> Den här översättningen granskas språkligt. Jämför otydliga avsnitt med det [engelska originalet](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Valfri systemautentisering och valvlåsning

Skapa eller låsa upp valvet med dess huvudlösenord först. Öppna **Inställningar → Security**, kontrollera leverantörens status och aktivera biometriskt upplåsning. Anmälning begär ny systemautentisering. Efteråt erbjuder inloggningen overlay Touch ID, Windows Hej eller fingeravtryck låsa upp tillsammans med master-lösenord form. ** Inaktivera och ta bort inskrivning** tar bort programmets cached-nyckel, aldrig operativsystemets registrerade fingeravtryck.

Behåll huvudlösenordet: avbokning, timeout, otillgänglig hårdvara/tangentring och ogiltiga inskrivning kräver alla lösenord reserv. Biometriska inskrivning är lokal för denna användare, enhet och valv. Det är inte en återhämtningsmekanism eller en backup. Återställning av Vault återkallar inskrivning och tar bort befintliga krypterade profiler och värdfingeravtryck först efter den befintliga `SMAZAT`-bekräftelsen.

| Plattform | Autentisering och lagring | Krav och begränsningar |
| --- | --- | --- |
|  macOS  Apple Silicon  | Native LocalAuthentication / Touch ID; Security.framework Keychain objekt med `biometryCurrentSet` och `WhenUnlockedThisDeviceOnly`  | Enrolled Touch ID, tillgänglig sensor och en användbar inloggning Keychain. Fingeravtrycksändringar ogiltigförklarar posten. Använd stabil Developer ID-signering för produktionsuppdateringar; ad hoc alfa signering kan störa Keychain förtroende och lokala nätverk behörighetsspårning. |
|  Windows  x64  | Inhemsk WinRT Windows Hej skrivbordsinterop ansluten till huvud HWND; nuvarande användare DPAPI krypterad nyckel i Windows Kreditansvarig | Anpassat Hello fingeravtryck, ansikte **eller PIN-kod**. Detta är bekvämlighet upplåsning: Hej godkännande upprätthålls av appen, medan DPAPI själv inte biometriska gated. Annan kod som körs som samma användare kan dekryptera referensen. |
| Ubuntu x64Z | Nuvarande användares inskrivna fingeravtryck genom fprintd D-Bus; explicit libsecret / Secret Service credential lagring | Stödd läsare, inskrivna fingeravtryck, kör skrivbord Secret Service och standard nyckelring. Upplåsning av bekvämlighet: nyckelringsreferensen är inte kryptografiskt bunden till verifiering av fingeravtryck. Ingen `basic_text` eller enkeltextfils fallback. |

På Ubuntu de valfria körtidspaketen är `python3-gi`, `gir1.2-secret-1`, `gnome-keyring` (eller en annan kompatibel Secret Service) och `fprintd`. Installera saknade paket med hjälp av den normala OS-pakethanteraren och skriv sedan in ett fingeravtryck i OS-inställningar. Behörighetskontroll använder den nuvarande användaren och kräver inte root eller ändra PAM. En huvudlös SSH-session utan rapporter om en skrivbordsnyckel finns inte tillgänglig; den lagrar inte tyst en nyckel någon annanstans.

## Låsningsregler

Automatisk låsning är avstängd för befintliga installationer. Aktiverar den väljer **15 minuter** Som standard; värden som stöds är Aldrig, 1, 5, 10, 15, 30 och 60 minuter. Tangentbord och musinmatning i programfönster räknas som aktivitet; inkommande SSH-utgång gör inte det. Valfri fokuslåsning behandlar programmets plugin-fönster som en del av appen och tillåter en i-progress systemautentiseringsfråga för att avsluta. För att ändra dessa regler krävs huvudlösenordet.

**Varje Vault-lås, inklusive inaktivitet och fokuslåsning, kopplar från aktiva SSH-sessioner, stänger plugins och stoppar diagnostik.** Spara fjärrredigeringar innan du låser. Detta bevarar det befintliga manuella låsbeteendet; inga SSH-koder förblir tillgängliga för bakgrundsinsticksprogram efter ett lås.

Den valfria policyn för känslig drift kräver ny systemautentisering för profilradering, installation/urval av insticksprogram, lansering och återställning av en olåst Vault. Fjärrterminalkommandon och filredigeringar för insticksprogram ligger utanför denna policy. Policyn ersätter inte SSH serverbehörighet. Om leverantören slutar arbeta, lås upp med huvudlösenordet och ändra policyn med det lösenordet. Återställning är fortfarande tillgänglig från den låsta återhämtningsskärmen efter dess destruktiva bekräftelse.

