. Atvasinātie objekti un taustiņi nekad nešķērso attēlotāju/plugin tiltu. Biometriskā IPC validē dzīvo galveno logu un tā galveno rāmi; spraudņi to nevar izmantot. Skaidra bloķēšana anulē līdz brīdim, kad tiek atbloķēts biometrisks un paroles darbs, tāpēc vēlu apstiprinājums nevar atsākt Vault. Ieslēgšanas atcelšana atceļ tā vietējo saistīšanu pat tad, ja OS veikals ir bezsaistē; nepieejams veikals var saglabāt nelietojamu bāreņa kredentu.

## Būvēšana un verifikācija

`npm run biometrics:build` sagatavo datora platformas palīgu; izstrāde sāk un izlaide sagatavošana atsaukties uz to automātiski. macOS nepieciešams Swift / Apple SDK ar drošību un lokāloAutentifikācija; Windows prasa Visual Studio C++ Build Tools, Windows SDK un C++/WinRT; Linux kopijas Python palīgs. Jaunas atkarības no npm netiek pievienotas. Veidot dzimti uz katra mērķa OS. macOS palīgs ir iekļauts rekursīvajā saišu parakstīšanā, tam nav vajadzīga App Sandbox tiesības, jo šī darbvirsmas programma nav smilšu kaste. Ražošana macOS Izplatīšana joprojām prasa izstrādātāja ID parakstīšanu un notarializāciju, neatkarīgi no OpenPGP izziņot parakstus.

Palaist `npm test`, `npm run test:biometrics:ui` un `npm run test:diagnostics:ui`. Biometrisko nokrāsu testi un izolētais UI dūmainības tests a **OS adapteris** lai segtu panākumus, noraidīšanu/anulēšanu, nepareizus taustiņus, trūkstošo aparatūru/iestatījumu, atiestatīšanas laiku un novēlotos rezultātus, nav pieejami Linux keyrings, OS kredenciālas neveiksmes, Windows PIN apstiprinātas atbildes, macOS Ierakstīšanas izmaiņas, esošā Vault saderība, IPC izolācija un SSH tīrīšana. Tas nenosaka veiksmīgu aparatūras autentificēšanu.

Tika pārbaudīta nacionālā apkopošana. macOS  arm64 kā arī Windows  x64. macOS ziņo par pieejamo Touch ID; Windows VM ziņojumu Hello nav pieejams. Pirkstuprint/face/PIN uzņemšana, faktiska aizsargāto taustiņu piesaistīšana, OS dialoga anulēšana un pieslēgšanās-izmaiņu atzīšana par spēkā neesošām joprojām prasa interaktīvas aparatūras testēšanu katrai atbalstītajai sistēmai. Linux"palīglīdzeklis papildus jātestē uz darbvirsmas ar atbalstītu fprinted lasītāju; bez galvas VM nevar noteikt šo pārbaudi.

Platformas atsauces: [Apple biometriskās piekļuves kontrole](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows darbvirsmas Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprintētas ierīces dzīves cikls](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Slepenā pakalpojuma specifikācija](https://specifications.freedesktop.org/secret-service/latest/).

## macOS  SSH piekļuve vietējam tīklam

Ja katrs vietējais SSH profils nedarbojas ar `connect EHOSTUNREACH`, bet tāds pats savienojums darbojas Terminālā, pārbaudiet **System Iestatījumi → Privacy & Security → Local Network → CH-J Server Manager**, ļaujiet piekļūt, pilnībā iziet no aplikācijas un atvērt to. Ja jau ieslēgts, pārslēdziet savu atļauju un atsākiet darbību. Tāpat pārbaudiet maršrutēšanu, Wi-Fi/Ethernet un VPN: kļūda vien nav pierādījums privātuma noliegumam. Neiestatīt mapi vai neizmest uzticamu SSH pirkstu nospiedumi par šo kļūdu.

Aplikācija deklarē `NSLocalNetworkUsageDescription` un nodrošina lokalizētas norādes par macOS tīkla atļauju/maršruta kļūdām. Tā nevar piešķirt sev atļauju. Apple iesaka Apple izsniegtā parakstīšanas identitāte, lai macOS var sekot tīkla privātumu ticami pāri ēkām; pašreizējais ad hoc alfa būvē saglabā šo ierobežojumu. Skatīt [Apple lokālā tīkla privātuma vadlīnijas](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu programmas ikona

Debian pakotnes instalēt esošo CH-J ikona standarta hicolor izmēros (16–512 px), ar atbilstošu darbvirsmas ierakstu un Electron loga klase. Galvenais logs saņem arī ikonu, kad tiek atjaunota. Pēc jau piestiprinātās vecās palaišanas, atvienojiet to un piestipriniet jaunizveidoto programmu. Darbvirsmas pieteikšanās/login var atsvaidzināt iztukšoto GNOME palaišanas kešatmiņu.