> Jazyková revize tohoto překladu probíhá. Při nejasnostech porovnejte [anglický originál](https://www.sm.ch-j.eu/docs/i18n/en/biometric-unlock.md).

# Volitelné ověření systému a zamykání trezoru

Vytvořit nebo odemknout trezor s hlavním heslem jako první. Otevřít **Settings → Security**, zkontrolovat stav poskytovatele a povolit biometrické odemknutí. Zápis vyžaduje nové ověření systému. Poté se přihlašovací přehraje nabídka Touch ID, Windows Hello nebo otisk prstu odemknout vedle master-heslo formuláře. **Disable a odstranit zápis** odstraní klíč s cache aplikace, nikdy zaregistrované otisky prstů operačního systému.

Udržujte hlavní heslo: zrušení, timeout, nedostupný hardware/klíč a neplatný zápis vše vyžaduje vrácení hesla. Biometrický zápis je lokální pro uživatele, zařízení a trezor. Nejedná se o mechanismus obnovy nebo zálohu. Resetování Vaultu zruší zápis a vymaže existující zašifrované profily a otisky prstů hostitelů až po potvrzení `SMAZAT`.

| Platforma | Ověření a ukládání | Požadavky a limity |
| --- | --- | --- |
|  macOS  Apple Silicon  | Nativní lokálníAutentifikace / dotykové ID; Bezpečnostní.rámec Keychain položka s `biometryCurrentSet` a `WhenUnlockedThisDeviceOnly`  | Zapojený dotykový ID, dostupný senzor a použitelný login Keychain. Změny otisku prstu neplatnou položku. Použijte stabilní podepisování ID vývojáře pro aktualizace výroby; podepisování ad hoc alfa může narušit důvěru Keychain a sledování oprávnění místní sítě. |
|  Windows  x64  | Původní WinRT Windows Hello desktop interop připojen k hlavní HWND; aktuální-uživatel DPAPI šifrovaný klíč v Windows Credential Manager | Nastavit Hello otisk, tvář **nebo PIN**. Toto je komfortní odemknutí: Hello schválení je vymáháno aplikací, zatímco DPAPI samo o sobě není biometrické bráně. Jiný kód běžící jako stejný uživatel může dešifrovat potvrzení. |
| Ubuntu x64Z | Otisk prstu zadaný současným uživatelem přes Fprintd D-Bus; explicitní úložiště tajných služeb | Podporované čtení, zapsaný otisk prstu, spuštěný desktop Secret Service a výchozí klíč. Pohodlí odemknout: klíčem je potvrzení není kryptálně vázán na ověření otisků prstů. Žádné zpomalení `basic_text` nebo prostý textový soubor. |

Na Ubuntu jsou volitelnými runtime balíčky `python3-gi`, `gir1.2-secret-1` a `gnome-keyring` (nebo jiná kompatibilní tajná služba) a `fprintd`. Nainstalujte chybějící balíky pomocí běžného OS správce balíčků a poté zapište otisk prstu do nastavení operačního systému. Autentizace používá aktuálního uživatele a nevyžaduje kořen nebo změnu PAM. Bezhlavá SSH relace bez desktopového klíče zprávy nedostupné; neukládá tiše klíč jinde.

## Pravidla uzamčení

Automatické zamykání je vypnuto pro stávající instalace. Umožňuje vybrat **15 minuty** standardně; podporované hodnoty jsou nikdy, 1, 5, 10, 15, 30 a 60 minuty. Vstup klávesnice a myši v aplikačních oknech se počítá jako činnost; příchozí výstup SSH ne. Volitelné zamykání focusu považuje pluginová okna aplikace za součást aplikace a umožňuje rychlé dokončení ověření v systému. Změna těchto pravidel vyžaduje hlavní heslo.

**EKaždičký zámek trezoru, včetně neaktivity a zaostření, odpojí aktivní relace SSH, zavře pluginy a zastaví diagnostiku.** Uložit vzdálené úpravy před uzamčením. To zachovává stávající chování manuálně-lock; žádné pověřovací SSH zůstávají k dispozici pro pozadí pluginů po zámku.

Volitelná politika pro citlivou operaci vyžaduje nové ověření systému pro vymazání profilu, instalaci pluginu/odstranění, spuštění instalačního zařízení a reset odemčeného trezoru. Vzdálené terminálové příkazy a úpravy plugin souborů jsou mimo tuto politiku. Politika nenahrazuje oprávnění k serveru SSH. Pokud poskytovatel přestane pracovat, odemkněte hlavním heslem a změňte politiku pomocí tohoto hesla. Reset zůstává k dispozici z uzamčené rekonvalescence obrazovky po jeho destruktivní potvrzení.

