immurok: chave de impressão digital sem fio para Mac, Windows e Linux

macOS 13.0 ou mais recente, Windows 10 e 11, e a maioria das distribuições Linux. O app do Mac é uma única build universal para Apple Silicon e Intel. O Windows tem instaladores nativos x64 e Arm64 e se integra como Credential Provider, então funciona na tela de bloqueio. O Linux é um daemon em Rust com integração PAM e polkit, testado em Ubuntu, Fedora, Arch e Debian, e compila na maioria das outras distribuições. Como a chave é um dispositivo Bluetooth separado, e não um sensor embutido no notebook, ela funciona igual em um Mac mini, um Mac Studio, um iMac, um MacBook fechado, um teclado externo ou um PC de mesa. Uma mesma chave pode ficar vinculada a dois computadores ao mesmo tempo e alternar entre eles com uma digital dedicada.

Não é um dispositivo Windows Hello, e não precisa ser. O Windows Hello é a estrutura da Microsoft para sensores embutidos em um notebook ou em um teclado ou webcam certificados. O immurok faz o login por outro caminho: um Credential Provider que roda dentro da tela de login do Windows, então um toque destrava a tela exatamente como um sensor Hello faria, em qualquer PC de mesa ou teclado externo onde não existe sensor Hello. E vai além do Hello. O mesmo toque assina commits de SSH e Git, destrava o 1Password e o Bitwarden e libera códigos TOTP, e a mesma chave também funciona no macOS e no Linux.

Não. O immurok não é um dispositivo FIDO. Ele não se registra em sites como passkey nem como chave de segurança, e não substitui uma YubiKey. Ele trabalha uma camada abaixo, na máquina à sua frente: desbloqueio de tela, avisos de sudo e de administrador, assinatura de SSH e Git, desbloqueio do gerenciador de senhas e códigos TOTP. Continue usando suas passkeys ou sua chave de segurança para entrar em sites; o immurok cuida do resto, e muitos de nós usamos os dois.

Não. O ChromeOS não dá a software de terceiros nenhuma forma de participar do desbloqueio de tela ou da autenticação do sistema, então não há onde o immurok se encaixar. Ele funciona com macOS 13 ou mais recente, Windows 10 e 11 e a maioria das distribuições Linux.

Sim, com até dois computadores, conectada a um de cada vez. A chave guarda dois pareamentos independentes, cada um com suas próprias chaves, então as duas máquinas continuam vinculadas, mas ela só conversa com uma delas de cada vez. Você cadastra um dedo como dedo de troca. Ao tocá-lo, a chave passa de um computador para o outro, e o computador de destino reconecta sozinho. Remover um computador apaga só aquele pareamento; o outro computador e suas digitais cadastradas ficam intactos.

Sim, os quatro, no macOS, no Windows e no Linux. Quando o gerenciador mostra a tela de desbloqueio, um toque preenche uma senha dedicada que fica na chave, guardada separadamente da sua senha de login e ativada separadamente, e a envia. Só aplicativos de uma lista de permissões assinada a recebem.

Só para carregar. A porta USB-C carrega a bateria e não transporta dados. O pareamento, os resultados de digital e todo o resto vão por Bluetooth LE, então seu computador precisa de Bluetooth e a chave não ocupa nenhuma porta enquanto você trabalha.

Sim. A chave funciona com uma célula de lítio recarregável de 110 mAh que carrega por USB-C e dura mais de um mês de uso normal por carga. É um tamanho padrão de mercado, não uma peça sob medida, e você mesmo pode trocá-la. Antes, despareie a chave ou restaure os padrões de fábrica: abrir a carcaça de uma chave pareada aciona a chave antiviolação e apaga tudo. Troque a célula, feche a carcaça e pareie de novo.

