* **TPM 2.0**: Dispositivo TPM 2.0 físico (``/dev/tpmrm0`` o ``/dev/tpm0``), o ``swtpm`` para desarrollo con emulación por software.
* **Kernel de Linux con /dev/uhid**: Compatibilidad nativa del kernel con dispositivos HID en espacio de usuario (habilitada por defecto en distribuciones modernas) para admitir passkeys FIDO2/CTAP2 virtuales en el navegador.

Dependencias de tiempo de ejecución

* **Go 1.26** o posterior
* **GNU Make**
* **swtpm** (opcional, necesario para ejecutar la suite completa de pruebas de integración)

Instalación mediante gestor de paquetes
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

En Fedora/RHEL/AlmaLinux:

.. code-block:: bash

   sudo dnf install golang make tpm2-tools zenity pinentry wl-clipboard swtpm

En Arch Linux:

.. code-block:: bash

   sudo pacman -S go make tpm2-tools zenity pinentry wl-clipboard swtpm

En Debian/Ubuntu:

.. code-block:: bash

   sudo apt install golang-go make tpm2-tools zenity pinentry-curses wl-clipboard swtpm

Inicio rápido
-------------

Compila e instala para tu cuenta de usuario (recomendado, sin root):

.. code-block:: bash

   make clean && make all
   make install-user   # Instala en ~/.local/bin, ~/.config/systemd/user, ~/.local/share/dbus-1

O instala en todo el sistema (requiere root):

.. code-block:: bash

   sudo make install   # Instala en /usr/local/bin

Habilita e inicia la activación por socket:

.. code-block:: bash

   systemctl --user enable --now genclave-ssh.socket genclave-gpg.socket

Inicializa tu bóveda y verifica el estado:

.. code-block:: bash

   ge status
   # Las identidades se registran automáticamente en el primer uso por los clientes 
   # (passkeys WebAuthn, SSH, age, GPG) o a través de la API del portal.

Preautentica la caché para scripts automatizados o sesiones sin interfaz gráfica:

.. code-block:: bash

   # Desbloquear la caché de forma interactiva mediante TTY:
   ge unlock

   # O preautenticar mediante una tubería en scripts:
   echo "$PIN" | ge unlock --stdin

   # Purgar y bloquear inmediatamente al terminar:
   ge lock


Passkeys WebAuthn en el navegador:

.. code-block:: bash

   # Abre Firefox o Chrome, ve a https://webauthn.io/
   # Haz clic en "Register" -> introduce tu PIN en el aviso de gEnclave -> ¡Se crea la passkey!
   # Haz clic en "Authenticate" -> introduce tu PIN -> ¡Inicio de sesión instantáneo verificado!

Gestiona secretos cifrados en el almacén de configuración respaldado por TPM:

.. code-block:: bash

   ge set-secret my-api-key "super-secret-value"
   ge get-secret my-api-key

Documentación y especificaciones
--------------------------------

Nuestra exhaustiva documentación de ingeniería está organizada en especificaciones modulares, registros de arquitectura y hojas de ruta:

* **Especificaciones funcionales**: `Functional Spec Index`_ — Define los requisitos de usuario y los modelos de autorización.
* **Planos técnicos**: `Technical Spec Index`_ — Arquitectura detallada en Go, primitivas criptográficas y diseños de enclave.
* **Registros de decisiones de arquitectura (ADR)**: `ADR Index`_ — Registro inmutable de decisiones arquitectónicas, criptográficas y de seguridad.
* **API y protocolos de comunicación**: `API Spec Index`_ — Socket de gestión, portales D-Bus y esquemas de comunicación de los puentes.
* **Hoja de ruta de ejecución del proyecto**: `Roadmap Index`_ — Cronogramas de ingeniería por fases y entregables por hitos.

