immurok: llave de huella dactilar inalámbrica para Mac, Windows y Linux

macOS 13.0 o posterior, Windows 10 y 11, y la mayoría de distribuciones de Linux. La app de Mac es una única compilación universal para Apple Silicon e Intel. Windows tiene instaladores nativos x64 y Arm64 y se integra como Credential Provider, así que funciona en la pantalla de bloqueo. Linux es un demonio en Rust con integración PAM y polkit, probado en Ubuntu, Fedora, Arch y Debian, y compila en casi cualquier otra distribución. Como la llave es un dispositivo Bluetooth independiente y no un sensor incrustado en un portátil, funciona igual en un Mac mini, un Mac Studio, un iMac, un MacBook cerrado, un teclado externo o un PC de sobremesa. Una misma llave puede quedar vinculada a dos ordenadores a la vez y cambiar entre ellos con una huella dedicada.

No es un dispositivo Windows Hello, y no necesita serlo. Windows Hello es el marco de Microsoft para sensores integrados en un portátil o en un teclado o cámara certificados. immurok inicia sesión por otra vía: un Credential Provider que corre dentro de la pantalla de inicio de sesión de Windows, así que un toque desbloquea la pantalla exactamente como lo haría un sensor Hello, en cualquier PC de sobremesa o teclado externo donde no hay sensor Hello. Y va más allá de Hello. El mismo toque firma commits de SSH y Git, desbloquea 1Password y Bitwarden y entrega códigos TOTP, y la misma llave funciona también en macOS y Linux.

No. immurok no es un dispositivo FIDO. No se registra en sitios web como passkey ni como llave de seguridad, y no sustituye a una YubiKey. Trabaja una capa más abajo, en la máquina que tienes delante: desbloqueo de pantalla, avisos de sudo y de administrador, firma de SSH y Git, desbloqueo del gestor de contraseñas y códigos TOTP. Sigue usando tus passkeys o tu llave de seguridad para entrar en sitios web; immurok se ocupa del resto, y muchos de nosotros usamos ambas cosas.

No. ChromeOS no da al software de terceros ninguna forma de participar en el desbloqueo de pantalla ni en la autenticación del sistema, así que immurok no tiene dónde engancharse. Funciona con macOS 13 o posterior, Windows 10 y 11 y la mayoría de distribuciones Linux.

Sí, con hasta dos ordenadores, conectada a uno cada vez. La llave guarda dos emparejamientos independientes, cada uno con sus propias claves, así que las dos máquinas siguen vinculadas, pero solo habla con una de ellas en cada momento. Registras un dedo como dedo de cambio. Al tocarlo, la llave pasa de un ordenador al otro, y el ordenador de destino se reconecta solo. Quitar un ordenador borra solo ese emparejamiento; el otro ordenador y tus huellas registradas quedan intactos.

Sí, los cuatro, en macOS, Windows y Linux. Cuando el gestor muestra su pantalla de desbloqueo, un toque rellena una contraseña dedicada que vive en la llave, guardada aparte de tu contraseña de inicio de sesión y activada por separado, y la envía. Solo la reciben las aplicaciones de una lista blanca firmada.

Solo para cargarla. El puerto USB-C carga la batería y no transporta datos. El emparejamiento, los resultados de huella y todo lo demás van por Bluetooth LE, así que tu ordenador necesita Bluetooth y la llave no ocupa ningún puerto mientras trabajas.

Sí. La llave funciona con una celda de litio recargable de 110 mAh que se carga por USB-C y dura más de un mes de uso normal por carga. Es un tamaño estándar, no una pieza a medida, y puedes cambiarla tú mismo. Antes, desempareja la llave o restáurala de fábrica: abrir la carcasa de una llave emparejada activa el interruptor antimanipulación y la borra. Cambia la celda, cierra la carcasa y vuelve a emparejar.

