Prvo kreirajte ili otključajte trezor s glavnom lozinkom. Otvori Postavke → Sigurnost, provjeri status pružatelja usluga i omogući biometrički otključavanje. Upis zahtjeva svježu provjeru sustava. Nakon toga prijava nudi Touch ID, Windows Hello ili otisak prsta otključajte uz master-password oblik. Isključi i ukloni upis uklanja ključ ovog programa, nikada nisu registrirani otisci prstiju operativnog sustava.
Zadrži master lozinku: otkazivanje, timeout, nedostupno hardver / tipkanje i neispravno upisivanje sve zahtijevaju zamjenu lozinku. Biometričko upisivanje je lokalno za ovog korisnika, uređaja i Vault. To nije mehanizam oporavljanja ili pojačanje. Resetiranje Vault-a povlači upis i briše postojeće kriptirane profile i otiske otisaka računala samo nakon postojećeg SMAZAT Potvrda.
| Platforma | Ovjera i pohrana | Zahtjevi i ograničenja |
|---|---|---|
| macOS Apple Silicon | Nazivna lokalna autentičnost / Touch ID; Sigurnost. Framework Keychain stavka s biometryCurrentSet Sluči WhenUnlockedThisDeviceOnly |
Upisani Touch ID, dostupan senzor i upotrebljiv login Keychain. Promjene otisaka prsta nevažeće. Koristite stabilan ID programera za nadogradnju proizvodnje; ad hoc alfa potpisivanje može poremetiti povjerenje Keychain i lokalnu mrežu praćenje dozvole. |
| Windows x64 | Domaći WinRT Windows Hello interop radne površine prikačen na glavni HWND; trenutni-korisnik DPAPI šifrirani ključ u Windows Credential Manager | Podešen Hello otisak prsta, lice ili PIN. Ovo je pogodno otključavanje: Halo odobrenje je provodi aplikacija, dok sam DPAPI nije biometrično zatvoren. Drugi kod koji radi kao isti korisnik može dešifrirati uvjerenje. |
| Ubuntu x64 | Trenutni korisnik je upisan otisak prsta kroz fprintd D-Bus; izričito libsecret / Secret Service uvjerljiva pohrana | Podržan čitatelj, uključeni otisak prsta, pokretanje radne površine Tajna usluga i zadani privjesak. Pogodnost otključavanje: ključni ring kredencial nije kriptografski vezano za provjeru otisaka prstiju. Ne. basic_text ili tip-datoteka za izmjene. |
Uključen Ubuntu opcionalni paketi radnog vremena su python3-gi, gir1.2-secret-1, gnome-keyring (ili još jedna kompatibilna Secret Service) i fprintd. Instalirajte nedostajuće pakete koristeći normalni OS upravitelj paketima, zatim upisati otisak prsta u OS postavke. Autentificiranje koristi trenutni korisnik i ne zahtijeva root ili promjenu PAM-a. Bezglava SSH sesija bez privjeska radne površine nije dostupna; ne tiho čuva ključ drugdje.
Pravila zaključavanja
Automatsko zaključavanje je isključeno za postojeće instalacije. Omogućavanje odabira 15 minuta uobičajeno; podržane vrijednosti su Nikada, 1, 5, 10, 15, 30 Sluči 60 Minuta. Unos tipkovnice i miša u prozorima programa se računa kao aktivnost; dolazeći SSH izlaz ne. Opcionalno zaključavanje fokusa tretira prozore dodatka aplikacije kao dio aplikacije i omogućava završetak provjere sustava. Za promjenu ovih pravila potrebna je glavna lozinka.
Svaka brava padova, uključujući neaktivnost i zaključavanje fokusa, prekida aktivnu vezu SSH sesije, zatvara priključke i zaustavlja dijagnostiku. Spremi udaljene uređaje prije zaključavanja. Ovo čuva postojeće ponašanje ručnog zaključavanja; nijedan SSH uvjerenja nije dostupan pozadinskim dodatcima nakon zaključavanja.
Opcionalna politika osjetljivosti na suradnju zahtijeva svježu autentičnost sustava za brisanje profila, instaliranje/odmještanje plugina, pokretanje instalatora i resetiranje otključanog Vaulta. Udaljeni terminalske naredbe i priključak datoteke uređaji su izvan ove politike. Politika ne zamjenjuje SSH Ovlaštenje servera. Ako pružatelj usluga prestane raditi, otključajte s glavnom lozinkom i promijenite pravilo korištenjem te lozinke. Reset ostaje dostupan sa zaključanog zaslona za oporavak nakon njegove destruktivne potvrde.
Dizajn Vault i IPC-a
Postojeći V1 Vault ostaje AES-256-GCM sa scrypt; upis ne prepravlja svoje datoteke ili mijenja shemu. Samo kopija derived 32- bajtni ključ ide u OS kredentijsko skladište. Obična lozinka nije pohranjena. Lokalni upis metapodataka sadrži slučajni ID uvjerenja, pružatelj i SHA-256 vezanje na Nepromjenjive metapodatke Vault-a. Ključ mora proći autentičan dešifriranje prije otvaranja sesije. Glavni proces se čisti nakon upotrebe; izvorni protokol stringovi su prolazna procesna memorija, a ne tvrdnja o potpunom brisanju memorije u upravljanim runtimes.
