SudoStamp

Bestätige sudo auf deinem Linux-Rechner, indem du den Fingerabdrucksensor deines Android-Telefons berührst.

Tippe sudo, dein Telefon vibriert, du berührst den Sensor, der Befehl wird ausgeführt. Kein Passwort eingetippt, nichts in der Cloud: Das Telefon antwortet über dein LAN, und der Fingerabdruck wird von der sicheren Hardware des Telefons (TEE / StrongBox) erzwungen, nicht durch App-Code. Wenn etwas schiefgeht (Telefon aus, außer Reichweite, du tippst auf Ablehnen, 60 Sekunden vergehen), fällt sudo einfach auf deine normale Passwortabfrage zurück. Es kann sudo bequemer machen; es kann dich nicht aussperren.

So sieht es aus

1. sudo auf dem Host Auf dem Telefon erscheint, wer fragt. Ablehnen funktioniert direkt von hier aus.	2. Darauf tippen Ein Countdown, der Host und die Uhrzeit, eine Warnung bei nie zuvor gesehenen Hosts. Dann die System-Fingerabdruckabfrage.	3. Den Sensor berühren Die TEE signiert, sudo fährt fort, die App schließt sich selbst.
Erster Start Drei Schritte und eine Schaltfläche. Bietet die Einrichtung des Fingerabdrucks an, falls das Telefon keinen hat.	Einrichtung Eine Live-Checkliste: Listener, Benachrichtigungen, Akku, Nicht stören. „Bereit“ erst, wenn alles bestanden ist.	Abgelehnt oder Zeitüberschreitung Keine Signatur verlässt das Telefon; der Host fragt nach dem Passwort.

_{Screenshots von einem Pixel-7-Emulator (daher 10.0.2.2, der Host des Emulators). Das System-Fingerabdruckfenster, das über Schritt 2 erscheint, ist ein sicheres Fenster und erscheint nicht in Screenshots.}

So funktioniert es

sudo on the host
  -> PAM: pam_rssh (third-party) dials the phone over the LAN, as an ssh-agent
  -> phone: "Approve sudo? From 192.168.1.10"              (notification)
  -> tap -> BiometricPrompt -> fingerprint
  -> the phone's TEE signs pam_rssh's fresh 32-byte challenge
  -> pam_rssh verifies against the pinned public key -> sudo proceeds

Warum man ihm vertrauen kann

• Der einzige eigene Code ist die Handy-App, und sie signiert nur. PAM-Integration, Signaturprüfung und Fail-Closed-Verhalten stammen von pam_rssh, einem bestehenden, gepflegten Modul. Nichts von dem hier Geschriebenen läuft zum Authentifizierungszeitpunkt als root auf dem Host.
• Die Biometrie ist ein Hardware-Gate. Der Android-Keystore-Schlüssel wird mit setUserAuthenticationParameters(0, AUTH_BIOMETRIC_STRONG) erstellt: eine frische starke Biometrie für jede Signatur, durchgesetzt innerhalb der TEE (oder StrongBox). Malware auf dem Handy kann ebenfalls nicht ohne deinen Finger signieren, und der Schlüssel kann nicht exportiert werden.
• Sie signiert nichts außer sudo-Challenges. Der Agent lehnt jede Payload ab, die nicht exakt pam_rssh's 32-Byte-Challenge entspricht, sodass der Schlüssel als SSH-Login- oder Git-Signing-Oracle nutzlos ist.
• Keine Laufzeitabhängigkeiten von Drittanbietern in der App: nur Plattform-APIs.

SECURITY.md enthält das vollständige Bedrohungsmodell, einschließlich dessen, wogegen es keinen Schutz bietet. docs/DESIGN.md enthält das Design und die Begründung dahinter.

Voraussetzungen

• Handy: Android 11+ (API 30, wo per-use-Biometrie-Schlüssel ausdrückbar wurden) mit einem Fingerabdrucksensor der Klasse 3 („stark").
• Host: eine der folgenden Plattformen. Der Installer bringt pam_rssh mit: ein Paket, wo eines existiert, andernfalls aus einem gepinnten, verifizierten Commit gebaut.