# Optionale Systemauthentifizierung und Vault-Verriegelung

Erstellen oder entsperren Sie den Vault zuerst mit seinem Master-Passwort. Öffnen Sie **Settings → Security**, überprüfen Sie den Provider-Status und aktivieren Sie die biometrische Entsperrung. Die Registrierung verlangt eine neue Systemauthentifizierung. Anschließend bietet das Login-Overlay Touch ID, Windows Hallo oder Fingerabdruck entsperren neben dem Masterpassword-Formular. **Deaktivieren und Entfernen der Registrierung** entfernt den zwischengespeicherten Schlüssel dieser Anwendung, nie die registrierten Fingerabdrücke des Betriebssystems.

Behalten Sie das Master-Passwort: Stornierung, Timeout, nicht verfügbare Hardware/Keyring und ungültige Registrierung alle benötigen Passwort-Fallback. Die biometrische Registrierung ist lokal für diesen Benutzer, Gerät und Vault. Es ist kein Wiederherstellungsmechanismus oder eine Sicherung. Das Zurücksetzen des Vault widerruft die Registrierung und löscht bestehende verschlüsselte Profile und Host-Fingerabdrücke erst nach der bestehenden `SMAZAT`-Bestätigung.

| Plattform | Authentifizierung und Speicherung | Anforderungen und Grenzen |
| --- | --- | --- |
| macOS Apple SiliconZ | Native LocalAuthentication / Touch ID; Security.framework Schlüsselanhänger mit `biometryCurrentSet` und `WhenUnlockedThisDeviceOnly`z | Eingerollte Touch ID, verfügbarer Sensor und eine nutzbare Anmeldung Keychain. Fingerabdruck-Änderungen entkräften das Element. Verwenden Sie stabile Entwickler-ID-Signierung für Produktionsupdates; Ad-hoc-Alpha-Signing kann Keychain Trust und lokale Netzwerkberechtigungsverfolgung stören. |
| Windows x64Z | Native WinRT Windows Hello Desktop-Interop an der Haupt HWND; aktuelle Benutzer DPAPI verschlüsselten Schlüssel in Windows Credential Manager | Konfiguriert Hallo Fingerabdruck, Gesicht **or PIN**. Das ist Komfort-Entsperren: Die Hallo-Zulassung wird von der App durchgesetzt, während DPAPI selbst nicht biometrisch gated ist. Anderer Code, der wie der gleiche Benutzer läuft, kann das Credential entschlüsseln. |
| Ubuntu x64| Der aktuelle registrierte Fingerabdruck des Benutzers durch fprintd D-Bus; expliziter libsecret / Secret Service Anmeldedatenspeicher | Unterstützter Lesegerät, eingeschriebener Fingerabdruck, ausgeführter Desktop Secret Service und Standardschlüsselring. Convenience entsperren: Das Schlüsselanhänger-Zertifikat ist nicht kryptographisch an die Überprüfung des Fingerabdrucks gebunden. Kein `basic_text` oder Klartext-Datei Fallback. |

Bei Ubuntu sind die optionalen Laufzeitpakete `python3-gi`, `gir1.2-secret-1` und `gnome-keyring` (oder ein anderer kompatibler Secret Service) sowie `fprintd`. Installieren Sie fehlende Pakete mit dem normalen OS-Paketmanager und registrieren Sie dann einen Fingerabdruck in OS-Einstellungen. Die Authentifizierung verwendet den aktuellen Benutzer und erfordert keine root oder Änderung von PAM. Eine kopflose SSH-Sitzung ohne Desktop-Schlüsselring-Berichte nicht verfügbar; es speichert keinen Schlüssel in einem anderen Raum.

## Regeln für die Sperrung

Automatisches Verriegeln ist für bestehende Anlagen deaktiviert. Es wird aktiviert **15 Minuten** Standardmäßig; unterstützte Werte sind niemals, 1, 5, 10, 15, 30 und 60 Minuten. Tastatur- und Mauseingaben in Anwendungsfenstern zählen als Aktivität; eingehende SSH-Ausgabe nicht. Optionale Fokus-Verriegelung behandelt die Plugin-Fenster der Anwendung als Teil der App und ermöglicht eine in-progress System-Authentifizierungsaufforderung zu beenden. Eine Änderung dieser Regeln erfordert das Master-Passwort.