Pomoćnik komunicira kroz ograničene privatne stdin/stdout cijevi, ne prihvaća naredbe ljuske, ima vremenska ograničenja za autorizaciju i vraća dezinfekirane kodove grešaka. Pomoćnici su pakirani izvan ASAR-a resources/biometrics; oni su samostalni domorodni izvršni programi, tako da ne Electron Potreban je ABI modul. Ćelija Linux Pomoćnik koristi sustav Python i GI. Urođeni objekti i dobiveni ključevi nikada ne prelaze freaker/plugin most. Biometrični IPC ovlašćuje glavni prozor uživo i njegov glavni okvir; priključci ga ne mogu pokrenuti. Eksplicitno zaključavanje otkazuje čekajući biometriju i lozinku otključavanje rada tako kasno odobrenje ne može ponovno otvoriti Vault. Uklanjanje upisa povlači lokalnu vezu čak i ako je trgovina offline; nedostupna trgovina može zadržati neupotrebljivo siroče uvjerenje.
Izgradnja i provjera
npm run biometrics:build priprema pomoćnika domaćina platforma; razvojni početak i priprema za oslobađanje ga aktiviraju automatski. macOS zahtjeva Swift/Apple SDK s sigurnošću i lokalnom autentičnost; Windows zahtijeva Visual Studio C++ Alati za izgradnju, Windows SDK i C++/WinRT; Linux Kopiraj Python pomoćnika. Ne dodaju se nove ovisnosti za mrežu. Izgradite na svakoj meti OS. Ćelija macOS pomoćnik je uključen u rekurzivno potpisivanje snopa; ne treba App Sandbox prava jer ova aplikacija za radnu površinu nije u zaštićenoj kutiji. Proizvodnja macOS distribucija još uvijek zahtijeva razvoj ID potpisivanja i notarizacije, neovisno o OpenPGP potpisi za izdavanje.
Pokreni npm test, npm run test:biometrics:ui Sluči npm run test:diagnostics:ui. Biometrični testovi čvora i izolirani test dima u UI-u koriste se ružno OS adapter za pokrivanje uspjeha, odbacivanje/otkazivanje, pogrešne tipke, nedostaje hardver/prijava, reset, timeout i kasni rezultati, nedostupan Linux Privjesci, OS neuspjeh vjerodostojnosti, Windows Odgovori odobreni PIN-om, macOS Promjene upisa, postojeća kompatibilnost s trezorom, izolacija IPC-a i SSH Čišćenje. Ovo ne uspostavlja uspješnu hardversku autentičnost.
Domorodna kompilacija je provjerena na macOS arm64 Sluči Windows x64. macOS izvještava da je Touch ID dostupan; Windows VM izvještaje Pozdrav nedostupan. Otisci prsta/face/PIN upis, stvarni zaštićeni-ključ retriveral, OS poništavanje dijaloga i promjena upisa još uvijek zahtijeva interaktivno hardversko testiranje na svakom podržanom sustavu. Pomoćnik Linux-a mora se dodatno testirati na radnoj površini s podržanim fprintd čitačem; bezglavi VM ne može utvrditi tu provjeru.
Referenca platforme: Kontrola biometrijskog pristupa Apple, Windows radna površina Hello interop, fprinted životni ciklus uređaja, Secret Service.
macOS SSH Pristup lokalnim mrežama
Ako je svako lokalno SSH profil neuspjeh s connect EHOSTUNREACH ali ista veza radi u terminalu, provjerite Sustavske postavke → Privatnost i sigurnost → Lokalna mreža → CH-J Server Manager, dopustiti pristup, potpuno napustiti aplikaciju i ponovo otvoriti. Ako je već omogućeno, uključite njegovu dozvolu i ponovo pokrenite. Također provjeriti ruting, Wi-Fi/Ethernet i VPN: samo pogreška nije dokaz poricanja privatnosti. Nemojte resetirati trezor ili odbaciti pouzdane SSH otiske prstiju zbog ove greške.
Aplikacija prijavljuje NSLocalNetworkUsageDescription i zalihe lokalizirane smjernice za macOS mrežne dozvole/rute greške. Ne može sebi dati dopuštenje. Apple preporučuje potpisni identitet izdanog Appleom. macOS može pouzdano pratiti privatnost mreže kroz gradnje; trenutačne ad hoc alpha izgradnje zadržavaju to ograničenje. Vidi. Smjernice za privatnost lokalne mreže Applea.
Ubuntu ikona aplikacije
Debian paketi instaliraju postojeće CH-J ikona u standardnim hicolor veličinama (16–512 px), s odgovarajućim unosom radne površine i Electron Tečaj prozora. Glavni prozor također prima ikonu kada se ponovo napravi. Nakon ažuriranja već pričvršćenog starog pokretača, otkopčajte ga i pritisnite novoinstalirani program; odjavljivanje/login radne površine može osvježiti zastarjeli GNOME pokretač.