Hiya

Authentification par empreinte digitale pour Linux. Gère sudo, su, polkit, déverrouillage d'écran, clés SSH et passkeys navigateur à partir d'un seul enrôlement.

Remplace fprintd. Fonctionne avec les environnements de bureau existants sans les modifier.

Prérequis

• Capteur d'empreinte compatible libfprint
• Linux avec PAM, systemd, D-Bus
• TPM 2.0 facultatif (utilisé pour sceller les données d'enrôlement)

Installation

sudo ./install.sh install

Installe les dépendances de compilation, compile, branche PAM, démarre le démon.

Ensuite, enrôlez (en tant que vous-même, pas root) :

hiya-enroll --finger 2 --label "right index"
hiya-verify
sudo -k && sudo whoami

Numéros de doigts : 1–5 = du pouce gauche à l'auriculaire gauche, 6–10 = du pouce droit à l'auriculaire droit.

Désinstallation

sudo ./install.sh uninstall

Efface les modèles sur la puce et supprime les données d'enrôlement. Les identifiants FIDO2 et les clés SSH dans /var/lib/hiya/fido2/ sont conservés. Pour les supprimer aussi :

sudo rm -rf /var/lib/hiya

Commandes

hiya-enroll --finger N --label "name" enrôler un doigt hiya-enroll --list lister les enrôlements hiya-enroll --delete --finger N supprimer un doigt hiya-enroll --delete-all tout supprimer hiya-verify tester la vérification hiya-cli shell interactif sudo ./install.sh status statut du démon

Ce qui est modifié

L'installation insère pam_hiya.so dans chaque fichier PAM du système contenant des lignes auth. La désinstallation restaure toutes les sauvegardes. La ligne PAM utilise default=ignore donc une empreinte échouée ou expirée retombe toujours sur le mot de passe — elle ne bloque jamais la connexion.

Distributions prises en charge

Fedora, RHEL, Ubuntu, Debian, Arch, openSUSE. Distributions inconnues : installez les dépendances manuellement, puis exécutez sudo ./install.sh.

Compilation manuelle

meson setup build --prefix=/usr
ninja -C build
sudo ninja -C build install

Dépendances : meson ninja gcc libfprint-2 glib2 dbus pam mbedtls libcurl systemd

Sécurité

Voir SECURITY.md.