immurok: draadloze vingerafdruksleutel voor Mac, Windows en Linux

macOS 13.0 of nieuwer, Windows 10 en 11, en de meeste Linux-distributies. De Mac-app is één universele build voor Apple Silicon en Intel. Windows heeft native x64- en Arm64-installers en integreert via een Credential Provider, dus hij werkt op het vergrendelscherm. Linux is een daemon in Rust met PAM- en polkit-integratie, getest op Ubuntu, Fedora, Arch en Debian, en hij bouwt op de meeste andere distributies. Omdat de sleutel een los Bluetooth-apparaat is en geen sensor in een laptop, werkt hij hetzelfde op een Mac mini, een Mac Studio, een iMac, een dichtgeklapte MacBook, een extern toetsenbord of een desktop-pc. Eén sleutel kan aan twee computers tegelijk gekoppeld zijn en met een aparte vinger schakel je ertussen.

Het is geen Windows Hello-apparaat, en dat hoeft ook niet. Windows Hello is het raamwerk van Microsoft voor sensoren die in een laptop of in een gecertificeerd toetsenbord of webcam zijn ingebouwd. immurok meldt je op een andere manier aan: via een Credential Provider die in het aanmeldscherm van Windows draait. Eén aanraking ontgrendelt het vergrendelscherm dus precies zoals een Hello-sensor, op elke desktop-pc of elk extern toetsenbord waar geen Hello-sensor zit. En het gaat verder dan Hello. Dezelfde aanraking ondertekent SSH- en Git-commits, ontgrendelt 1Password en Bitwarden en geeft TOTP-codes vrij, en dezelfde sleutel werkt ook op macOS en Linux.

Nee. immurok is geen FIDO-apparaat. Het registreert zich bij websites niet als passkey of beveiligingssleutel, en het vervangt geen YubiKey. Het werkt een laag lager, op de machine voor je neus: schermontgrendeling, sudo- en beheerdersprompts, SSH- en Git-ondertekening, ontgrendelen van je wachtwoordmanager en TOTP-codes. Houd je passkeys of beveiligingssleutel voor het inloggen op websites; immurok doet de rest, en velen van ons gebruiken beide.

Nee. ChromeOS geeft software van derden geen enkele manier om mee te doen aan schermontgrendeling of systeemauthenticatie, dus er is niets waar immurok op kan aanhaken. Het werkt met macOS 13 of nieuwer, Windows 10 en 11 en de meeste Linux-distributies.

Ja, met maximaal twee computers, verbonden met één tegelijk. De sleutel bewaart twee onafhankelijke koppelingen, elk met eigen sleutels, zodat beide machines gebonden blijven, maar hij praat altijd met maar één van de twee. Je registreert één vinger als wisselvinger. Raak je die aan, dan gaat de sleutel van de ene computer naar de andere, en de doelcomputer maakt vanzelf opnieuw verbinding. Een computer verwijderen wist alleen die koppeling; de andere computer en je geregistreerde vingerafdrukken blijven onaangeroerd.

Ja, alle vier, op macOS, Windows en Linux. Als de manager zijn ontgrendelscherm toont, vult één aanraking een apart wachtwoord in dat op de sleutel staat, los van je aanmeldwachtwoord opgeslagen en apart in te schakelen, en verstuurt het. Alleen apps op een ondertekende toegestane lijst krijgen het ooit te zien.

Alleen om op te laden. De USB-C-poort laadt de accu en draagt geen data over. Koppelen, vingerafdrukresultaten en al het andere gaan via Bluetooth LE, dus je computer heeft Bluetooth nodig en de sleutel neemt tijdens het werken geen poort in.

Ja. De sleutel werkt op een oplaadbare lithiumcel van 110 mAh die via USB-C laadt en bij normaal gebruik meer dan een maand per lading meegaat. Het is een standaardmaat uit de winkel, geen maatwerkonderdeel, en je kunt hem zelf vervangen. Ontkoppel de sleutel eerst of zet hem terug naar fabrieksinstellingen: de behuizing van een gekoppelde sleutel openen activeert de sabotageschakelaar en wist hem. Vervang de cel, sluit de behuizing en koppel opnieuw.

