Vispirms izveido vai atbloķē Vault ar savu galveno paroli. Atvērt Settings → Security, pārbaudiet piegādātāja statusu un ļaujiet biometrisko atbloķēt. Ierakstīšana pieprasa jaunu sistēmas autentifikāciju. Pēc tam pieteikšanās piedāvā Touch ID, Windows Hello vai pirkstu nospiedumu atbloķēt blakus meistarvārdu formu. Disable un noņemt piesaisti noņem šīs programmas kešatmiņu, nekad operētājsistēmas reģistrētos pirkstu nospiedumus.
Saglabāt galveno paroli: anulēšanu, noildzi, nepieejamu aparatūru / keeling un nederīgu reģistrēšanos visiem ir nepieciešama atteikšanās no paroles. Biometriskā reģistrācija ir vietēja šim lietotājam, ierīcei un Vault. Tas nav atgūšanas mehānisms vai dublējums. Atiestatot Vault, tiek atcelta ierakstīšana un dzēsti esošie šifrētie profili un uzņēmēja pirkstu nospiedumi tikai pēc esošās SMAZAT apstiprinājumu.
| Platforma | Autentificēšana un uzglabāšana | Prasības un ierobežojumi |
|---|---|---|
| macOS Apple Silicon | Native LocalAuthentication / Touch ID; Drošības. Pamata Keychain vienība ar biometryCurrentSet kā arī WhenUnlockedThisDeviceOnly |
Ievilkts Touch ID, pieejams sensors un izmantojama pieteikšanās Keychain. Pirkstu nospiedumu izmaiņas padara objektu nederīgu. Izmantojiet stabilu izstrādātāja ID parakstu ražošanas atjauninājumiem; ad hoc alfa paraksts var traucēt Keychain uzticību un lokālā tīkla atļauju izsekošanu. |
| Windows x64 | Native WinRT Windows Hello darbvirsmas interop pievienots galvenajam HWND; pašreizējais lietotājs DPAPI šifrētajai atslēgai Windows Credential pārvaldnieks | Konfigurēt Hello pirkstu nospiedumus, sejā vai PIN. Šī ir ērtības atbloķēšana: Hello apstiprinājumu izpilda lietotne, bet DPAPI pati nav biometriskā gardums. Cits kods darbojas kā tas pats lietotājs var atšifrēt kredentiāls. |
| Ubuntu x64 | Aktuāla lietotāja iesaistītā pirkstu nospiedums, izmantojot fprintd D-Bus; skaidra libSecret / Secret Service credential krātuvi | atbalstīts lasītājs, iekļautie pirkstu nospiedumus, darbvirsmas slepenais pakalpojums un noklusējuma atslēgas. Ērtības atslēgt: taustiņu kredentiāls nav kriptogrāfiski saistīts ar pirkstu nospiedumu pārbaudi. Nav basic_text vai vienkāršu tekstu faila atkāpšanās. |
Ubuntu fakultatīvas darba laika pakotnes ir python3-gi, gir1.2-secret-1 un gnome-keyring (vai cits savietojams Secret Service) un fprintd. Instalēt trūkstošās pakotnes, izmantojot parasto OS pakotņu pārvaldnieku, un pēc tam ievadiet pirkstu nospiedumus OS iestatījumos. Autentificēšana izmanto pašreizējo lietotāju un neprasa root vai mainīt PAM. Bez galvas SSH sesija bez darbvirsmas taustiņošanas ziņojumiem nav pieejama; tā klusi neuzglabā atslēgu citur.
Slēgšanas noteikumi
Esošo iekārtu automātiska bloķēšana ir izslēgta. Iespējot to izvēlas 15 minūtes pēc noklusējuma; atbalstītās vērtības nekad, 1, 5, 10, 15, 30 kā arī 60 minūtes. Klaviatūra un peles ievade lietojumprogrammā logos tiek uzskatīta par darbību; ienākošā SSH izvade nav. Fakultatīva fokusa bloķēšana apstrādā programmas spraudņa logus kā daļu no lietotnes un ļauj uzlabot sistēmas autentificēšanu ātri pabeigt. Mainot šos noteikumus, ir nepieciešama galvenā parole.
Katra Vault slēdzene, ieskaitot neaktivitātes un fokusa bloķēšanu, atslēdz aktīvu SSH sesijas, aizver spraudņus un aptur diagnostika. Saglabāt attālinātos rediģējumus pirms bloķēšanas. Tas saglabā esošo manuālo bloķēšanas uzvedību; neviens SSH akreditācijas paliek pieejams fona spraudņiem pēc slēdzenes.
Neobligātā sensitīvas darbības politika pieprasa jaunu sistēmas autentificēšanu profila dzēšanai, spraudņa uzstādīšanai/izdzēstajam, instalēšanas palaišanai un atslēgtās Vault atjaunošanai. Attālinātās termināla komandas un spraudņa failu rediģēšanas ir ārpus šīs politikas. Šī politika neaizstāj SSH servera atļauju. Ja pakalpojumu sniedzējs pārtrauc strādāt, atbloķējiet ar galveno paroli un mainiet politiku, izmantojot šo paroli. Atiestatīšana paliek pieejama no aizslēgtā atveseļošanās ekrāna pēc tā destruktīva apstiprinājuma.