## Vault- och IPC-design

Den befintliga v1 Vault förblir AES-256-GCM med kryptering; inskrivningen skriver inte om sina filer eller ändrar dess schema. Endast en kopia av dess **härledd 32- Byt nyckel** går till OS-medium. Huvudlösenordet för klartext sparas aldrig. Lokala inskrivningsmetadata innehåller slumpvis förtroende-ID, leverantör och en SHA-256 bindning till Vaults oföränderliga metadata. En återvunnen nyckel måste passera autentiserad dekryptering innan en session öppnas. Huvudprocessbuffertar rensas efter användning; infödda protokollsträngar är övergående processminne, inte ett anspråk på fullständig minnesradering i hanterade körtider.

Hjälparen kommunicerar genom avgränsade privata stdin/stdout rör, accepterar inga skalkommandon, har autentisering timeouts och returnerar renodlade felkoder. Hjälpare är förpackade utanför ASAR i `resources/biometrics`; de är fristående inhemska körbara, så ingen Electron ABI infödda modul krävs. Linux-hjälparen använder system Python och GI. Inhemska objekt och härledda tangenter korsar aldrig render/pluginbron. Biometriska IPC validerar det levande huvudfönstret och dess huvudsakliga ram; plugins kan inte åberopa det. Explicit låsning annullerar väntande biometriska och lösenord låsa upp arbete så sent godkännande inte kan öppna valvet. Att ta bort inskrivning återkallar dess lokala bindning även om OS-butiken är offline; en oåtkomlig butik kan behålla en oanvändbar övergiven credential.

## Bygga och verifiera

`npm run biometrics:build` förbereder värdplattformshjälparen; utvecklingsstart och utgivningsförberedelse åberopar den automatiskt. macOS kräver Swift/Apple SDK med säkerhet och LocalAutentication; Windows behöver Visual Studio C++ Build Tools, Windows SDK och C++/WinRT; Linux kopierar Python-hjälpmedlet. Inga nya npm-beroenden läggs till. Bygga inpå varje mål OS. macOS-hjälparen ingår i rekursiv buntsignering; den behöver ingen App Sandbox behörighet eftersom denna skrivbordsapp inte är sandlåda. Produktion macOS distribution fortfarande kräver Developer ID signering och notarization, oberoende av OpenPGP utgåvor.

Kör `npm test`, `npm run test:biometrics:ui` och `npm run test:diagnostics:ui`. Biometriska nodtester och isolerade UI röktest använder en **mock OS-adapter** för att täcka framgång, avvisande/avstängning, fel nycklar, saknad hårdvara/inspelning, återställning, timeout och sena resultat, otillgängliga Linux nyckelringar, OS-referensfel, Windows PIN-godkända svar. macOS Inskrivningsändringar, befintlig Vault-kompatibilitet, IPC-isolering och SSH Städa upp. Det här skapar inte framgångsrik hårdvaruautentisering.

Inhemsk sammanställning verifierades på macOS arm64 och WindowsZ x64. macOS rapporterar Touch-ID tillgängligt; Windows VM-rapporter Hej otillgängliga. Fingerprint/face/PIN inskrivning, faktisk hämtning av skyddade nycklar, annullering av OS-dialogrutan och inskrivningsändringsinvalidering kräver fortfarande interaktiv hårdvarutestning på varje system som stöds. Linux hjälpare måste dessutom testas på ett skrivbord med en stödd fprintad läsare; en huvudlös VM kan inte fastställa att verifiering.

Plattformsreferenser: [Apples biometriska åtkomstkontroll](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows diskbord Hej- interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [Fprintad anordnings livscykel](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specifikationer för Secret Service](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH lokal nätverksåtkomst

Om varje lokal SSH-profil misslyckas med `connect EHOSTUNREACH` men samma anslutning fungerar i Terminal, kontrollera **Systeminställningar → Sekretess och säkerhet → lokalt nätverk → CH-J Server Manager**, tillåta åtkomst, helt avsluta appen och öppna den. Om den redan är aktiverad, växla dess behörighet och starta om. Kontrollera även routing, Wi-Fi/Ethernet och VPN: felet är inte ett bevis på en integritetsförnekelse. Återställ inte Vault eller kassera tillförlitliga SSH fingeravtryck för detta fel.

Appen förklarar `NSLocalNetworkUsageDescription` och levererar lokaliserad vägledning för macOS nätverksbehörighet / ruttfel. Den kan inte ge sig själv tillåtelse. Apple rekommenderar en Apple-utgiven signeringsidentitet så att macOS kan spåra nätverksintegritet på ett tillförlitligt sätt över byggen. Se [Apples integritetsguide för det lokala nätverket](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Programikonen Ubuntu

Debianpaket installerar den befintliga CH-J-ikonen i standardstorlekar (16–512 px), med en matchande skrivbordspost och Electron fönsterklass. Huvudfönstret får också ikonen när den återskapas. Efter att ha uppdaterat en redan fastsatt gammal bärraket, ta bort den och fäst det nyinstallerade programmet; en skrivbordsloggning/login kan uppdatera en gammal GNOME-lanseringscache.