> Jazyková revízia tohto prekladu prebieha. Pri nejasnostiach porovnajte [anglický originál](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Voliteľné overenie systému a zamykanie vaultu

Vytvoriť alebo odomknúť Vault s jeho hlavným heslom prvý. Otvorte **Settings → Security**, skontrolujte stav poskytovateľa a povoľte biometrické odomykanie. Zápis požaduje novú autentifikáciu systému. Potom prihlasovacie prekrytie ponúka Touch ID, Windows Hello alebo odomknúť odtlačky prstov vedľa master-heslo formulár. **Disable a odstrániť zápis** odstráni túto aplikáciu scheched kľúč, nikdy operačný systém je registrovaný odtlačky prstov.

Udržujte hlavné heslo: zrušenie, časový limit, nedostupný hardvér/kľúčové a neplatné zápis všetko vyžaduje vrátenie hesla. Biometrický zápis je lokálny pre tohto používateľa, zariadenie a Vault. Nie je to mechanizmus obnovy ani záloha. Opätovné nastavenie vaultu zruší zápis a odstráni existujúce šifrované profily a odtlačky prstov hostiteľa až po potvrdení `SMAZAT`.

Platforma | | Authentication and storage | Požiadavky a limity |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Security.framework Keychain položka s `biometryCurrentSet` a `WhenUnlockedThisDeviceOnly`  | Prevrátené Touch ID, dostupný senzor a použiteľný login Keychain. Odtlačok prsta zmení platnosť položky. Použiť stabilný Developer ID podpis pre aktualizácie výroby; ad hoc alfa podpis môže narušiť Keychain dôveru a miestne-sieťové sledovanie povolení. |
|  Windows  x64  | Native WinRT Windows Hello desktop interop pripojený k hlavnému HWND; aktuálne-užívateľ DPAPI šifrovaný kľúč v Windows Správca kreditov | Konfigurovaný odtlačok prsta Hello, tvár **alebo PIN**. Toto je pohodlie odomknutie: Ahoj schválenie je presadzované aplikáciou, zatiaľ čo samotný DPAPI nie je biometricky ated. Iný kód bežiaci ako ten istý používateľ môže dešifrovať vierohodné. |
|  Ubuntu  x64  | Aktuálny používateľ je zapísaný odtlačok prsta prostredníctvom fprinted D- Bus; explicitné libsecret / Secret Service dôveryhodné skladovanie | Podporovaný čítač, zadaný odtlačok prsta, spustenie desktop Secret Service a predvolený kľúč. Odomknutie pohodlia: keyring credential nie je kryptograficky viazaný na overenie odtlačkov prstov. Žiadne `basic_text` alebo plaintext-file fallback. |

Na Ubuntu voliteľné runtime balíky sú `python3-gi`, `gir1.2-secret-1` a `gnome-keyring` (alebo iné kompatibilné tajné služby) a `fprintd`. Nainštalujte chýbajúce balíčky pomocou normálneho správcu balíkov OS a potom zaregistrujte odtlačky prstov v nastavení OS. Autentifikácia používa aktuálneho užívateľa a nevyžaduje koreň alebo zmenu PAM. Bezhlavé sedenie SSH bez správ o stolných klávesoch nie je dostupné; nepotichu neukladá kľúč inde.

## Pravidlá blokovania

Automatické zamykanie je vypnuté pre existujúce inštalácie. Umožnenie výberu **15 minúty** štandardne; podporované hodnoty sú nikdy, 1, 5, 10, 15, 30 a 60 minút. Vstup do klávesnice a myši v aplikačných oknách sa počíta ako aktivita; vstup SSH nie je. Voliteľné uzamykanie zaostrenia pristupuje k pluginovým oknám aplikácie ako k súčasti aplikácie a umožňuje rýchle dokončenie systému. Zmena týchto pravidiel vyžaduje hlavné heslo.

**Every Vault lock, vrátane nečinnosti a zaostrenia, odpojí aktívne SSH sedenia, uzavrie moduly a zastaví diagnostiku.** Uložiť diaľkové úpravy pred zamykaním. To zachováva existujúce manuálne-lock správanie; žiadne SSH poverenia zostávajú k dispozícii pre pozadí pluginy po zámku.

Politika voliteľnej citlivej prevádzky vyžaduje novú autentifikáciu systému pre vymazanie profilu, inštaláciu/odstránenie pluginu, spustenie inštalátora a obnovenie odomknutého vaultu. Vzdialené príkazy terminálu a úpravy súborov pluginu sú mimo tejto politiky. Táto politika nenahrádza autorizáciu servera SSH. Ak poskytovateľ prestane pracovať, odomknite heslom a zmeňte politiku pomocou tohto hesla. Resetovať zostáva k dispozícii z uzamknutej obrazovky obnovy po jej deštruktívnom potvrdení.

## Vault a IPC dizajn

Existujúca v1 Vault zostáva AES-256-GCM scrypt; zápis neprepisuje svoje súbory ani nemení svoju schému. Iba kópia jeho ** derivovaný 32-byte kľúč** ide do OS cenného úložiska. Heslo jednoduchého textu nie je nikdy uložené. Metaúdaje o miestnom zápise obsahujú náhodné identifikačné údaje, identifikátory, poskytovateľa a spojenie SHA-256 s nemeniteľnými metadátami Vaultu. Obnovený kľúč musí prejsť overeným dešifrovaním pred otvorením sedenia. Po použití sa odstránia hlavní procesní pufre; natívne reťazce protokolu sú prechodná procesná pamäť, nie nárok na úplné vymazanie pamäte v riadených runtime.

