> Revizuirea lingvistică a acestei traduceri este în curs. Pentru pasaje neclare, consultați [originalul în engleză](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Autentificare opțională a sistemului și blocare seifului

Creați sau deblocați seiful cu parola principală. Deschide **Settings → Security**, verifică starea furnizorului și permite deblocarea biometrică. Înscrierea necesită autentificarea sistemului nou. După aceea, loginul oferă Touch ID, Windows Hello sau deblocare a amprentelor digitale alături de formularul de parolă. **Disabil și eliminați înscrierea** elimină cheia cache a acestei aplicații, niciodată amprentele digitale înregistrate ale sistemului de operare.

Păstrați parola master: anulare, timeout, hardware indisponibil / taiere și înscriere invalidată toate necesită retragerea parolei. Înscrierea biometrică este locală pentru acest utilizator, dispozitiv și seif. Nu este un mecanism de recuperare sau o copie de rezervă. Resetarea Vault revocă înscrierea și șterge profilurile criptate existente și amprentele digitale gazdă numai după confirmarea `SMAZAT` existentă.

| Platforma | Autentificare și stocare | Cerințe și limite |
| --- | --- | --- |
|  macOS  Apple Silicon  | Autentificare locală nativă / ID tactil; element cheie de securitate. cadru cu tastatură `biometryCurrentSet` şi `WhenUnlockedThisDeviceOnly`  | Identificat Touch, senzor disponibil și un dispozitiv de conectare utilizabil. Modificările amprentei digitale invalidează elementul. Utilizați semnarea de identificare stabilă a dezvoltatorului pentru actualizările producției; semnarea ad-hoc alfa poate perturba încrederea Keychain și localizarea permisiunii locale. |
|  Windows  x64  | WinRT nativ Windows Alo interop desktop atașat la principalul HWND; tasta criptată DPAPI a utilizatorului curent în Windows Administrator credibil | Configurat Hello amprentă, față **sau PIN**. Aceasta este deblocare comoditate: Alo aprobarea este aplicată de către aplicație, în timp ce DPAPI nu este biometric poarta. Alt cod care rulează ca același utilizator poate decripta credibilitatea. |
|  Ubuntu  x64  | Amprenta curenta a utilizatorului inscrisa prin intermediul D-busului imprimat; depozitare explicita de libsecret / Secret Service | Cititor susținut, a înregistrat amprente digitale, rulează desktop Secret Service și keyring implicit. Deblocare comodă: keyring-ul nu este legat în mod descriptiv de verificarea amprentelor digitale. Nr. `basic_text` sau fişierul simplu de rezervă. |

Pe Ubuntu pachetele facultative de timp de execuție sunt `python3-gi`, `gir1.2-secret-1` și `gnome-keyring` (sau un alt Serviciu Secret compatibil) și `fprintd`. Instalați pachete lipsă folosind managerul de pachete OS normal, apoi înscrieți o amprentă în setările SG. Autentificare utilizează utilizatorul curent și nu necesită rădăcină sau schimbare PAM. O sesiune fără cap SSH fără rapoarte keyring desktop indisponibile; nu păstrează în tăcere o cheie în altă parte.

## Norme de blocare

Blocarea automată este oprită pentru instalațiile existente. Activarea se selectează **15 minute** în mod implicit; valorile susținute nu sunt niciodată; 1, 5, 10, 15, 30 şi 60 minute. Keyboard și intrarea mouse-ului în ferestrele de aplicare conta ca activitate; intrare SSH ieșire nu. Blocarea focalizării opțională tratează ferestrele modulului aplicației ca parte a aplicației și permite finalizarea promptă a autentificării sistemului în curs de desfășurare. Schimbarea acestor reguli necesită parola principală.

**Every Vault blocare, inclusiv inactivitate și de blocare focalizare, deconectează sesiuni active SSH, închide plugin-uri și oprește diagnostice.** Salvați editări la distanță înainte de blocare. Acest lucru păstrează comportamentul manual-blocare existente; nici o acreditare SSH rămâne disponibil pentru plugin-uri de fundal după un sistem de blocare.

Politica opțională de operare sensibilă solicită autentificarea unui sistem nou pentru ștergerea profilului, instalarea/eliminarea modulului, lansarea instalatorului și resetarea unui seif deblocat. Comenzi terminale la distanță și editarea fișierelor plugin sunt în afara acestei politici. Politica nu înlocuiește autorizația serverului SSH. Dacă furnizorul nu mai lucrează, deblocați cu parola master și modificați politica folosind această parolă. Resetarea rămâne disponibilă pe ecranul de recuperare blocat după confirmarea sa distructivă.

## Seif și design IPC

V1 Vault existent rămâne AES-256-GCM cu script; înscrierea nu rescrie fișierele sale sau schimba schema sa. Doar o copie a ei **derivat 32- Octet cheie** merge la depozitul OS. Parola master text simplu nu este niciodată stocată. Metadatele locale de înscriere conțin ID-ul, furnizorul și o legătură SHA-256 cu metadatele imuabile ale seifului. O cheie recuperată trebuie să treacă decriptarea autentificată înainte de deschiderea unei sesiuni. Tamponele principale de proces sunt eliminate după utilizare; sirurile de caractere ale protocolului nativ sunt memorie tranzitorie a procesului, nu o cerere de ștergere completă a memoriei în timpurile de funcționare gestionate.

