> Deze vertaling wordt taalkundig herzien. Vergelijk onduidelijke passages met het [Engelse origineel](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Optionele systeemauthenticatie en kluissluiting

Maak of ontgrendel de kluis eerst met zijn hoofdwachtwoord. Open **Settings → Security**, controleer de providerstatus en schakel biometrisch ontgrendelen. Inschrijving vraagt om nieuwe systeemauthenticatie. Nadien biedt de login overlay Touch ID, Windows Hallo of vingerafdruk ontgrendelen naast het master-password formulier. **Schakel en verwijder inschrijving** verwijdert de cachesleutel van deze toepassing, nooit geregistreerde vingerafdrukken van het besturingssysteem.

Houd het hoofdwachtwoord: annulering, timeout, niet beschikbare hardware/sleutelring en ongeldige inschrijving vereisen allemaal een wachtwoord terugval. Biometrische inschrijving is lokaal voor deze gebruiker, apparaat en Vault. Het is geen herstelmechanisme of een back-up. Het herstellen van de Vault trekt inschrijving in en verwijdert bestaande gecodeerde profielen en host vingerafdrukken alleen na de bestaande `SMAZAT` bevestiging.

| Platform | Authenticatie en opslag | Vereisten en limieten |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Security.framework Keychain item met `biometryCurrentSet` en `WhenUnlockedThisDeviceOnly`  | Ingeschreven Touch ID, beschikbare sensor en een bruikbare login sleutelhanger. Vingerafdrukwijzigingen maken het item ongeldig. Gebruik stabiele Ontwikkelaar ID ondertekening voor productie updates; ad-hoc alpha ondertekening kan het vertrouwen van de Keychain en lokale-netwerk machtiging tracking verstoren. |
|  Windows  x64  | Inheemse WinRT Windows Hello desktop interop aangesloten op de belangrijkste HWND; huidige gebruiker DPAPI gecodeerde sleutel in Windows Credential Manager | Geconfigureerd Hello vingerafdruk, gezicht **of PIN**. Dit is gemak ontgrendelen: Hallo goedkeuring wordt afgedwongen door de app, terwijl DPAPI zelf niet biometrisch gated. Andere code die als dezelfde gebruiker kan decoderen van de credential. |
| Ubuntu x64z | Huidige gebruiker's ingelogde vingerafdruk via fprintd D-Bus; expliciet libsecret / Secret Service credential storage | Ondersteunde lezer, ingeschreven vingerafdruk, het uitvoeren van desktop Secret Service en standaard sleutelbos. Gemak ontgrendelen: de sleutelring credential is niet cryptografisch gebonden aan vingerafdruk verificatie. Geen `basic_text` of fallback van platte tekstbestand. |

Op Ubuntu zijn de optionele runtime pakketten `python3-gi`, `gir1.2-secret-1` en `gnome-keyring` (of een andere compatibele Secret Service) en `fprintd`. Ontbrekende pakketten installeren met behulp van de normale OS-pakketbeheerder en vervolgens een vingerafdruk inschrijven in OS-instellingen. Authenticatie gebruikt de huidige gebruiker en vereist geen root of verandering van PAM. Een hoofdloze SSH sessie zonder een desktop keyring is niet beschikbaar; het slaat geen sleutel ergens anders op.

## Vergrendelingsregels

Automatische vergrendeling is uitgeschakeld voor bestaande installaties. Inschakelen selecteert **15 minuten** standaard; ondersteunde waarden zijn nooit, 1, 5, 10, 15, 30 en 60 minuten. Toetsenbord en muisinvoer in toepassingsvensters tellen als activiteit; binnenkomende SSH-uitvoer niet. Optionele focusvergrendeling behandelt de pluginvensters van de toepassing als onderdeel van de app en maakt het mogelijk om een in-progress systeemauthenticatieprompt af te ronden. Het wijzigen van deze regels vereist het hoofdwachtwoord.

**Elke Vault-slot, inclusief inactiviteit en focusvergrendeling, schakelt actieve SSH-sessies uit, sluit plugins af en stopt diagnoses.** Bewaar remote bewerkingen voordat u afsluit. Dit behoudt het bestaande handmatige-lock gedrag; er blijven geen SSH referenties beschikbaar voor achtergrondplugins na een vergrendeling.

Het optionele gevoelige-operation policy vraagt om nieuwe systeemauthenticatie voor profielverwijdering, plugin installatie / verwijdering, installateur lancering en reset van een ontgrendelde Vault. Remote terminal commando's en plugin bestand bewerken zijn buiten dit beleid. Het beleid vervangt SSH-servermachtiging niet. Als de provider stopt met werken, ontgrendelen met het hoofdwachtwoord en wijzigen van het beleid met behulp van dat wachtwoord. Reset blijft beschikbaar vanaf het vergrendelde herstel scherm na de vernietigende bevestiging.