## Návrh trezoru a IPC

Stávající v1 Vault zůstává AES-256-GCM se scryptem; zápis nepřepisuje své soubory ani nemění jeho schéma. Pouze kopie jeho ** odvozena 32-bayte key** jde do OS credential úložiště. Heslo prostého textu není nikdy uloženo. Local enrolment metadata obsahuje náhodné potvrzení ID, poskytovatele a SHA-256 vazbu na neměnná metadata trezoru. Klíč k obnovení musí projít ověřenou dešifrací před zahájením relace. Main-process buffery jsou po použití vymazány; nativní řetězce protokolu jsou přechodnou procesní pamětí, nikoli tvrzením o úplném vymazání paměti v spravovaných runtimech.

Pomocník komunikuje přes ohraničené soukromé stdin/stdout trubky, nepřijímá žádné shell příkazy, nemá autentizační timeouty a vrací sanované chybové kódy. Pomocníci jsou zabaleni mimo ASAR v `resources/biometrics`; jsou samostatnými nativními spustiteli, takže není nutný žádný Nativní modul Electron ABI. Pomocník Linux používá systém Python a GI. Původní objekty a odvozené klíče nikdy nepřecházejí přes renderer/plugin most. Biometrická IPC validuje živé hlavní okno a jeho hlavní rám; pluginy jej nemohou použít. Explicitní zamykání ruší až biometrické a heslo odemkne práci, takže pozdní schválení nemůže otevřít trezor. Odstranění zápisu zruší jeho místní vazbu, i když je obchod s OS offline; nedosažitelný obchod si může ponechat nepoužitelný osiřelý certifikát.

## Vybudovat a ověřovat

`npm run biometrics:build` připravuje pomocný program pro host-platformy; příprava na vývoj a uvolnění se jej automaticky vyvolá. macOS vyžaduje Swift/Apple SDK s bezpečnostní a lokální autentikou; Windows požaduje Visual Studio C++ Build Tools, Windows SDK a C++/WinRT; Linux kopíruje Python helper. Nejsou přidány žádné nové závislosti npm. Postavte nativní na každém cílovém operačním systému. Pomocník macOS je součástí rekurzivního podpisu balíků; nevyžaduje oprávnění App Sandbox, protože tato desktopová aplikace není sandboxována. Výroba macOS distribuce stále vyžaduje Podepsání a notarizaci vývojáře, nezávisle na Signaturách vydání OpenPGP.

Spustit `npm test`, `npm run test:biometrics:ui` a `npm run test:diagnostics:ui`. Biometrické zkoušky uzlu a izolovaný test UI kouře používají **mock OS adaptér** k pokrytí úspěchu, odmítnutí/storno, špatné klávesy, chybějící hardware/rollment, resetování, timeout a pozdní výsledky, nedostupné Linux klíčenky, selhání OS důvěryhodnosti, Windows PIN schválené odpovědi, změny zápisu macOS, stávající kompatibilita s Vaultem, izolace IPC a vyčištění SSH. To nezakládá úspěšné ověření hardwaru.

Původní kompilace byla ověřena na macOS arm64 a Windows x64. macOS hlásí k dispozici Dotykové ID; VM Windows uvádí Hello nedostupné. Otisk prstu/face/PIN zápis, aktuální vyhledání chráněných klíčů, zrušení dialogového dialogu OS a změna platnosti zápisu stále vyžaduje interaktivní testování hardwaru na každém podporovaném systému. Pomocník Linux musí být navíc testován na desktopu s podporovaným čtečkou s otiskem; bezhlavý VM nemůže toto ověření potvrdit.

Odkaz na platformu: [Kontrola biometrického přístupu Apple](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows plocha Hello interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [fprintovaný životní cyklus zařízení](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Specifikace tajné služby](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH lokální přístup k síti

Pokud každý lokální profil SSH selže se `connect EHOSTUNREACH`, ale stejné připojení funguje v Terminálu, zkontrolujte nastavení **System → Privacy & Security → Local Network → CH-J Server Manager** umožní přístup, zcela opustí aplikaci a znovu ji otevřete. Je-li již povoleno, přepněte jeho povolení a restartujte. Také zkontrolujte směrování, Wi-Fi/Ethernet a VPN: chyba sama o sobě není důkazem popření soukromí. Kvůli této chybě neresetujte Vault ani nezbavte se důvěryhodných otisků prstů SSH.

Aplikace prohlašuje `NSLocalNetworkUsageDescription` a dodává lokalizované pokyny pro oprávnění k síti macOS/route chyby. Nemůže si to dovolit. Apple doporučuje podpisovou identitu vydanou společností Apple, takže macOS může spolehlivě sledovat síťové soukromí přes budovy; současné ad hoc alfa staví si toto omezení ponechat. Viz pokyny pro ochranu soukromí místní sítě [Apple](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ikona aplikace Ubuntu

Debian balíčky instalují existující ikonu CH-J ve standardních velikostech hicolor (16–512 px), s odpovídající desktopovou položkou a třídou oken Electron. Hlavní okno také obdrží ikonu při opětovném vytvoření. Po aktualizaci již připnutého starého odpalovacího zařízení jej odinstalujte a připínejte nově nainstalovanou aplikaci; přihlášení/přihlášení plochy může obnovit zatuchlou cache GNOME launcher.