No dispositivo, e em nenhum outro lugar. Os templates de digital são armazenados e comparados dentro da própria chave. Eles nunca chegam ao disco do seu computador, à rede ou a qualquer serviço em nuvem. Pelo Bluetooth trafega apenas uma notificação assinada com HMAC dizendo que a digital bateu, nunca a digital em si. O pareamento é uma troca ECDH direta entre o dispositivo e a sua máquina. As atualizações de firmware são assinadas e verificadas antes de serem instaladas. Não há conta, servidor nem telemetria: tudo funciona offline e continuaria funcionando se nós desaparecêssemos.

Todo o código-fonte é público no GitHub, sob duas licenças diferentes. Os apps de macOS, Windows e Linux, incluindo os módulos PAM e o Credential Provider do Windows, são código aberto sob Apache 2.0. O firmware e o hardware são de código disponível sob BSL 1.1 e passam para Apache 2.0 em 2030. Você pode ler tudo, modificar, compilar e gravar na sua própria unidade. O único direito reservado até a conversão é vender hardware concorrente.

Sim. O código do firmware e do hardware é público, e a placa expõe uma interface de programação para você compilar seu próprio firmware e gravá-lo. Restaure a chave antes de abri-la, porque abrir uma chave pareada aciona a chave antiviolação. Depois que uma unidade roda firmware compilado por você, ela sai da garantia e deixa de receber atualizações oficiais de firmware.

São camadas diferentes e funcionam juntas. Uma YubiKey e as passkeys provam quem você é para um site. O immurok tira o atrito da senha na máquina à sua frente: desbloqueio de tela, sudo, pedidos de administrador, assinatura de SSH e Git. Um gerenciador de senhas guarda suas senhas; o immurok destrava o 1Password e o Bitwarden com um toque no macOS, no Windows e no Linux, e guarda as sementes TOTP no próprio dispositivo, para que seus códigos de dois fatores não fiquem em um app do desktop. O Touch ID é o sensor da própria Apple, fundido ao Secure Enclave, fechado para terceiros, e simplesmente não existe em um Mac mini ou em um teclado externo. O immurok é um dispositivo independente: sudo e pedidos de administrador passam pelo PAM, um mecanismo real do sistema, e o desbloqueio de tela usa um caminho auxiliar documentado à parte.

Da Apple, não. O Touch ID só vem embutido nos MacBook e no Magic Keyboard com Touch ID, que custa de US$149 a US$199, exige um Mac com Apple Silicon e prende o sensor a um teclado que talvez você nem queira. Não existe um sensor Touch ID avulso, e como o Touch ID é fundido ao Secure Enclave, terceiros também não podem fabricar um. O immurok é o que chega mais perto: uma chave de impressão digital sem fio, independente, que fica na sua mesa ao lado do teclado que você já usa. Em um Mac mini, Mac Studio, iMac ou MacBook fechado ele desbloqueia a tela, aprova sudo e pedidos de administrador, destrava o 1Password e o Bitwarden e assina commits de SSH e Git. Não é Touch ID e não finge ser: é um dispositivo à parte, com sensor próprio e modelo de segurança próprio, e ainda funciona no Windows e no Linux.

Não. Sem assinatura, sem conta, sem serviço em nuvem. Você paga uma vez pelo dispositivo. Os apps de macOS, Windows e Linux são gratuitos, e as atualizações de firmware também. Nada para de funcionar se você nunca conectar o dispositivo à internet, porque ele não precisa disso.

Segure o botão por cerca de dez segundos para restaurar de fábrica. O dispositivo apaga tudo: chaves de pareamento, todas as digitais cadastradas e as credenciais armazenadas, e reinicia pronto para parear de novo. Isso não pode ser desfeito. Para passar a chave para outro computador sem apagar tudo, use Desparear no app. Se você perder, ninguém consegue extrair suas digitais: os templates nunca saem do hardware, e forçar a carcaça aciona uma chave antiviolação que apaga tudo e deixa a luz em vermelho fixo. Cada unidade inclui um ano de garantia. O endereço de suporte está no manual do usuário e aparece no app.