En el dispositivo, y en ningún otro sitio. Las plantillas de huella se guardan y se comparan dentro de la propia llave. Nunca llegan al disco de tu ordenador, ni a la red, ni a ningún servicio en la nube. Por Bluetooth solo viaja una notificación firmada con HMAC que dice que la huella coincide, nunca la huella. El emparejamiento es un intercambio ECDH directo entre el dispositivo y tu máquina. Las actualizaciones de firmware van firmadas y se verifican antes de instalarse. No hay cuenta, ni servidor, ni telemetría: todo funciona sin conexión y seguiría funcionando si nosotros desapareciéramos.

Todo el código fuente es público en GitHub, con dos licencias distintas. Las apps de macOS, Windows y Linux, incluidos los módulos PAM y el Credential Provider de Windows, son código abierto bajo Apache 2.0. El firmware y el hardware son de código disponible bajo BSL 1.1 y pasan a Apache 2.0 en 2030. Puedes leerlo todo, modificarlo, compilarlo y grabarlo en tu propia unidad. El único derecho que nos reservamos hasta la conversión es vender hardware competidor.

Sí. El código del firmware y del hardware es público, y la placa expone una interfaz de programación para que compiles tu propio firmware y lo grabes. Restaura la llave antes de abrirla, porque abrir una llave emparejada activa el interruptor antimanipulación. Una vez que una unidad ejecuta firmware compilado por ti, queda fuera de garantía y deja de recibir actualizaciones oficiales de firmware.

Son capas distintas y se complementan. Una YubiKey y las passkeys demuestran quién eres ante una web. immurok elimina la fricción de la contraseña en la máquina que tienes delante: desbloqueo de pantalla, sudo, peticiones de administrador, firma de SSH y Git. Un gestor de contraseñas guarda tus contraseñas; immurok desbloquea 1Password y Bitwarden con un toque en macOS, Windows y Linux, y guarda las semillas TOTP en el propio dispositivo, para que tus códigos de doble factor no vivan en una app del escritorio. Touch ID es el sensor propio de Apple, fundido con el Secure Enclave, cerrado a terceros, y sencillamente no existe en un Mac mini ni en un teclado externo. immurok es un dispositivo independiente: sudo y las peticiones de administrador pasan por PAM, un mecanismo real del sistema, y el desbloqueo de pantalla usa una ruta auxiliar documentada aparte.

De Apple, no. Touch ID solo viene integrado en los MacBook y en el Magic Keyboard con Touch ID, que cuesta entre US$149 y US$199, exige un Mac con Apple Silicon y ata el sensor a un teclado que quizá no quieras. No existe un sensor Touch ID suelto, y como Touch ID está fundido con el Secure Enclave, un tercero tampoco puede fabricarlo. immurok es lo más parecido: una llave de huella inalámbrica independiente que se queda en tu escritorio junto al teclado que ya usas. En un Mac mini, Mac Studio, iMac o MacBook cerrado desbloquea la pantalla, aprueba sudo y las peticiones de administrador, desbloquea 1Password y Bitwarden y firma commits de SSH y Git. No es Touch ID ni pretende serlo: es un dispositivo aparte, con su propio sensor y su propio modelo de seguridad, y además funciona en Windows y Linux.

No. Ni suscripción, ni cuenta, ni servicio en la nube. Pagas una vez por el dispositivo. Las apps de macOS, Windows y Linux son gratuitas, y las actualizaciones de firmware también. Nada deja de funcionar aunque no conectes nunca el dispositivo a internet, porque no lo necesita.

Mantén pulsado el botón unos diez segundos para restablecerlo de fábrica. El dispositivo borra todo: claves de emparejamiento, todas las huellas registradas y las credenciales guardadas, y se reinicia listo para emparejarse otra vez. No se puede deshacer. Para pasar la llave a otro ordenador sin un borrado completo, usa Desemparejar en la app. Si la pierdes, nadie puede extraer tus huellas: las plantillas nunca salen del hardware y forzar la carcasa activa un interruptor antimanipulación que lo borra todo y deja la luz en rojo fijo. Cada unidad incluye un año de garantía. La dirección de soporte viene en el manual de usuario y aparece en la app.