immurok：Mac、Windows、Linux 通用的无线指纹密钥

macOS 13.0 及以上、Windows 10 和 11，以及大多数 Linux 发行版。Mac 版是同时支持 Apple Silicon 和 Intel 的通用版本。Windows 版提供 x64 和 Arm64 原生安装包，通过 Credential Provider 集成，所以在锁屏界面上也能用。Linux 版是 Rust 写的守护进程，集成 PAM 和 polkit，在 Ubuntu、Fedora、Arch、Debian 上测试过，多数其他发行版也能编译。因为这把钥匙是独立的蓝牙设备，不是嵌在笔记本里的传感器，所以在 Mac mini、Mac Studio、iMac、合盖的 MacBook、外接键盘和台式 PC 上用法完全一样。一把设备可以同时绑定两台电脑，用一根专门的手指在两者之间切换。

它不是 Windows Hello 设备，也不需要是。Windows Hello 是微软给笔记本内置传感器、认证键盘和摄像头准备的框架。immurok 走的是另一条路：一个跑在 Windows 登录界面里的 Credential Provider，所以触摸一下就能像 Hello 传感器一样解开锁屏，而且在没有 Hello 传感器的台式机和外接键盘上也一样能用。然后它比 Hello 走得更远。同一次触摸还能给 SSH 和 Git 提交签名、解锁 1Password 和 Bitwarden、放出 TOTP 验证码，同一把钥匙在 macOS 和 Linux 上也能用。

不支持。immurok 不是 FIDO 设备。它不会作为 passkey 或安全密钥注册到网站上，也不能替代 YubiKey。它干的是低一层的活，在你面前这台电脑上：解锁屏幕、批准 sudo 和管理员提示、给 SSH 和 Git 签名、解锁密码管理器、放出 TOTP 验证码。登录网站继续用你的 passkey 或安全密钥，其余的交给 immurok，我们很多人两样都用。

不支持。ChromeOS 不给第三方软件任何参与锁屏解锁或系统认证的入口，immurok 没有地方可以接进去。它支持 macOS 13 及以上、Windows 10 和 11，以及大多数 Linux 发行版。

能，最多两台，但同一时间只连接其中一台。钥匙内部保存两份独立的配对，各有各的密钥，两台电脑都一直绑着，但任一时刻只和其中一台通信。你把一根手指录成「切换指纹」，触摸它钥匙就从一台电脑切到另一台，目标电脑自动重连。移除其中一台只清掉那一份配对，另一台电脑和已录入的指纹不受影响。

四个都可以，在 macOS、Windows 和 Linux 上都支持。密码管理器弹出解锁框时，触摸一下就会填入一段存在钥匙上的专用密码并提交，这段密码与登录密码分开保存、分开开关。只有在签名白名单里的应用才能拿到它。

只能用来充电。USB-C 口只给电池充电，不走数据。配对、指纹结果和其他一切都走蓝牙 LE，所以电脑需要有蓝牙，而工作时钥匙不占任何接口。

可以。钥匙用一块 110 mAh 的可充电锂电池，通过 USB-C 充电，正常使用一次充电能用一个多月。它是市面上的标准规格，不是定制件，你可以自己换。换之前先取消配对或恢复出厂设置：已配对的钥匙一开盖就会触发防拆开关，把数据全部擦掉。换好电池、合上外壳，再重新配对。

存在设备里，别处没有。指纹模板保存在钥匙内部，比对也在钥匙内部完成，不会到你电脑的硬盘、网络或任何云服务上。蓝牙上传输的只是一条用 HMAC 签名的「匹配成功」通知，指纹本身不会出去。配对是设备和电脑之间直接做 ECDH 密钥交换。固件更新经过签名，安装前会验签。没有账号、没有服务器、没有遥测，所以全程离线可用，就算我们哪天不在了它也照样能用。

全部源代码都公开在 GitHub 上，用了两种许可。macOS、Windows 和 Linux 的 App，包括 PAM 模块和 Windows Credential Provider，是 Apache 2.0 的开源软件。固件和硬件是 BSL 1.1 的源码公开许可，2030 年转为 Apache 2.0。你可以读全部代码、修改它、自己编译并烧录到自己的设备上。转换之前我们保留的唯一权利是销售与之竞争的硬件。

能。固件和硬件的源码都是公开的，PCB 上预留了烧录接口，你可以自己编译固件并烧进去。开盖之前先把钥匙重置，因为已配对的钥匙开盖会触发防拆开关。一旦设备跑的是你自己编译的固件，就不再享受保修，也不再收到官方固件更新。

层次不同，可以一起用。YubiKey 和 passkey 解决的是向网站证明你是谁。immurok 解决的是眼前这台电脑上输密码的麻烦：解锁屏幕、sudo、管理员提示、SSH 和 Git 签名。密码管理器保存你的密码；immurok 在 macOS、Windows、Linux 上都能一碰解锁 1Password 和 Bitwarden，还能把 TOTP 种子存在设备里，这样两步验证的种子就不用躺在桌面 App 中。Touch ID 是苹果自己的传感器，和 Secure Enclave 焊死在一起，第三方用不了，而且 Mac mini 和外接键盘上根本就没有。immurok 是一台独立设备：sudo 和管理员提示走 PAM 这一真实的系统机制，解锁屏幕走另一条单独文档化的辅助路径。

苹果没有出过。Touch ID 只内置在 MacBook 和带 Touch ID 的妙控键盘里，那把键盘卖 US$149 到 US$199，要求 Apple 芯片的 Mac，而且传感器和键盘绑死，你未必想要那把键盘。单独的 Touch ID 传感器不存在，Touch ID 和 Secure Enclave 焊在一起，第三方也做不出来。immurok 是最接近的东西：一把独立的无线指纹钥匙，放在桌上、挨着你现在用的任何键盘。在 Mac mini、Mac Studio、iMac 或合盖的 MacBook 上，它能解锁屏幕、批准 sudo 和管理员提示、解锁 1Password 和 Bitwarden、给 SSH 和 Git 提交签名。它不是 Touch ID，也不假装是：它是一台单独的设备，有自己的传感器和自己的安全模型，而且 Windows 和 Linux 也能用。

不需要。没有订阅、没有账号、没有云服务。设备买一次就好。macOS、Windows 和 Linux 的 App 免费，固件更新也免费。就算你从来不把设备连上网，也不会有任何功能停掉，因为它根本不需要联网。

按住按钮约十秒钟恢复出厂设置。设备会擦掉全部数据，包括配对密钥、所有已录入的指纹和保存的凭据，然后重启回到可配对状态。这个操作不可撤销。如果只是想把钥匙换到另一台电脑而不做完全重置，在 App 里选择解除配对。设备丢了也没人能取出你的指纹：模板不会离开硬件，强行撬开外壳会触发防拆开关，把所有数据擦除并让指示灯常亮红色。每台设备含一年保修。技术支持的联系方式印在用户手册上，App 里也能看到。