Op het apparaat, en nergens anders. De vingerafdruksjablonen worden op de sleutel zelf opgeslagen en daar vergeleken. Ze bereiken nooit de schijf van je computer, het netwerk of een clouddienst. Over Bluetooth gaat alleen een met HMAC ondertekende melding dat de afdruk klopte, nooit de afdruk zelf. Koppelen is een directe ECDH-uitwisseling tussen apparaat en computer. Firmware-updates zijn ondertekend en worden voor installatie geverifieerd. Er is geen account, geen server en geen telemetrie: alles werkt offline en zou blijven werken als wij verdwijnen.

Alle broncode staat publiek op GitHub, onder twee verschillende licenties. De apps voor macOS, Windows en Linux, inclusief de PAM-modules en de Windows Credential Provider, zijn open source onder Apache 2.0. Firmware en hardware zijn source-available onder BSL 1.1 en gaan in 2030 over naar Apache 2.0. Je kunt alles lezen, aanpassen, zelf bouwen en op je eigen apparaat flashen. Het enige recht dat we tot die overgang voorbehouden is het verkopen van concurrerende hardware.

Ja. De broncode van firmware en hardware is openbaar, en de printplaat heeft een programmeerinterface zodat je je eigen firmware kunt bouwen en flashen. Reset de sleutel voordat je hem opent, want een gekoppelde sleutel openen activeert de sabotageschakelaar. Zodra een exemplaar op zelfgebouwde firmware draait, vervalt de garantie en ontvangt het geen officiële firmware-updates meer.

Andere laag, en ze vullen elkaar aan. Een YubiKey en passkeys bewijzen aan een website wie je bent. immurok haalt de wachtwoordwrijving weg op de machine die voor je staat: scherm ontgrendelen, sudo, beheerdersvragen, SSH- en Git-ondertekening. Een wachtwoordmanager bewaart je wachtwoorden; immurok ontgrendelt 1Password en Bitwarden met een aanraking op macOS, Windows en Linux en houdt TOTP-seeds op het apparaat, zodat je tweefactorgeheimen niet in een desktop-app staan. Touch ID is Apple's eigen sensor, vastgeklonken aan de Secure Enclave, gesloten voor derden, en bestaat gewoonweg niet op een Mac mini of een extern toetsenbord. immurok is een zelfstandig apparaat: sudo en beheerdersvragen lopen via PAM, een echt systeemmechanisme, en schermontgrendeling gebruikt een apart gedocumenteerde route.

Van Apple niet. Touch ID zit alleen ingebouwd in MacBooks en in het Magic Keyboard met Touch ID, dat US$149 tot US$199 kost, een Mac met Apple Silicon vereist en de sensor vastmaakt aan een toetsenbord dat je misschien niet wilt. Een losse Touch ID-sensor bestaat niet, en omdat Touch ID vastzit aan de Secure Enclave kan een derde partij er ook geen maken. immurok komt het dichtst in de buurt: een zelfstandige draadloze vingerafdruksleutel die op je bureau ligt naast het toetsenbord dat je al gebruikt. Op een Mac mini, Mac Studio, iMac of dichtgeklapte MacBook ontgrendelt hij het scherm, keurt hij sudo en beheerdersvragen goed, ontgrendelt hij 1Password en Bitwarden en ondertekent hij SSH- en Git-commits. Het is geen Touch ID en doet zich niet zo voor: het is een apart apparaat met een eigen sensor en een eigen beveiligingsmodel, en het werkt ook op Windows en Linux.

Nee. Geen abonnement, geen account, geen clouddienst. Je betaalt één keer voor het apparaat. De apps voor macOS, Windows en Linux zijn gratis, en firmware-updates ook. Er stopt niets met werken als je het apparaat nooit met internet verbindt, want dat hoeft niet.

Houd de knop ongeveer tien seconden ingedrukt voor een fabrieksreset. Het apparaat wist alles: koppelsleutels, elke opgeslagen vingerafdruk en bewaarde inloggegevens, en start opnieuw op, klaar om te koppelen. Dit kun je niet ongedaan maken. Wil je de sleutel naar een andere computer verhuizen zonder alles te wissen, kies dan Ontkoppelen in de app. Raak je hem kwijt, dan kan niemand je vingerafdrukken eruit halen: de sjablonen verlaten de hardware nooit, en de behuizing openbreken activeert een sabotageschakelaar die alles wist en het lampje continu rood laat branden. Elk apparaat heeft een jaar garantie. Het supportadres staat in de handleiding en in de app.