Enclave crittografico di identità centralizzato, con supporto hardware TPM 2.0, e bridge multi-protocollo per Linux (FIDO2/CTAP2 WebAuthn Passkeys, OpenSSH Agent, GnuPG LibAssuan, age-plugin, archivio di configurazione cifrato).
.. image:: https://gitlab.com/renich/genclave/-/raw/master/assets/banner.svg :width: 100% :align: center :alt: banner di gEnclave
|
.. image:: https://gitlab.com/renich/genclave/badges/master/pipeline.svg :target: https://gitlab.com/renich/genclave/-/commits/master :alt: stato della pipeline .. image:: https://img.shields.io/gitlab/v/release/renich/genclave?logo=gitlab&label=release :target: https://gitlab.com/renich/genclave/-/releases :alt: Release GitLab .. image:: https://img.shields.io/badge/Go-1.26+-00ADD8?style=flat&logo=go :target: https://golang.org/ :alt: Versione Go .. image:: https://img.shields.io/badge/License-GPLv3-blue.svg?logo=gnu :target: https://www.gnu.org/licenses/gpl-3.0 :alt: Licenza
|
.. image:: https://img.shields.io/badge/FIDO2-CTAP2%20Virtual%20HID-4285F4?logo=fido :target: docs/technical/specs/ctap2-virtual-hid.rst :alt: FIDO2 CTAP2 .. image:: https://img.shields.io/badge/Hardware-TPM%202.0%20Sealed-4CAF50?logo=security :target: docs/technical/specs/tpm-binding.rst :alt: TPM 2.0 .. image:: https://img.shields.io/badge/Bridges-SSH%20%7C%20GPG%20%7C%20Age%20%7C%20D--Bus-8b5cf6 :target: docs/technical/specs/protocol-bridges.rst :alt: Bridge multi-protocollo .. image:: https://img.shields.io/badge/Donate-Liberapay-f6c915.svg?logo=liberapay&logoColor=black :target: https://liberapay.com/Renich/donate :alt: Dona tramite Liberapay
.. caution::
SOFTWARE PRE-ALPHA — USARE A PROPRIO RISCHIO E PERICOLO!
Nonostante la numerazione delle release, gEnclave (precedentemente gpasskey) è attualmente un software sperimentale pre-alpha in fase di rapido sviluppo architetturale. Gli schemi crittografici, i formati dei vault e i bridge di protocollo possono cambiare senza compatibilità con le versioni precedenti.
gEnclave fornisce un enclave di sicurezza unificato supportato dall'hardware che archivia chiavi private e segreti in un vault crittografato sigillato tramite TPM.
Funziona come bridge multi-protocollo, supportando Passkey WebAuthn/FIDO2, OpenSSH Agent, il protocollo del plugin di crittografia age, l'emulazione della firma dei commit GnuPG e la configurazione crittografata dei segreti.
Supporto multi-protocollo:
/dev/uhid per l'autenticazione nativa con Passkey su browser (Firefox, Chrome, Chromium) e sistema operativo.age (v1) (age-plugin-ge/age-plugin-gpasskey).genclave-gpg/gpasskey-gpg) per la firma e la verifica dei commit Git in modo trasparente.Sicurezza supportata dall'hardware: Chiavi private cifrate con AES-256-GCM, sigillate principalmente al TPM 2.0 con caching SRK e fallback software automatico ad Argon2id.
Binding crittografico del PIN e cache di autorizzazione: Ogni operazione è vincolata a una sottochiave derivata dal PIN con una cache di autorizzazione in memoria in RAM bloccata dal kernel (mlock). Supporta una durata burst configurabile (predefinita 5s) o caching persistente/illimitato (configurato nel vault o tramite GENCLAVE_SSH_CACHE_TTL), con azzeramento istantaneo in caso di sospensione del sistema o blocco manuale.
Pre-autenticazione CLI e controllo del blocco: Sblocca o blocca direttamente la cache in memoria dal terminale (ge unlock [--stdin], ge lock) per script batch automatizzati e flussi di lavoro headless.
KDF Argon2id: Derivazione delle chiavi memory-hard per la passphrase principale, il recupero e le sottochiavi.
Protezione brute-force: Backoff esponenziale automatico per i tentativi di autorizzazione falliti.
Routing intelligente dell'interfaccia: Rilevamento automatico della sessione (grafica vs. TTY) per le richieste di autorizzazione.
Memoria sicura: Utilizza mmap/mlock e una strategia "Wrap and Clear" per impedire che il materiale delle chiavi finisca nello swap o nell'heap del GC.
Gestione delle identità: CLI robusta (ge) per l'amministrazione del vault e la gestione cifrata dei segreti.
Hardware e kernel
* **TPM 2.0**: Hardware TPM 2.0 device (``/dev/tpmrm0`` or ``/dev/tpm0``), or ``swtpm`` for software-emulated development.
* **Linux Kernel with /dev/uhid**: Native kernel support for user-space HID devices (enabled by default in modern distributions) to support virtual FIDO2/CTAP2 browser passkeys.
Runtime Dependencies
wl-copy): consigliato per la copia negli appunti con un clic nella finestra di ripristino di emergenza.Dipendenze di build e sviluppo
* **Go 1.26** or later
* **GNU Make**
* **swtpm** (optional, required to execute the full integration test suite)
Package Manager Installation
~~~~~~~~~~~~~~~~~~~~~~~~~~~~
On Fedora/RHEL/AlmaLinux:
.. code-block:: bash
sudo dnf install golang make tpm2-tools zenity pinentry wl-clipboard swtpm
On Arch Linux:
.. code-block:: bash
sudo pacman -S go make tpm2-tools zenity pinentry wl-clipboard swtpm
On Debian/Ubuntu:
.. code-block:: bash
sudo apt install golang-go make tpm2-tools zenity pinentry-curses wl-clipboard swtpm
Quick Start
-----------
Build and install for your user account (recommended, non-root):
.. code-block:: bash
make
make install-user # Installs binaries, systemd units, man pages, and activates services
Or install system-wide (requires root):
.. code-block:: bash
sudo make install # Installs to /usr/local/bin, /usr/share/man, etc.
Inspect enclave and daemon status:
.. code-block:: bash
ge status
Pre-authenticate the cache for automated scripts or headless sessions:
.. code-block:: bash
# Unlock cache interactively via TTY:
ge unlock
# Or pre-authenticate via pipeline in scripts:
echo "$PIN" | ge unlock --stdin
# Purge and lock immediately when finished:
ge lock
Manage OpenSSH keys in the vault:
.. code-block:: bash
# Generate a new hardware-sealed Ed25519 SSH key:
ge ssh generate --name personal-github
# Or import your existing keys from ~/.ssh/:
ge ssh import ~/.ssh/
# Export OpenSSH public key for GitHub/GitLab:
ge ssh public personal-github
Manage GnuPG identities & Git commit signing:
.. code-block:: bash
# Generate an OpenPGP signing key:
ge gpg generate --user-name "Your Name" --email "[email protected]"
# List registered keys and Libgcrypt keygrips:
ge gpg list
Manage WebAuthn Passkeys in Browser:
.. code-block:: bash
# Open Firefox or Chrome, go to https://webauthn.io/
# Click "Register" -> enter your PIN in the gEnclave prompt -> Passkey is created!
# Click "Authenticate" -> enter your PIN -> Instant login verified!