Pomocník komunikuje cez ohraničené súkromné stdin / sddout potrubia, akceptuje žiadne príkazy shell, má autentifikačné timeouty a vracia vyrovnané chybové kódy. Pomocníci sú zabalení mimo ASAR v `resources/biometrics`; sú to samotní natívne spustiteľní, takže nie je potrebný žiadny natívny modul Electron ABI. Pomocník Linux používa systém Python a GI. Natívny objekt a odvodené kľúče nikdy neprejdú skrz kresbár/plugin most. Biometrická IPC validuje hlavné okno a jeho hlavný rám; pluginy ho nemôžu vyvolať. Explicitné zamykanie zruší kým nebude práca odomknutá biometricky a heslom, takže neskoré schválenie nemôže znovu otvoriť vault. Odstránenie zápisu ruší jeho miestnu väzbu, aj keď je obchod s OS offline; nedostupný obchod si môže zachovať nepoužiteľnú sirotinecnosť.

## Vybudovať a overiť

`npm run biometrics:build` pripravuje pomocníka pre hostiteľskú platformu; príprava na vývoj a uvoľnenie sa automaticky odvoláva. macOS vyžaduje Swift / Apple SDK s bezpečnosťou a lokálnou autentifikáciou; Windows požaduje Vizuálne štúdio C++ Stavať nástroje, Windows SDK a C++/WinRT; Linux skopíruje Python pomocníka. Pridávajú sa žiadne nové npm závislosti. Stavať domorode na každom cieli OS. Pomocník macOS je zahrnutý do rekurzívneho podpisu zväzku; nepotrebuje nárok na App Sandbox, pretože táto desktopová aplikácia nie je pieskovaná. Výroba Distribúcia macOS stále vyžaduje podpisovanie a notarizáciu ID vývojára, nezávisle od podpisov OpenPGP na vydanie.

Spustiť `npm test`, `npm run test:biometrics:ui` a `npm run test:diagnostics:ui`. Biometrické testy uzla a izolovaný test s dymom UI používajú adaptér OS **mock ** na pokrytie úspešnosti, odmietnutia/zrušenia, chybných kľúčov, chýbajúceho hardvéru/vylepšenia, resetu, časového limitu a neskorých výsledkov, nedostupné klávesnice Linux, zlyhania OS credential, odpovede schválené Windows PIN, zmeny v zápise macOS a existujúca kompatibilita s Vaultom, izolácia IPC a čistenie SSH. Tým sa nezavádza úspešná autentifikácia hardvéru.

Pôvodná kompilácia bola overená macOS  arm64 a Windows  x64. macOS hlási Touch ID k dispozícii; Windows VM správy Hello nedostupné. Fingerprint/face/PIN zápis, aktuálne chránené-key recovery, OS zrušenie dialógu a zmena zápisu validácia stále vyžaduje interaktívne hardvérové testovanie na každom podporovanom systéme. Pomocník Linux musí byť dodatočne testovaný na ploche s podporovaným čítačkou fprintd; bezhlavý VM nemôže potvrdiť toto overenie.

Odkazy na platformu: [Kontrola Apple biometrického prístupu](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows plocha Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprintovaný životný cyklus zariadenia](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Špecifikácia tajnej služby](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH prístup k lokálnej sieti

Ak každý miestny profil SSH zlyhá so systémom `connect EHOSTUNREACH`, ale rovnaké spojenie funguje v Terminále, skontrolujte nastavenia systému **System → Ochrana súkromia a bezpečnosti → Lokálna sieť → CH-J Server Manager** umožňuje prístup, úplne opustí aplikáciu a znovu ju otvorí. Ak je už povolené, prepnite jeho povolenie a reštartujte. Tiež skontrolujte smerovanie, Wi-Fi/Ethernet a VPN: samotná chyba nie je dôkazom odmietnutia ochrany súkromia. Pre túto chybu nezresetujte Vault ani neodhadzujte dôveryhodné odtlačky prstov SSH.

Aplikácia vyhlasuje `NSLocalNetworkUsageDescription` a poskytuje lokalizované usmernenia pre macOS sieťové povolenie/chyby trasy. Nemôže si to dovoliť. Apple odporúča Apple vydané podpisovej identity, takže macOS môže sledovať súkromie siete spoľahlivo cez budovy; aktuálne ad hoc alfa stavia zachovať toto obmedzenie. Pozri pokyny na ochranu osobných údajov spoločnosti [Apple v lokálnej sieti](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ikona aplikácie Ubuntu

Balíčky Debianu nainštalujú existujúcu ikonu CH-J pri štandardných veľkostiach hicolor (16–512 px) so zodpovedajúcou položkou plochy a triedou okna Electron. Hlavné okno tiež dostane ikonu pri znovuvytvorení. Po aktualizácii už prišpendovaný starý štartér, roztočte ho a pin novo nainštalovanú aplikáciu; odhlásenie/login desktop môže obnoviť stale GNOME launcher cache.