## Kluis en IPC-ontwerp

De bestaande v1 Vault blijft AES-256-GCM met scrypt; inschrijving herschrijft zijn bestanden niet of wijzigt het schema. Alleen een kopie van de ** afgeleide 32-byte key** gaat naar OS credential storage. Het hoofdwachtwoord in platte tekst wordt nooit opgeslagen. Lokale inschrijvingsmetadata bevatten willekeurige geloofwaardigheids-ID, provider en een SHA-256 binding aan de onveranderlijke metadata van de Vault. Een herstelde sleutel moet geauthentiseerde decryptie doorgeven voordat een sessie wordt geopend. Hoofdprocesbuffers worden na gebruik gewist; native protocol strings zijn transiënt procesgeheugen, geen claim van volledige geheugenwissing in beheerde runtimes.

De helper communiceert via begrensde privé stdin/stdout pijpen, accepteert geen shell commando's, heeft authenticatie timeouts en geeft gesanctioneerde foutcodes terug. Helpers worden buiten ASAR verpakt in `resources/biometrics`; ze zijn standalone native executables, dus geen Electron ABI native module is vereist. De Linux helper gebruikt systeem Python en GI. Inheemse objecten en afgeleide sleutels komen nooit over de renderer/plugin brug. Biometric IPC valideert het live hoofdvenster en zijn hoofdframe; plugins kunnen dit niet oproepen. Expliciete vergrendeling annuleert in afwachting van biometrische en wachtwoord ontgrendelen werk, zodat late goedkeuring kan niet heropenen de Kluis. Het verwijderen van inschrijving trekt zijn lokale binding in, zelfs als de OS store offline is; een onbereikbare winkel kan een onbruikbaar weesgeloof behouden.

## Bouwen en verifiëren

`npm run biometrics:build` bereidt de host-platform helper voor; ontwikkelingsstart en release voorbereiding roepen het automatisch. macOS vereist Swift/Apple SDK met Beveiliging en Lokale Authenticatie; Windows heeft Visual Studio C++ Build Tools, Windows SDK en C++/WinRT nodig; Linux kopieert de Python helper. Er worden geen nieuwe npm afhankelijkheden toegevoegd. Inheems bouwen op elk doel OS. De macOS helper is opgenomen in recursieve bundel ondertekening; het heeft geen App Sandbox recht nodig omdat deze desktop app niet zandbak is. Productie macOS distributie vereist nog steeds Ontwikkelaar ID ondertekening en notarisatie, onafhankelijk van OpenPGP release handtekeningen.

Start `npm test`, `npm run test:biometrics:ui` en `npm run test:diagnostics:ui`. Biometrische knooppunttests en de geïsoleerde rooktest van de UI gebruiken a **mount OS-adapter** om succes, afwijzing/annulering, verkeerde sleutels, ontbrekende hardware/inschrijving, reset, timeout en late resultaten te dekken, niet beschikbaar Linux sleutelhangers, OS credential mislukkingen, Windows PIN-goedgekeurde antwoorden, macOS Inschrijving wijzigingen, bestaande Vault compatibiliteit, IPC isolatie en SSH Opruimen. Dit maakt geen succesvolle hardware-authenticatie mogelijk.

De oorspronkelijke compilatie werd geverifieerd op macOS arm64 en Windows x64. macOS meldt Touch ID beschikbaar; de Windows VM meldt Hallo niet beschikbaar. Fingerprint/face/PIN inschrijving, werkelijke protected-key retrieval, OS dialoog annulering en inschrijven-verandering ongeldigheid nog steeds interactieve hardware testen op elk ondersteund systeem. De helper van Linux moet bovendien worden getest op een bureaublad met een ondersteunde fprintd reader; een hoofdloze VM kan die verificatie niet vaststellen.

Platformreferenties: [Controle op de biometrische toegang van Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows desktop Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprinted device lifecycle](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specificatie van de geheime dienst](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH toegang tot lokaal netwerk

Als elk lokaal SSH-profiel faalt met `connect EHOSTUNREACH` maar dezelfde verbinding werkt in Terminal, controleer dan de instellingen van het **System → Privacy & Security → Local Network → CH-J Server Manager**, laat toegang toe, sluit volledig af en heropen deze. Indien reeds ingeschakeld, schakelt u de toestemming in en herstart. Controleer ook routering, Wi-Fi/Ethernet en VPN: de fout alleen is geen bewijs van een privacy ontkenning. De Vault niet resetten of vertrouwde SSH-afdrukken voor deze fout weggooien.

De app verklaart `NSLocalNetworkUsageDescription` en levert gelokaliseerde begeleiding voor macOS netwerkmachtiging/routefouten. Het kan zichzelf geen toestemming geven. Apple beveelt een Apple-uitgegeven tekenidentiteit aan zodat macOS de netwerkprivacy betrouwbaar kan bijhouden over verschillende builds; huidige ad hoc alpha builds behouden die beperking. Zie [apple's local-netwerk privacy begeleiding](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu toepassingspictogram

Debian pakketten installeren het bestaande CH-J icoon bij standaard hicolor maten (16–512 px), met een overeenkomende desktop ingang en Electron vensterklasse. Het hoofdvenster ontvangt ook het pictogram wanneer opnieuw gemaakt. Na het updaten van een reeds gepinde oude launcher, losmaken en pin de nieuw geïnstalleerde toepassing; een desktop logout/login kan een oude GNOME launcher cache vernieuwen.