immurok: kabelloser Fingerabdruck-Schlüssel für Mac, Windows und Linux

macOS 13.0 oder neuer, Windows 10 und 11 sowie die meisten Linux-Distributionen. Die Mac-App ist ein einziges Universal-Build für Apple Silicon und Intel. Für Windows gibt es native x64- und Arm64-Installer, und die Integration läuft über einen Credential Provider, funktioniert also auf dem Sperrbildschirm. Linux ist ein Rust-Daemon mit PAM- und polkit-Integration, getestet auf Ubuntu, Fedora, Arch und Debian, und er baut auf den meisten anderen Distributionen. Weil der Key ein eigenständiges Bluetooth-Gerät ist und kein im Laptop verbauter Sensor, funktioniert er auf einem Mac mini, einem Mac Studio, einem iMac, einem zugeklappten MacBook, einer externen Tastatur oder einem Desktop-PC gleich gut. Ein Key kann gleichzeitig an zwei Rechner gebunden sein; mit einem eigens dafür angelernten Finger wechselt man zwischen ihnen.

Es ist kein Windows-Hello-Gerät, und das muss es auch nicht sein. Windows Hello ist Microsofts Rahmen für Sensoren, die in ein Notebook oder eine zertifizierte Tastatur oder Webcam eingebaut sind. immurok meldet dich auf einem anderen Weg an: über einen Credential Provider, der im Windows-Anmeldebildschirm läuft. Eine Berührung entsperrt den Sperrbildschirm also genau wie ein Hello-Sensor, an jedem Desktop-PC und jeder externen Tastatur, wo es keinen Hello-Sensor gibt. Und es geht über Hello hinaus. Dieselbe Berührung signiert SSH- und Git-Commits, entsperrt 1Password und Bitwarden und gibt TOTP-Codes frei, und derselbe Schlüssel funktioniert auch unter macOS und Linux.

Nein. immurok ist kein FIDO-Gerät. Es registriert sich bei Websites weder als Passkey noch als Sicherheitsschlüssel, und es ersetzt keinen YubiKey. Es arbeitet eine Ebene tiefer, auf dem Rechner vor dir: Bildschirmentsperrung, sudo- und Admin-Abfragen, SSH- und Git-Signaturen, Entsperren des Passwortmanagers und TOTP-Codes. Behalte deine Passkeys oder deinen Sicherheitsschlüssel für die Anmeldung bei Websites; immurok übernimmt den Rest, und viele von uns benutzen beides.

Nein. ChromeOS gibt Software von Drittanbietern keine Möglichkeit, sich an der Bildschirmentsperrung oder der Systemauthentifizierung zu beteiligen, also gibt es für immurok nichts, wo es ansetzen könnte. Es funktioniert mit macOS 13 oder neuer, Windows 10 und 11 und den meisten Linux-Distributionen.

Ja, mit bis zu zwei Computern, verbunden mit jeweils einem. Der Schlüssel hält zwei unabhängige Kopplungen, jede mit eigenen Schlüsseln, sodass beide Rechner gebunden bleiben, verbunden ist er aber immer nur mit einem. Du registrierst einen Finger als Wechselfinger. Berührst du ihn, wechselt der Schlüssel von einem Computer zum anderen, und der Zielcomputer verbindet sich von selbst neu. Entfernst du einen Computer, wird nur diese Kopplung gelöscht; der andere Computer und deine registrierten Fingerabdrücke bleiben unberührt.

Ja, alle vier, unter macOS, Windows und Linux. Zeigt der Manager seine Entsperrabfrage, trägt eine Berührung ein eigenes Passwort ein, das auf dem Schlüssel liegt, getrennt von deinem Anmeldepasswort gespeichert und getrennt einschaltbar, und schickt es ab. Nur Apps auf einer signierten Positivliste bekommen es je zu sehen.

Nur zum Laden. Der USB-C-Anschluss lädt den Akku und überträgt keine Daten. Kopplung, Fingerabdruck-Ergebnisse und alles andere laufen über Bluetooth LE. Dein Computer braucht also Bluetooth, und der Schlüssel belegt beim Arbeiten keinen Anschluss.

Ja. Der Schlüssel läuft mit einer wiederaufladbaren 110-mAh-Lithiumzelle, die per USB-C geladen wird und bei normaler Nutzung mehr als einen Monat pro Ladung hält. Es ist eine handelsübliche Standardgröße, kein Sonderteil, und du kannst sie selbst tauschen. Entkopple den Schlüssel vorher oder setze ihn auf Werkseinstellungen zurück: Öffnest du das Gehäuse eines gekoppelten Schlüssels, löst der Manipulationsschalter aus und löscht ihn. Zelle tauschen, Gehäuse schließen, neu koppeln.

