immurok: беспроводной ключ с отпечатком пальца для Mac, Windows и Linux

macOS 13.0 и новее, Windows 10 и 11, а также большинство дистрибутивов Linux. Приложение для Mac собрано единым универсальным бинарником для Apple Silicon и Intel. Для Windows есть нативные установщики x64 и Arm64, интеграция идёт через Credential Provider, поэтому работает и на экране блокировки. Для Linux это демон на Rust с интеграцией в PAM и polkit, проверенный на Ubuntu, Fedora, Arch и Debian и собирающийся на большинстве других дистрибутивов. Поскольку ключ является отдельным Bluetooth-устройством, а не встроенным в ноутбук датчиком, он одинаково работает с Mac mini, Mac Studio, iMac, закрытым MacBook, внешней клавиатурой и настольным ПК. Один ключ можно привязать сразу к двум компьютерам и переключаться между ними отдельным пальцем.

Это не устройство Windows Hello, и ему это не нужно. Windows Hello представляет собой систему Microsoft для датчиков, встроенных в ноутбук или в сертифицированную клавиатуру или веб-камеру. immurok выполняет вход другим путём: через Credential Provider, который работает внутри экрана входа Windows. Одно касание снимает блокировку экрана точно так же, как датчик Hello, на любом настольном ПК или внешней клавиатуре, где датчика Hello нет. И он идёт дальше Hello. Тем же касанием подписываются коммиты SSH и Git, разблокируются 1Password и Bitwarden, выдаются коды TOTP, а тот же ключ работает и на macOS, и на Linux.

Нет. immurok не является FIDO-устройством. Он не регистрируется на сайтах как passkey или ключ безопасности и не заменяет YubiKey. Он работает уровнем ниже, на компьютере перед вами: разблокировка экрана, запросы sudo и администратора, подписи SSH и Git, разблокировка менеджера паролей и коды TOTP. Оставьте passkey или ключ безопасности для входа на сайты; immurok берёт на себя остальное, и многие из нас пользуются и тем, и другим.

Нет. ChromeOS не даёт стороннему ПО никакой возможности участвовать в разблокировке экрана или системной аутентификации, так что immurok там просто некуда встроиться. Он работает с macOS 13 и новее, Windows 10 и 11 и большинством дистрибутивов Linux.

Да, максимум с двумя компьютерами, подключаясь к одному за раз. Ключ хранит два независимых сопряжения, каждое со своими ключами, так что обе машины остаются привязанными, но общается он в каждый момент только с одной. Один палец вы регистрируете как палец переключения. Касание им передаёт ключ от одного компьютера другому, и целевой компьютер переподключается сам. Удаление одного компьютера стирает только его сопряжение; второй компьютер и ваши отпечатки остаются нетронутыми.

Да, все четыре поддерживаются на macOS, Windows и Linux. Когда менеджер показывает окно разблокировки, касание подставляет отдельный пароль, который хранится на ключе отдельно от пароля входа и включается отдельно, и отправляет его. Получить его могут только приложения из подписанного списка разрешённых.

Только для зарядки. Порт USB-C заряжает аккумулятор и не передаёт данные. Сопряжение, результаты проверки отпечатка и всё остальное идут по Bluetooth LE, так что компьютеру нужен Bluetooth, а ключ во время работы не занимает ни одного порта.

Да. Ключ работает от перезаряжаемого литиевого элемента на 110 мА·ч, заряжается по USB-C и при обычном использовании держит больше месяца на одном заряде. Это стандартный типоразмер, а не заказная деталь, и вы можете заменить его сами. Сначала отвяжите ключ или сбросьте его до заводских настроек: вскрытие корпуса сопряжённого ключа срабатывает датчик вскрытия и стирает его. Замените элемент, закройте корпус и выполните сопряжение заново.

