> Языковая редактура этого перевода продолжается. Если фрагмент неясен, сверьтесь с [английским оригиналом](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Факультативная система аутентификации и блокировки хранилища

Создать или открыть Хранилище с его главным паролем. Открыть **Setings β Security**, проверить статус поставщика и открыть биометрическое отверстие. Зачисление требует подтверждения подлинности новой системы. После этого накладка на входе предлагает ID Tach, Windows Hello или отпечатки пальцев открываются рядом с формой главного пароля. ** Отключается и удаляет запись ** удаляет ключ от этой приложения, никогда не зарегистрированные отпечатки пальцев операционной системы.

Сохранение главного пароля: отмена, временной выход, отсутствие аппаратных средств/ключей и аннулирование регистрации - все это требует возврата пароля. Биометрический охват локальный для этого пользователя, устройства и хранилища. Это не механизм восстановления или подкрепление. Перезагрузка Скрытия отменяет регистрацию и удаляет существующие зашифрованные профили и отпечатки пальцев только после подтверждения `SMAZAT`.

| Платформа | Аутентификация и хранение | Требования и пределы |
| --- | --- | --- |
|  macOS  Apple Silicon  | Коренное локальное обозначение/идентификационный номер прикосновения; безопасность. `biometryCurrentSet` и `WhenUnlockedThisDeviceOnly`  | Завернутый идентификатор прикосновения, доступный датчик и удобная ключ для входа. Изменения отпечатков пальцев не соответствуют действительности предмета. Использовать стабильные идентификационные подписи разработчика для обновления производства; специальные альфа-подписи могут нарушить контроль за доверием к ключам и разрешением местных сетей. |
| Windows x64 | Нативное взаимодействие WinRT Windows Hello с рабочим столом, привязанное к основному HWND; ключ, зашифрованный DPAPI текущего пользователя, в Windows Credential Manager | Настроенный отпечаток, распознавание лица **или PIN** в Hello. Это удобный способ разблокировки: приложение требует подтверждение Hello, но сам DPAPI не привязан к биометрии. Другой код, выполняющийся от имени того же пользователя, может расшифровать учётные данные. |
| Ubuntu x64 | Зарегистрированный отпечаток текущего пользователя через fprintd D-Bus; явное хранение учётных данных с помощью libsecret / Secret Service | Поддерживаемый считыватель, зарегистрированный отпечаток, работающий Secret Service рабочего окружения и хранилище ключей по умолчанию. Удобная разблокировка: запись в хранилище ключей не связана криптографически с проверкой отпечатка. Переход на `basic_text` или хранение в текстовом файле не предусмотрен. |

Включено Ubuntu - факультативные пакеты с рабочим временем: `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (или другая совместимая секретная служба) и `fprintd`. Установите недостающие пакеты с помощью обычного менеджера пакета ОС, а затем запишите отпечатки пальцев в настройки ОС. Аутентификация использует текущий пользователь и не требует корневой или изменяющей PAM. Безголовый сеанс SSH без ключевых отчётов недоступен; он не хранит ключ в другом месте.

## Правила блокировки

Автоматическое блокирование для существующих установок отключается. Возможность выбора **15 минуты** по умолчанию; поддерживаемые значения никогда, 1, 5, 10, 15, 30 и 60 минут. Ввод клавиатуры и мыши в окна приложения считается активностью; входящий вывод SSH не соответствует. Факультативная блокировка фокуса рассматривает окна приложения как часть приложения и позволяет незавершенной системе аутентификации быстро закончить. Изменение этих правил требует главного пароля.

**Every блокировка, включая неактивность и блокировку фокуса, отключает активные сеансы SSH, закрывает глушители и останавливает диагностику. ** Сохранить дистанционные редактирования перед блокировкой. Это сохраняет существующее поведение ручного замка; не остается данных SSH для фоновых подсказок после шлюза.

В факультативной политике в отношении операций с чувствительными элементами предусматривается подтверждение новой системы для исключения профиля, установки/отключения, запуска и перезагрузки неразблокированного хранилища. Удалённые команды терминалов и редактирование файлов не входят в эту политику. Эта политика не заменяет разрешение сервера SSH. Если поставщик перестанет работать, откройте с помощью главного пароля и измените политику с использованием этого пароля. Перезагрузка остаётся доступной с запертого экрана восстановления после его разрушительного подтверждения.

## Конструкция хранилища и IPC

Существующее хранилище v1 по-прежнему использует AES-256-GCM и scrypt; регистрация биометрии не переписывает его файлы и не меняет схему. В системное хранилище учётных данных помещается только копия **производного ключа длиной 32 байта**. Мастер-пароль в открытом виде никогда не сохраняется. Локальные метаданные регистрации содержат случайный идентификатор учётных данных, провайдера и привязку SHA-256 к неизменяемым метаданным хранилища. Полученный ключ должен пройти аутентифицированное расшифрование до открытия сеанса. Буферы основного процесса очищаются после использования; строки нативного протокола временно находятся в памяти процесса, что не означает гарантированного полного стирания памяти в управляемых средах выполнения.