Auf dem Gerät, und sonst nirgends. Die Fingerabdruck-Templates werden auf dem Key selbst gespeichert und dort verglichen. Sie erreichen weder die Festplatte Ihres Rechners noch das Netzwerk noch irgendeinen Cloud-Dienst. Über Bluetooth geht nur eine HMAC-signierte Meldung, dass der Abdruck gepasst hat, niemals der Abdruck selbst. Das Pairing ist ein direkter ECDH-Austausch zwischen Gerät und Rechner. Firmware-Updates sind signiert und werden vor der Installation geprüft. Es gibt kein Konto, keinen Server und keine Telemetrie: alles läuft offline und würde weiterlaufen, wenn es uns nicht mehr gäbe.

Der gesamte Quellcode ist auf GitHub öffentlich, unter zwei verschiedenen Lizenzen. Die Apps für macOS, Windows und Linux, einschließlich der PAM-Module und des Windows Credential Provider, sind Open Source unter Apache 2.0. Firmware und Hardware sind source-available unter BSL 1.1 und wechseln 2030 zu Apache 2.0. Sie können alles lesen, ändern, selbst bauen und auf Ihr eigenes Gerät flashen. Bis zur Umstellung behalten wir uns nur ein Recht vor: konkurrierende Hardware zu verkaufen.

Ja. Die Quellen von Firmware und Hardware sind öffentlich, und die Platine hat eine Programmierschnittstelle, über die du deine eigene Firmware bauen und aufspielen kannst. Setze den Schlüssel zurück, bevor du ihn öffnest, denn das Öffnen eines gekoppelten Schlüssels löst den Manipulationsschalter aus. Sobald ein Gerät selbst gebaute Firmware ausführt, erlischt die Garantie, und es erhält keine offiziellen Firmware-Updates mehr.

Andere Ebene, und sie ergänzen sich. Ein YubiKey und Passkeys weisen gegenüber einer Website nach, wer Sie sind. immurok nimmt die Passworthürde an dem Rechner weg, vor dem Sie sitzen: Bildschirm entsperren, sudo, Administratorabfragen, SSH- und Git-Signaturen. Ein Passwortmanager speichert Ihre Passwörter; immurok entsperrt 1Password und Bitwarden unter macOS, Windows und Linux mit einer Berührung und hält TOTP-Seeds auf dem Gerät, damit Ihre Zwei-Faktor-Geheimnisse nicht in einer Desktop-App liegen. Touch ID ist Apples eigener Sensor, fest mit der Secure Enclave verbunden, für Dritte verschlossen, und auf einem Mac mini oder einer externen Tastatur schlicht nicht vorhanden. immurok ist ein eigenständiges Gerät: sudo und Administratorabfragen laufen über PAM, einen echten Systemmechanismus, und das Entsperren des Bildschirms nutzt einen separat dokumentierten Hilfsweg.

Von Apple nicht. Touch ID gibt es nur fest eingebaut in MacBooks und im Magic Keyboard mit Touch ID, das US$149 bis US$199 kostet, einen Mac mit Apple Silicon voraussetzt und den Sensor an eine Tastatur bindet, die Sie vielleicht gar nicht wollen. Einen einzelnen Touch-ID-Sensor gibt es nicht, und weil Touch ID fest mit der Secure Enclave verbunden ist, kann ihn auch kein Dritter bauen. immurok kommt dem am nächsten: ein eigenständiger drahtloser Fingerabdruckschlüssel, der auf dem Schreibtisch neben der Tastatur liegt, die Sie schon benutzen. An einem Mac mini, Mac Studio, iMac oder zugeklappten MacBook entsperrt er den Bildschirm, bestätigt sudo und Administratorabfragen, entsperrt 1Password und Bitwarden und signiert SSH- und Git-Commits. Er ist kein Touch ID und gibt sich nicht als solches aus: ein separates Gerät mit eigenem Sensor und eigenem Sicherheitsmodell, das außerdem unter Windows und Linux funktioniert.

Nein. Kein Abo, kein Konto, kein Cloud-Dienst. Sie zahlen einmal für das Gerät. Die Apps für macOS, Windows und Linux sind kostenlos, Firmware-Updates ebenfalls. Nichts hört auf zu funktionieren, wenn Sie das Gerät nie mit dem Internet verbinden, denn das braucht es nicht.

Halten Sie die Taste etwa zehn Sekunden gedrückt, um auf Werkseinstellungen zurückzusetzen. Das Gerät löscht alles: Pairing-Schlüssel, sämtliche angelernten Fingerabdrücke und gespeicherte Zugangsdaten, und startet bereit zum erneuten Koppeln. Das lässt sich nicht rückgängig machen. Um den Key ohne vollständiges Zurücksetzen an einen anderen Rechner zu geben, wählen Sie in der App Entkoppeln. Wenn Sie ihn verlieren, kann niemand Ihre Fingerabdrücke auslesen: die Templates verlassen die Hardware nie, und wer das Gehäuse aufbricht, löst einen Tamper-Schalter aus, der alles löscht und die Leuchte dauerhaft rot stehen lässt. Jedes Gerät hat ein Jahr Garantie. Die Support-Adresse steht im Handbuch und in der App.