**Jede Vault-Lock, einschließlich Inaktivität und Fokus-Locking, trennt aktive SSH Sitzungen, schließt Plugins und stoppt Diagnose.** Speichern von Remote-Edits vor dem Verriegeln. Damit bleibt das bestehende Manual-Lock-Verhalten erhalten; für Hintergrund-Plugins nach einem Lock bleiben keine SSH-Anmeldeinformationen verfügbar.

Die optionale Richtlinie für die sensible Bedienung verlangt eine neue Systemauthentifizierung für Profillöschung, Plugin-Installation/Removal, Installerstart und Reset eines entsperrten Vault. Remote Terminal Befehle und Plugin Datei Bearbeitungen sind außerhalb dieser Richtlinie. Die Richtlinie ersetzt nicht die SSH-Serverautorisierung. Wenn der Anbieter aufhört zu arbeiten, entsperren Sie mit dem Master-Passwort und ändern Sie die Richtlinie mit diesem Passwort. Zurücksetzen bleibt nach seiner zerstörerischen Bestätigung vom gesperrten Wiederherstellungsbildschirm verfügbar.

## Vault- und IPC-Design

Die vorhandene v1 Vault bleibt AES-256-GCM mit Scrypt; die Registrierung schreibt seine Dateien nicht um oder ändert ihr Schema. Nur eine Kopie des **derived 32-Byte Schlüssels** geht an OS Credential Storage. Das Klartext-Master-Passwort wird nie gespeichert. Lokale Registrierung Metadaten enthält zufällige Credential ID, Provider und eine SHA-256 Bindung an die unveränderlichen Metadaten des Vault. Ein wiederhergestellter Schlüssel muss eine authentifizierte Entschlüsselung übergeben, bevor eine Sitzung geöffnet wird. Hauptprozess-Puffer werden nach der Verwendung gelöscht; native Protokoll-Strings sind transienter Prozessspeicher, nicht ein Anspruch auf vollständige Speicherlöschung in verwalteten Laufzeiten.

Der Helfer kommuniziert über begrenzte private stdin/stdout-Rohre, akzeptiert keine Shell-Befehle, hat Authentifizierungs-Timeouts und gibt sanitierte Fehlercodes zurück. Helfer werden außerhalb von ASAR in `resources/biometrics` verpackt; sie sind eigenständige native ausführbare Dateien, so dass kein Electron ABI-Natives Modul erforderlich ist. Der Linux-Helfer verwendet System Python und GI. Native Objekte und abgeleitete Schlüssel überqueren nie die Renderer/Plugin-Brücke. Biometrischer IPC validiert das Live-Hauptfenster und seinen Hauptrahmen; Plugins können es nicht aufrufen. Explizite Sperrung storniert anstehende biometrische und Passwort-Entsperren Arbeit so späte Genehmigung kann nicht wieder öffnen die Vault. Das Entfernen der Einschreibung widerruft seine lokale Bindung, auch wenn der OS-Store offline ist; ein nicht erreichbarer Store kann einen unbrauchbaren Waised Credential behalten.

## Bauen und Verifizieren

`npm run biometrics:build` bereitet den Host-Plattform-Helfer vor; die Entwicklungsstart- und Freigabevorbereitung ruft ihn automatisch auf. macOS benötigt Swift/Apple SDK mit Security und LocalAuthentication; Windows erfordert Visual Studio C++ Build Tools, Windows SDK und C++/WinRT; Linux kopiert den Python-Helfer. Es werden keine neuen npm-Abhängigkeiten hinzugefügt. Bauen Sie nativ auf jedem Ziel-Betriebssystem. Der macOS Helfer ist in rekursive Bundle Signierung enthalten; es braucht keine App Sandbox Berechtigung, da diese Desktop-App nicht sandboxed. Produktion macOS Distribution erfordert immer noch Entwickler-ID Signierung und Beglaubigung, unabhängig von OpenPGP Release Signaturen.