Вспомогательная программа обменивается данными через ограниченные приватные каналы stdin/stdout, не принимает команды shell, ограничивает время аутентификации и возвращает очищенные коды ошибок. Вспомогательные программы размещаются вне ASAR в `resources/biometrics`; это самостоятельные нативные исполняемые файлы, поэтому отдельный нативный модуль для ABI Electron не требуется. В Linux используются системные Python и GI. Нативные объекты и производные ключи никогда не передаются через мост в процесс отображения или плагины. Биометрический IPC проверяет действующее главное окно и его основной фрейм; плагины не могут вызывать эти операции. Явная блокировка отменяет ожидающие биометрические операции и разблокировку паролем, чтобы запоздалое подтверждение не открыло хранилище. Удаление регистрации отзывает локальную привязку даже при недоступном системном хранилище; в недоступном хранилище может остаться непригодная для использования осиротевшая запись учётных данных.

## Строительство и проверка

`npm run biometrics:build` готовит носителя-платформу помощника; начало разработки и подготовка к выпуску вызовут его автоматически. macOS требует SDK для свифта/яблока с обеспечением безопасности и локальной аутентификацией; Windows Требует Визуальной студии C++ Строительные Инструменты Windows СУК и С++/Винтрат; Linux копирует помощника Питон. Никаких новых зависимостей npm не добавлено. Построй на каждой цели ОС. Помощник macOS включен в рекурсивный набор сигналов; он не нуждается в праве App Sandbox, потому что это приложение для рабочего стола не забито песком. Для распространения macOS по-прежнему требуются подпись и нотариализация разработчика, независимо от подписей для выпуска OpenPGP.

Запусти `npm test`, `npm run test:biometrics:ui` и `npm run test:diagnostics:ui`. Испытания на биометрический узел и изолированное испытание на дымомерность **имитационный адаптер OS** для охвата успеха, отклонения/отмены, неверных ключей, недостающего оборудования/инструментов, перезагрузки, временной отключения и поздних результатов, отсутствует Linux ключи, отказ OS в проверке, Windows Утвержденные ПИН ответы, macOS Изменения в охвате, существующая совместимость хранилища, изоляция ИПК и SSH Уборка. Это не позволяет установить успешную аутентификацию оборудования.

Была проведена проверка на предмет соответствия компиляции данных по коренным народам macOS  arm64 и Windows  x64. macOS сообщает, что доступный идентификационный номер доступен; Windows VM сообщает Hello недоступен. Для регистрации Fingerprint/face/PIN, фактического поиска защищенного ключа, отмены диалогов OS и непризнания регистрации-изменения все еще требуется интерактивная аппаратная проверка каждой поддерживаемой системы. Помощник Linux должен дополнительно испытываться на рабочем столе с читателем с прикрытием; безголовый VM не может установить эту проверку.

Справочные материалы Платформы: [Контроль биометрического доступа к Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows Настольный привет](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [Жизненный цикл устройства с отпечатанным шрифтом](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Спецификация секретной службы](https://specifications.freedesktop.org/secret-service/latest/).

## Доступ к локальной сети macOS SSH

Если каждый местный SSH профиль не соответствует `connect EHOSTUNREACH` но то же самое соединение работает в терминале, проверка **Настройка системы : конфиденциальность и безопасность : местная сеть CH-J Server Manager**, разрешите доступ, полностью уйдите из приложения и вновь откройте его. Если вы уже включите, перезагрузите его разрешение и перезапустите. Также проверьте маршрут, Wi-Fi/Ethernet и VPN: ошибка не является доказательством отказа в конфиденциальности. Не перезапускайте хранилище или не отказывайтесь от доверенных отпечатков пальцев SSH за эту ошибку.

В приложении указаны `NSLocalNetworkUsageDescription` и локальные инструкции для разрешения/погрешности в сети macOS. Он не может себе позволить. Apple рекомендует выдаваемое Apple сигнатуру, чтобы macOS могла надежно отслеживать конфиденциальность сети по всему корпусу; нынешние специальные альфа-стройки сохраняют это ограничение. Посмотрите на локальную сеть [Apple наставников для защиты конфиденциальности ](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu значок приложения

Дебианские пакеты устанавливают существующую значок CH-J на стандартном пиктограмме (16–512 px) с совпадающим входом в рабочий стол и классом окна Electron. Главное окно также получает значок при воссоздании. После обновления старой пусковой установки, отстегнуть ее и зафиксировать недавно установленное приложение; выход/заголовок рабочего стола может освежить стержневой кэш ракеты-носителя GNOME.