Vault un IPC konstrukcija
Esošā v1 Vault joprojām ir AES-256-GCM ar scrypt; ierakstīšana nepārraksta savus failus un nemaina to shēmu. Tikai tā kopija atvasināti 32- baitu atslēga iet uz OS kredentu glabāšanu. Vienkāršo tekstu galvenā parole nekad netiek saglabāta. Vietējās reģistrācijas metadati satur izlases veida kredenciālo ID, nodrošinātāju un SHA-256 saistošo informāciju ar Vault nekustīgajiem metadatiem. Atgūtajai atslēgai pirms sesijas atvēršanas jāiziet autentificēta atšifrēšana. Galvenā procesa buferi tiek iztīrīti pēc izmantošanas; dzimtās protokola virknes ir pārejoša procesa atmiņa, nevis pilnīgas atmiņas dzēšanas prasība pārvaldītajos dzēšanas laikos.
Palīdzētājs sazinās, izmantojot ierobežoto privāto stdin/stdout caurules, nepieņem čaulas komandas, ir autentifikācijas laiki un atgriež sanitizētos kļūdu kodus. Palīdzības saņēmēji ir iepakoti ārpus ASAR in resources/biometrics; tie ir autonoms dzimtā izpildvaras, tāpēc nav Electron ABI dzimtais modulis ir nepieciešams. Linux palīgs izmanto Python un GI sistēmu. Atvasinātie objekti un taustiņi nekad nešķērso attēlotāju/plugin tiltu. Biometriskā IPC validē dzīvo galveno logu un tā galveno rāmi; spraudņi to nevar izmantot. Skaidra bloķēšana anulē līdz brīdim, kad tiek atbloķēts biometrisks un paroles darbs, tāpēc vēlu apstiprinājums nevar atsākt Vault. Ieslēgšanas atcelšana atceļ tā vietējo saistīšanu pat tad, ja OS veikals ir bezsaistē; nepieejams veikals var saglabāt nelietojamu bāreņa kredentu.
Būvēšana un verifikācija
npm run biometrics:build sagatavo datora platformas palīgu; izstrāde sāk un izlaide sagatavošana atsaukties uz to automātiski. macOS nepieciešams Swift / Apple SDK ar drošību un lokāloAutentifikācija; Windows prasa Visual Studio C++ Build Tools, Windows SDK un C++/WinRT; Linux kopijas Python palīgs. Jaunas atkarības no npm netiek pievienotas. Veidot dzimti uz katra mērķa OS. macOS palīgs ir iekļauts rekursīvajā saišu parakstīšanā, tam nav vajadzīga App Sandbox tiesības, jo šī darbvirsmas programma nav smilšu kaste. Ražošana macOS Izplatīšana joprojām prasa izstrādātāja ID parakstīšanu un notarializāciju, neatkarīgi no OpenPGP izziņot parakstus.
Palaist npm test, npm run test:biometrics:ui un npm run test:diagnostics:ui. Biometrisko nokrāsu testi un izolētais UI dūmainības tests a OS adapteris lai segtu panākumus, noraidīšanu/anulēšanu, nepareizus taustiņus, trūkstošo aparatūru/iestatījumu, atiestatīšanas laiku un novēlotos rezultātus, nav pieejami Linux keyrings, OS kredenciālas neveiksmes, Windows PIN apstiprinātas atbildes, macOS Ierakstīšanas izmaiņas, esošā Vault saderība, IPC izolācija un SSH tīrīšana. Tas nenosaka veiksmīgu aparatūras autentificēšanu.
Tika pārbaudīta nacionālā apkopošana. macOS arm64 kā arī Windows x64. macOS ziņo par pieejamo Touch ID; Windows VM ziņojumu Hello nav pieejams. Pirkstuprint/face/PIN uzņemšana, faktiska aizsargāto taustiņu piesaistīšana, OS dialoga anulēšana un pieslēgšanās-izmaiņu atzīšana par spēkā neesošām joprojām prasa interaktīvas aparatūras testēšanu katrai atbalstītajai sistēmai. Linux"palīglīdzeklis papildus jātestē uz darbvirsmas ar atbalstītu fprintd lasītāju; bez galvas VM nevar noteikt šo pārbaudi.
Platformas atsauces: Apple biometriskās piekļuves kontrole, Windows darbvirsmas Hello interop, fprintētas ierīces dzīves cikls, Secret Service.
macOS SSH piekļuve vietējam tīklam
Ja katrs vietējais SSH profils nedarbojas ar connect EHOSTUNREACH, bet tāds pats savienojums darbojas Terminālā, pārbaudiet System Iestatījumi → Privacy & Security → Local Network → CH-J Server Manager, ļaujiet piekļūt, pilnībā iziet no aplikācijas un atvērt to. Ja jau ieslēgts, pārslēdziet savu atļauju un atsākiet darbību. Tāpat pārbaudiet maršrutēšanu, Wi-Fi/Ethernet un VPN: kļūda vien nav pierādījums privātuma noliegumam. Neiestatīt mapi vai neizmest uzticamu SSH pirkstu nospiedumi par šo kļūdu.
Aplikācija deklarē NSLocalNetworkUsageDescription un nodrošina lokalizētas norādes par macOS tīkla atļauju/maršruta kļūdām. Tā nevar piešķirt sev atļauju. Apple iesaka Apple izsniegtā parakstīšanas identitāte, lai macOS var sekot tīkla privātumu ticami pāri ēkām; pašreizējais ad hoc alfa būvē saglabā šo ierobežojumu. Skatīt Apple lokālā tīkla privātuma vadlīnijas.
Ubuntu programmas ikona
Debian pakotnes instalēt esošo CH-J ikona standarta hicolor izmēros (16–512 px), ar atbilstošu darbvirsmas ierakstu un Electron loga klase. Galvenais logs saņem arī ikonu, kad tiek atjaunota. Pēc jau piestiprinātās vecās palaišanas, atvienojiet to un piestipriniet jaunizveidoto programmu. Darbvirsmas pieteikšanās/login var atsvaidzināt iztukšoto GNOME palaišanas kešatmiņu.