Guías de usuario
~~~~~~~~~~~~~~~~

* `User Quick Start`_ - Empieza a usarlo en 5 minutos.
* `Installation Guide`_ - Compilación detallada, configuración de udev y systemd.
* `OpenSSH Guide`_ - Integración con el agente OpenSSH, hosts de salto y claves FIDO2.
* `GnuPG & Git Signing Guide`_ - Gestión de claves OpenPGP y firma de commits de Git.
* `Pluggable Factors Guide`_ - Keyfiles, YubiKeys, biometría y quórums de Shamir.
* `Security Guide`_ - Enclave de hardware TPM 2.0 y aislamiento de memoria "Wrap and Clear".
* `Configuration Guide`_ - Variables de entorno y opciones de servicio.
* `CLI Reference`_ - Documentación completa de la interfaz de línea de comandos.

.. _Functional Spec Index: docs/functional/spec.rst
.. _Technical Spec Index: docs/technical/spec.rst
.. _ADR Index: docs/adrs/index.rst
.. _API Spec Index: docs/api/spec.rst
.. _Roadmap Index: docs/project/roadmap.rst
.. _User Quick Start: docs/user/quickstart.rst
.. _Installation Guide: docs/user/installation.rst
.. _OpenSSH Guide: docs/user/ssh.rst
.. _GnuPG & Git Signing Guide: docs/user/gpg.rst
.. _Pluggable Factors Guide: docs/user/factors.rst
.. _Security Guide: docs/user/security.rst
.. _Configuration Guide: docs/user/configuration.rst
.. _CLI Reference: docs/user/cli.rst

Factores conectables y quórum multiparte (Fase 7)
-------------------------------------------------

**Fase 7: Motor de autenticación multifactor conectable y quórum multiparte** ofrece:

* **Hasher de archivos arbitrarios en streaming**: Usa cualquier archivo (desde un breve poema de texto hasta un máster de audio FLAC de 100 GB o una imagen) como factor de autorización con un consumo de memoria constante :math:`\mathcal{O}(1)` (búfer :math:`\le 64\,\text{KB}`).
* **Quórum multiparte ("La receta de Coca-Cola")**: **Shamir Secret Sharing con envoltura de claves** sobre :math:`\text{GF}(2^8)` con etiquetas de verificación HMAC, lo que permite autorización con clave dividida :math:`k`-de-:math:`n`.
* **Hardware y biometría**: YubiKey física (Slot 2 HMAC-SHA1), claves FIDO2 físicas (``hmac-secret``) y biometría de Linux (``fprintd``).
* **Recifrado dinámico de factores**: Recifrado atómico en memoria (``ge rekey``) para cambiar la política de factores de una identidad sobre la marcha sin recrear claves.
* **Modernización de la CLI**: Interfaz de línea de comandos simplificada en la canónica ``ge``.
* **Desbloqueo automático de escritorio**: Integración perfecta con el Freedesktop Secret Service (``org.freedesktop.secrets``).

Consulta `Phase 7 Roadmap`_ y `ADR-006`_ para ver las especificaciones completas.

.. _Phase 7 Roadmap: docs/project/roadmaps/phase-7-pluggable-factors.rst
.. _ADR-006: docs/adrs/2026-08-25-pluggable-auth-factors.rst

Componentes
-----------

* **genclaved**: El enclave de seguridad principal y el demonio de clave de seguridad USB CTAP2/FIDO2 virtual (``man 8 genclaved``).
* **ge**: Herramienta principal de línea de comandos para la administración de la bóveda, la generación de claves OpenSSH/GnuPG y la configuración cifrada (``man 1 ge``).
* **age-plugin-ge**: Complemento para la herramienta de cifrado ``age`` (``man 1 age-plugin-ge``).
* **genclave-gpg**: Puente de emulación para la firma y verificación compatibles con GnuPG (``man 1 genclave-gpg``).
* **genclave-ui**: Asistente gráfico para la introducción del PIN (``man 1 genclave-ui``).

Desarrollo
----------

Ejecuta las pruebas unitarias:

.. code-block:: bash

   make test

Ejecuta la suite completa de integración nativa de Go (requiere ``swtpm``):

.. code-block:: bash

   make integration-test

Soporte y donaciones
--------------------

Si encuentras útil **gEnclave** y quieres apoyar su desarrollo continuo, considera donar a través de Liberapay:

.. image:: https://liberapay.com/assets/widgets/donate.svg
   :target: https://liberapay.com/Renich/donate
   :alt: Donate using Liberapay

Licencia
--------

Copyright 2026 EVALinux

Este proyecto está licenciado bajo la GNU General Public License v3.0 o posterior.
Consulta el archivo LICENSE para más detalles.