> Trwa korekta językowa tego tłumaczenia. W razie wątpliwości porównaj z [angielskim oryginałem](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Opcjonalne uwierzytelnianie systemu i blokowanie systemu

Stwórz lub odblokuj najpierw pasmo z hasłem głównym. Open **Ustawienia → Bezpieczeństwo**, sprawdź status dostawcy i umożliwi odblokowanie biometryczne. Wpisanie wymaga świeżego uwierzytelniania systemu. Następnie logowanie oferuje Touch ID, Windows Odblokuj odcisk palca obok głównego hasła. **Wyłącz i usuń zapis** Usuwa klucz do pamięci programu, nigdy nie jest zarejestrowany.

Zachowywać hasło główne: anulowanie, limit czasu, niedostępny sprzęt/przyłącznik i unieważnienie wszystkich wymaga zastąpienia hasła. Biometryczne włączenie jest lokalne dla tego użytkownika, urządzenia i Vault. To nie jest mechanizm regeneracji ani kopia zapasowa. Resetowanie zabezpieczeń cofnie zapisanie i usuwa istniejące zaszyfrowane profile i odciski odcisków palców komputera tylko po istniejącym `SMAZAT` Potwierdzenie.

| Platforma | Uwierzytelnienie i przechowywanie | Wymagania i ograniczenia |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Bezpieczeństwo. Framework Keychain item with `biometryCurrentSet` oraz `WhenUnlockedThisDeviceOnly`  | Zapisane touch ID, dostępne czujnik i logowanie Keychain. Zmiany odcisków palców unieważniają element. Użyj stabilnego podpisu ID Developer do aktualizacji produkcji; ad hoc podpisywanie alfa może zaburzać zaufanie Keychain i lokalne śledzenie zezwoleń sieciowych. |
|  Windows  x64  | Native WinRT Windows Hello desktop interop dołączony do głównego klucza HWND; bieżący użytkownik DPAPI zaszyfrowany w Windows Zarządzacz certyfikatów | Konfigurowany Hello odcisk palca, twarz **lub PIN**. Jest to wygodne odblokowanie: Hello homologation is egzekwowane przez aplikację, podczas gdy sam DPAPI nie jest biometrycznie zablokowany. Inny kod działający jako ten sam użytkownik może rozszyfrować uwierzytelnienie. |
|  Ubuntu  x64  | Obecny użytkownik zapisał odcisk palca przez fprinted D-Bus; wyraźnie libsekretne / Secret Service werential pamięć | Obsługiwany czytelnik, włączony odcisk palców, uruchomienie pulpitu Secret Service i domyślny ring kluczy. Zgodność odblokowania: werdykacja klucza nie jest kryptograficznie związana z weryfikacją odcisków palców. Nie. `basic_text` lub plik wstępny. |

Włączony Ubuntu opcjonalne pakiety czasu uruchamiania to `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (lub innej kompatybilnej Secret Service) oraz `fprintd`. Zainstaluj brakujące pakiety przy użyciu normalnego zarządzacza pakietami OS, a następnie wpisz odcisk palca w ustawieniach systemu OS. Uwierzytelnienie używa bieżącego użytkownika i nie wymaga zmiany PAM. Bez głowy. SSH sesja bez raportów o kluczach do pulpitu niedostępna; nie przechowywa ona w cichuty klucza gdzie indziej.

## Zasady blokowania

Automatyczne blokowanie jest wyłączone dla istniejących instalacji. Włączanie zaznacza **15 minuty** domyślnie; wartości obsługiwane są Nigdy, 1, 5, 10, 15, 30 oraz 60 minuty. Wejście klawiatury i myszy w oknach aplikacji liczy się jako aktywność; przychodzące SSH wyjście nie ma. Opcjonalne blokowanie fokusu traktuje okna wtyczki aplikacji jako część aplikacji i pozwala na zakończenie uwierzytelniania systemu wstępnego. Zmiana tych zasad wymaga głównego hasła.

**Każdy blokadę waultu, w tym blokadę nieaktywności i koncentracji, odłącza aktywność SSH sesji, zamyka wtyczki i zatrzymuje diagnostykę.** Zapisz zdalne edycje przed zablokowaniem. Zachowuje to istniejące zachowanie ręcznego blokowania; nie SSH po zamykaniu pozostają dostępne wtyczki tła.

Opcjonalna polityka wrażliwości wymaga świeżego uwierzytelniania systemu do usuwania profilu, instalacji wtyczek/odwołania, uruchomienia instalatora i resetowania odblokowanego Vaulta. Zdalne polecenia terminalowe i wtyczki edytowane są poza tą polityką. Polityka ta nie zastępuje SSH autoryzacja serwera. Jeśli dostawca przestanie pracować, odblokuj hasło główne i zmieni politykę używając tego hasła. Reset pozostaje dostępny z zamkniętego ekranu odzysku po jego destrukcyjnym potwierdzeniu.

## Projektowanie Vault i IPC

Obecny V1 Vault pozostaje AES-256-GCM z skryptem; zapis nie przepisuje swoich plików ani nie zmienia schematu. Tylko kopia jej **pozyskane 32- klucz bite** idzie do przechowywania certyfikatu. Hasło główne nie jest przechowywane. Metadane lokalnego wpisania zawiera przypadkowe identyfikatory uwierzytelniające, dostawcę i SHA-256 wiązanie z niezmiennymi metadanymi Vault. Odzyskany klucz musi przekazać uwierzytelnione deszyfrowanie przed otwarciem sesji. Bufory głównych procesów są oczyszczane po użyciu; native protokołu stringi są pamięcią przejściową, a nie twierdzeniem o całkowitym usuwaniu pamięci w zarządzanych czasach uruchamiania.