Führen Sie `npm test`, `npm run test:biometrics:ui` und `npm run test:diagnostics:ui` aus. Biometrische Node-Tests und der isolierte UI Rauchtest verwenden eine **Mock OS Adapter** um Erfolg, Ablehnung/Abmeldung, falsche Tasten, fehlende Hardware/Einschreibung, Zurücksetzen, Timeout und späte Ergebnisse zu decken, nicht verfügbar Linux Schlüsselanhänger, OS-Zulassungsfehler, Windows PIN-zugelassene Antworten, macOS Registrierungsänderungen, bestehende Vault-Kompatibilität, IPC-Isolierung und SSH Aufräumarbeiten. Damit wird keine erfolgreiche Hardware-Authentifizierung etabliert.

Die native Zusammenstellung wurde auf macOS arm64 und WindowsZ x64 verifiziert. macOS meldet Touch ID verfügbar; die Windows VM berichtet Hallo nicht verfügbar. Fingerprint/face/PIN-Einschreibung, tatsächliches Protected-Key-Retrieval, OS-Dialog-Stornierung und Immatrikulation-Änderung-Ungültigkeit erfordern immer noch interaktive Hardware-Tests auf jedem unterstützten System. Der Linux-Helfer muss zusätzlich auf einem Desktop mit unterstütztem fprinted Reader getestet werden; ein kopfloser VM kann diese Überprüfung nicht nachweisen.

Verweise auf die Plattform: [Apple biometrische Zugriffskontrolle](https://developer.apple.com/documentation/security/secaccesscontrolcreateflags/biometrycurrentset), [Windows Desktop Hallo interop](https://learn.microsoft.com/en-us/windows/win32/api/userconsentverifierinterop/nf-userconsentverifierinterop-iuserconsentverifierinterop-requestverificationforwindowasync), [Lebensdauer des fprinted-Geräts](https://fprint.freedesktop.org/fprintd-dev/Device.html), [Spezifikationen für den Secret Service](https://specifications.freedesktop.org/secret-service/latest/).

## macOS SSH Zugriff auf das lokale Netzwerk

Wenn jedes lokale SSH-Profil mit `connect EHOSTUNREACH` fehlschlägt, aber dieselbe Verbindung im Terminal funktioniert, überprüfen Sie **Systemeinstellungen → Datenschutz und Sicherheit → Lokales Netzwerk → CH-J Server Manager**, erlauben den Zugriff, beenden Sie die App vollständig und öffnen Sie sie wieder. Wenn bereits aktiviert, schalten Sie die Berechtigung um und starten Sie neu. Überprüfen Sie auch Routing, Wi-Fi/Ethernet und VPN: Der Fehler allein ist kein Beweis für eine Datenschutzverweigerung. Setzen Sie die Vault nicht zurück oder verwerfen Sie vertrauenswürdige SSH-Fingerabdrücke für diesen Fehler.

Die App erklärt `NSLocalNetworkUsageDescription` und liefert lokalisierte Anleitungen für macOS Netzwerkberechtigungs-/Routenfehler. Sie kann sich keine Genehmigung erteilen. Apple empfiehlt eine von Apple herausgegebene Signatur-Identität, damit macOS die Netzwerkdaten zuverlässig über Builds verfolgen kann; aktuelle Ad-hoc-Alpha-Builds behalten diese Einschränkung. Siehe [Apples lokale Datenschutzrichtlinie](https://developer.apple.com/documentation/technotes/tn3179-understanding-local-network-privacy).

## Ubuntu-Anwendungssymbol

Debian-Pakete installieren das vorhandene CH-J-Symbol bei Standard-Hicolor-Größen (16–512 px), mit einem passenden Desktop-Eintrag und der Electron Fensterklasse. Das Hauptfenster erhält auch das Symbol, wenn es neu erstellt wird. Nach dem Aktualisieren eines bereits gepinnten alten Launchers, entpinnen Sie ihn und pin die neu installierte Anwendung; ein Desktop-Logout/Login kann einen veralteten GNOME Launcher Cache aktualisieren.