На самом устройстве и больше нигде. Шаблоны отпечатков хранятся и сравниваются внутри ключа. Они не попадают ни на диск компьютера, ни в сеть, ни в облако. По Bluetooth передаётся только подписанное HMAC уведомление о совпадении, но не сам отпечаток. При сопряжении происходит прямой обмен ECDH между устройством и вашей машиной. Обновления прошивки подписаны и проверяются перед установкой. Нет аккаунта, нет сервера, нет телеметрии: всё работает офлайн и продолжит работать, даже если нас не станет.

Весь исходный код опубликован на GitHub под двумя разными лицензиями. Приложения для macOS, Windows и Linux, включая модули PAM и Credential Provider для Windows, открыты под Apache 2.0. Прошивка и аппаратная часть доступны по BSL 1.1 и перейдут на Apache 2.0 в 2030 году. Всё можно прочитать, изменить, собрать и прошить в собственное устройство. До перехода мы оставляем за собой единственное право: продавать конкурирующее оборудование.

Да. Исходники прошивки и железа открыты, а на плате есть интерфейс программирования, так что вы можете собрать свою прошивку и прошить её. Перед вскрытием сбросьте ключ, потому что вскрытие сопряжённого ключа срабатывает датчик вскрытия. Как только устройство работает на собранной вами прошивке, оно снимается с гарантии и больше не получает официальные обновления прошивки.

Это другой уровень, и они дополняют друг друга. YubiKey и passkeys доказывают сайту, кто вы. immurok убирает возню с паролем на той машине, что перед вами: разблокировка экрана, sudo, запросы администратора, подпись SSH и Git. Менеджер паролей хранит пароли; immurok разблокирует 1Password и Bitwarden одним касанием на macOS, Windows и Linux и держит секреты TOTP на самом устройстве, чтобы сиды двухфакторной аутентификации не лежали в настольном приложении. Touch ID является собственным датчиком Apple, сращённым с Secure Enclave, закрытым для сторонних разработчиков, и на Mac mini или внешней клавиатуре его просто нет. immurok представляет собой независимое устройство: sudo и запросы администратора идут через PAM, реальный системный механизм, а разблокировка экрана использует отдельно задокументированный путь.

От Apple нет. Touch ID бывает только встроенным в MacBook и в Magic Keyboard с Touch ID, которая стоит от US$149 до US$199, требует Mac на Apple Silicon и привязывает датчик к клавиатуре, которая вам может быть не нужна. Отдельного датчика Touch ID не существует, а поскольку Touch ID сращён с Secure Enclave, сторонний производитель сделать его тоже не может. immurok ближе всего к этому: отдельный беспроводной ключ с датчиком отпечатка, который лежит на столе рядом с той клавиатурой, что у вас уже есть. На Mac mini, Mac Studio, iMac или закрытом MacBook он разблокирует экран, подтверждает sudo и запросы администратора, разблокирует 1Password и Bitwarden и подписывает коммиты SSH и Git. Это не Touch ID, и он не притворяется им: это отдельное устройство со своим датчиком и своей моделью безопасности, которое к тому же работает на Windows и Linux.

Нет. Ни подписки, ни аккаунта, ни облачного сервиса. Вы платите за устройство один раз. Приложения для macOS, Windows и Linux бесплатны, обновления прошивки тоже. Ничего не перестанет работать, даже если вы никогда не подключите устройство к интернету, потому что ему это не нужно.

Удерживайте кнопку около десяти секунд для сброса к заводским настройкам. Устройство стирает всё: ключи сопряжения, все записанные отпечатки и сохранённые учётные данные, и перезапускается готовым к новому сопряжению. Отменить это нельзя. Чтобы передать ключ на другой компьютер без полного сброса, выберите в приложении «Отвязать». Если ключ потерян, извлечь отпечатки из него невозможно: шаблоны не покидают железо, а вскрытие корпуса срабатывает как защита от вмешательства, стирает всё и оставляет индикатор гореть красным. На каждое устройство даётся год гарантии. Адрес поддержки указан в руководстве пользователя и в приложении.