Pomocnik komunikuje się za pośrednictwem prywatnych rur stdin/stdout, nie akceptuje poleceń powłoki, ma limity czasu uwierzytelnienia i zwraca sanityzowane kody błędów. Pomocnicy są pakowani poza ASAR w `resources/biometrics`; są to samodzielne native egzekutory, więc nie Electron Moduł ABI jest wymagany. - Nie, nie. Linux pomocnik używa systemu Python i GI. Native obiekty i pochodne klawisze nigdy nie przekroczają mostu reflektora/pluginy. Biometryczne IPC potwierdza główne okno na żywo i jego ramkę; wtyczki nie mogą go wywołać. Wyraźne blokowanie anuluje oczekiwanie biometrycznego i hasła odblokowania pracy tak późno nie może ponownie otworzyć programu. Usunięcie zapisu cofnie lokalne wiązanie, nawet jeśli sklep OS jest offline; niedostępny sklep może zachować nieużyteczny kredyt.

## Budowa i weryfikacja

`npm run biometrics:build` przygotowuje pomocnika host-platform; program rozpoczyna i uwalnia go automatycznie. macOS wymaga Swift/Apple SDK z bezpieczeństwem i lokalną autentycznością; Windows wymaga Visual Studio C++ Narzędzia budowy, Windows SDK i C++/WinRT; Linux kopie pomocnika Pythona. Nie dodaje się nowych zależności dla npm. Zbudować na każdym celu OS. Pomocnik macOS jest włączony do podpisywania pakietu rekursywnego; nie potrzebuje zastosowania programu Sandbox, ponieważ ta aplikacja pulpitowa nie jest zaciągnięta. Produkcja macOS dystrybucja wciąż wymaga podpisywania i notaryzacji ID Developera, niezależnie od OpenPGP podpisy wydania.

Uruchom `npm test`, `npm run test:biometrics:ui` oraz `npm run test:diagnostics:ui`. Badania biometryczne węzła i odizolowane badanie dymu UI używać **wyśmieniony adapter OS** do pokrycia sukcesu, odrzucenia/zakończenia, niewłaściwych kluczy, brakuje sprzętu/włączenie, resetowanie, czas trwania i późne wyniki, niedostępne Linux ringi kluczowe, nieprawidłowości wiarygodności OS, Windows odpowiedzi zatwierdzone na PIN, macOS Zmiany w rejestracji, istniejąca kompatybilność waultu, izolacja IPC i SSH Czyścimy. To nie ustala udanej uwierzytelniania sprzętu.

Native compilation został zweryfikowany macOS  arm64 oraz Windows  x64. macOS raporty Touch ID dostępne; Windows VM raporty Hello niedostępne. Odcisk palca/face/PIN Rejestracja, rzeczywiste wyszukiwanie kluczy chronionych, anulowanie dialogów OS i zmiana ważności wymaga jeszcze interaktywnych testów sprzętowych na każdym obsługiwanym systemie. Pomocnik Linux musi być dodatkowo testowany na pulpicie z obsługiwanym fprinted czytnika; bezgłowy VM nie może ustalić tej weryfikacji.

Odesłania do platformy: [Kontrola dostępu biometrycznego Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows pulpit Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprinted urządzenie cykl życia](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specyfikacja Secret Service](https://specifications.freedesktop.org/secret-service/latest/).

## macOS  SSH dostęp do sieci lokalnej

Jeśli każdy lokalny SSH profil zawiodła w przypadku `connect EHOSTUNREACH` ale to samo połączenie działa w terminalu, sprawdź **Ustawienia systemu → Privacy & Security → Sieć lokalna → CH-J Server Manager**, umożliwić dostęp, w pełni wyłączyć aplikację i ponownie ją otworzyć. Jeśli już jest włączony, włącz użycie zezwolenia i ponowne uruchomienie. Sprawdź również ścieżkę, Wi-Fi/Ethernet i VPN: błąd sam nie jest dowodem zaprzeczenia prywatności. Nie restartuj lub nie zaufaj SSH odciski palców na ten błąd.

Aplikacja deklaruje `NSLocalNetworkUsageDescription` i dostaw lokalizowane wytyczne dotyczące macOS błędy sieciowe/droga. Nie może przyznać sobie zezwolenia. Apple zaleca tożsamość podpisywania wydawaną przez Apple, aby macOS mógł niezawodnie śledzić prywatności sieci w różnych budowlach; obecne budowy ad hoc alfa zachowują to ograniczenie. Patrz. [Wytyczne dotyczące prywatności lokalnej sieci Apple](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu ikona aplikacji

Pakiety Debiana zainstaluj istniejące CH-J ikona w standardowych rozmiarach hicolor (16–512 px), z odpowiednim wpisem pulpitowym i Electron klasa okna. Główne okno otrzymuje również ikonę po odtworzeniu. Po aktualizacji starego launchera, odepnij go i przypiń nowo zainstalowaną aplikację; wylogowanie/logowanie pulpitu może odświeżyć ustalone podręcznik uruchomiacza GNOME.