Asistentul comunică prin conducte private de stdin/stdout delimitate, nu acceptă comenzi de cochilie, are timeout-uri de autentificare și returnează coduri de eroare sanitizate. Ajutoarele sunt ambalate în afara ASAR în `resources/biometrics`; acestea sunt executabile native independente, astfel încât nu este necesar nici un modul nativ Electron ABI. Ajutorul Linux utilizează sistemul Python și GI. Obiecte native și taste derivate nu traversează niciodată podul rander/plugin. IPC biometric validează fereastra principală live și cadrul său principal; modulele nu o pot invoca. Închiderea explicită anulează până când operaţiunea biometrică şi parola va fi deblocată astfel încât aprobarea tardivă să nu poată redeschide Seiful. Îndepărtarea înscrierii îşi revocă obligaţia locală, chiar dacă magazinul OS este offline; un magazin inaccesibil poate păstra o acreditare orfană inutilizabilă.

## Construire și verificare

`npm run biometrics:build` pregătește ajutorul pentru platforma gazdă; dezvoltarea începe și eliberează pregătirea invoca automat. macOS necesită Swift/Apple SDK cu Securitate și Autentificare Locală; Windows solicită Visual Studio C++ Unelte de Build, Windows SDK și C++/WinRT; Linux copiază ajutorul Python. Nu se adaugă noi dependențe npm. Construiește nativ pe fiecare OS țintă. Ajutorul macOS este inclus în semnarea pachetelor recursive; nu are nevoie de dreptul App Sandbox deoarece această aplicație de birou nu este cutia cu nisip. Producţia macOS distribuţie necesită încă semnarea şi legalizarea ID-ului Dezvoltatorului, independent de semnăturile de lansare OpenPGP.

Run `npm test`, `npm run test:biometrics:ui` și `npm run test:diagnostics:ui`. Testele biometrice ale nodului și testul izolat de fum IU utilizează a **adaptorul OS de tip match** pentru a acoperi succesul, respingerea/anularea, cheile greșite, lipsa hardware-ului/înrolării, resetarea, expirarea și rezultatele tardive, indisponibile Linux keyring-uri, eșecuri OS credibile, Windows răspunsuri aprobate de PIN; macOS modificări de înscriere, compatibilitatea cu seiful existentă, izolarea IPC și SSH Curăţenie. Acest lucru nu stabilește autentificarea hardware de succes.

Compilarea nativă a fost verificată pe macOS  arm64 şi Windows  x64. macOS rapoarte Touch ID disponibile; Windows VM raportează Hello indisponibil. Înscrierea la Fingerprint/face/PIN, recuperarea efectivă a cheilor protejate, anularea dialogului OS și modificarea procesului de înscriere necesită încă testarea interactivă a hardware-ului pe fiecare sistem sprijinit. Ajutorul Linux trebuie testat suplimentar pe un birou cu un cititor de fprint sprijinit; un VM fără cap nu poate stabili această verificare.

Referințele platformei: [Controlul accesului biometric al merelor](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows desktop Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [ciclul de viață al dispozitivului fprint](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specificațiile Serviciului Secret](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH acces local-rețea

Dacă fiecare localnic SSH profilul eșuează cu `connect EHOSTUNREACH` dar aceeaşi conexiune funcţionează în Terminal, verifica **Setări sistem → Confidențialitate și securitate → Rețea locală → CH-J Server Manager**, permite accesul, părăsi complet aplicația și redeschide-l. Dacă este deja activată, comutați permisiunea și reporniți. De asemenea, verificați rutarea, Wi-Fi/Ethernet și VPN: eroarea nu este doar o dovadă a unei negări a vieții private. Nu resetaţi seiful sau nu aruncaţi amprentele digitale SSH de încredere pentru această eroare.

Aplicația declară `NSLocalNetworkUsageDescription` și furnizează orientări localizate pentru permisiunile de rețea macOS/erorile de rută. Nu-şi poate acorda permisiunea. Apple recomandă o identitate de semnare emisă de Apple, astfel încât macOS să poată urmări confidențialitatea rețelei în mod fiabil pe întreaga clădire; clădiri ad hoc alfa actuale păstrează această limitare. A se vedea ghidul de confidențialitate [Apple pentru rețelele locale](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Pictograma aplicației Ubuntu

Pachetele Debian instalează pictograma CH-J existentă la dimensiunile hicolore standard (16–512 px), cu o intrare desktop corespunzătoare și clasa ferestrei Electron. Fereastra principală primește, de asemenea, pictograma atunci când este recreată. După actualizarea unui lansator vechi deja fixat, desfaceți-l și fixați aplicația nou instalată; un logout/login desktop poate reîmprospăta o cache de lansator GNOME vechi.