* **TPM 2.0**: Аппаратное устройство TPM 2.0 (``/dev/tpmrm0`` или ``/dev/tpm0``) или ``swtpm`` для программно-эмулированной разработки.
* **Ядро Linux с /dev/uhid**: Нативная поддержка ядром HID-устройств пользовательского пространства (включена по умолчанию в современных дистрибутивах) для поддержки виртуальных браузерных passkey FIDO2/CTAP2.

Зависимости времени выполнения

* **Go 1.26** или новее
* **GNU Make**
* **swtpm** (опционально, требуется для запуска полного набора интеграционных тестов)

Установка через менеджер пакетов
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

В Fedora/RHEL/AlmaLinux:

.. code-block:: bash

   sudo dnf install golang make tpm2-tools zenity pinentry wl-clipboard swtpm

В Arch Linux:

.. code-block:: bash

   sudo pacman -S go make tpm2-tools zenity pinentry wl-clipboard swtpm

В Debian/Ubuntu:

.. code-block:: bash

   sudo apt install golang-go make tpm2-tools zenity pinentry-curses wl-clipboard swtpm

Быстрый старт
-------------

Сборка и установка для вашей учётной записи (рекомендуется, без root):

.. code-block:: bash

   make clean && make all
   make install-user   # Installs to ~/.local/bin, ~/.config/systemd/user, ~/.local/share/dbus-1

Или установка в систему (требуется root):

.. code-block:: bash

   sudo make install   # Installs to /usr/local/bin

Включение и запуск активации сокета:

.. code-block:: bash

   systemctl --user enable --now genclave-ssh.socket genclave-gpg.socket

Инициализация хранилища и проверка статуса:

.. code-block:: bash

   ge status
   # Identities are enrolled automatically on first use by clients 
   # (WebAuthn passkeys, SSH, age, GPG) or via the portal API.

Предварительная аутентификация кэша для автоматизированных скриптов или безголовых сессий:

.. code-block:: bash

   # Unlock cache interactively via TTY:
   ge unlock

   # Or pre-authenticate via pipeline in scripts:
   echo "$PIN" | ge unlock --stdin

   # Purge and lock immediately when finished:
   ge lock


Passkeys WebAuthn в браузере:

.. code-block:: bash

   # Open Firefox or Chrome, go to https://webauthn.io/
   # Click "Register" -> enter your PIN in the gEnclave prompt -> Passkey is created!
   # Click "Authenticate" -> enter your PIN -> Instant login verified!

Управление зашифрованными секретами в конфигурационном хранилище на базе TPM:

.. code-block:: bash

   ge set-secret my-api-key "super-secret-value"
   ge get-secret my-api-key

Документация и спецификации
---------------------------

Наша комплексная инженерная документация организована в модульные спецификации, архитектурные записи и дорожные карты:

* **Функциональные спецификации**: `Functional Spec Index`_ — Определяет пользовательские требования и модели авторизации.
* **Технические чертежи**: `Technical Spec Index`_ — Подробная архитектура Go, криптографические примитивы и проекты анклавов.
* **Записи об архитектурных решениях (ADR)**: `ADR Index`_ — Неизменяемый журнал архитектурных, криптографических и security-решений.
* **API и сетевые протоколы**: `API Spec Index`_ — Управляющий сокет, порталы D-Bus и схемы сетевых мостов.
* **Дорожная карта выполнения проекта**: `Roadmap Index`_ — Поэтапные инженерные графики и вехи.

Руководства пользователя
~~~~~~~~~~~~~~~~~~~~~~~~

* `User Quick Start`_ — Начало работы за 5 минут.
* `Installation Guide`_ — Подробная сборка, настройка udev и systemd.
* `OpenSSH Guide`_ — Интеграция с агентом OpenSSH, jump-хосты и ключи FIDO2.
* `GnuPG & Git Signing Guide`_ — Управление ключами OpenPGP и подпись коммитов Git.
* `Pluggable Factors Guide`_ — Keyfiles, YubiKeys, биометрия и кворумы Шамира.
* `Security Guide`_ — Аппаратный анклав TPM 2.0 и изоляция памяти «Wrap and Clear».
* `Configuration Guide`_ — Переменные окружения и параметры сервиса.
* `CLI Reference`_ — Полная документация интерфейса командной строки.

.. _Functional Spec Index: docs/functional/spec.rst
.. _Technical Spec Index: docs/technical/spec.rst
.. _ADR Index: docs/adrs/index.rst
.. _API Spec Index: docs/api/spec.rst
.. _Roadmap Index: docs/project/roadmap.rst
.. _User Quick Start: docs/user/quickstart.rst
.. _Installation Guide: docs/user/installation.rst
.. _OpenSSH Guide: docs/user/ssh.rst
.. _GnuPG & Git Signing Guide: docs/user/gpg.rst
.. _Pluggable Factors Guide: docs/user/factors.rst
.. _Security Guide: docs/user/security.rst
.. _Configuration Guide: docs/user/configuration.rst
.. _CLI Reference: docs/user/cli.rst

Подключаемые факторы и многосторонний кворум (Фаза 7)
-----------------------------------------------------

**Фаза 7: Движок подключаемых многофакторных и многосторонних кворумов** предоставляет:

* **Потоковый хешер произвольных файлов**: Используйте любой файл (от короткого стихотворения до 100-гигабайтного мастер-файла FLAC или изображения) в качестве фактора авторизации с постоянным потреблением памяти :math:`\mathcal{O}(1)` (буфер :math:`\le 64\,\text{KB}`).
* **Многосторонний кворум («Рецепт Coca-Cola»)**: **Разделение секрета Шамира с обёрткой ключа** над :math:`\text{GF}(2^8)` с тегами проверки HMAC, обеспечивающее авторизацию с разделённым ключом :math:`k`-из-:math:`n`.
* **Аппаратное обеспечение и биометрия**: Физический YubiKey (Slot 2 HMAC-SHA1), физические ключи FIDO2 (``hmac-secret``) и биометрия Linux (``fprintd``).
* **Динамическая перегенерация ключей факторов**: Атомарное перешифрование в памяти (``ge rekey``) для переключения политики факторов идентичности на лету без пересоздания ключей.
* **Модернизация CLI**: Оптимизированный интерфейс командной строки, сведённый к каноническому ``ge``.
* **Автоматическая разблокировка в рабочей среде**: Бесшовная интеграция с Freedesktop Secret Service (``org.freedesktop.secrets``).

См. `Phase 7 Roadmap`_ и `ADR-006`_ для полных спецификаций.

.. _Phase 7 Roadmap: docs/project/roadmaps/phase-7-pluggable-factors.rst
.. _ADR-006: docs/adrs/2026-08-25-pluggable-auth-factors.rst

Компоненты
----------

* **genclaved**: Ядро анклава безопасности и демон виртуального USB-ключа безопасности CTAP2/FIDO2 (``man 8 genclaved``).
* **ge**: Основной инструмент командной строки для администрирования хранилища, генерации ключей OpenSSH/GnuPG и зашифрованной конфигурации (``man 1 ge``).
* **age-plugin-ge**: Плагин для инструмента шифрования ``age`` (``man 1 age-plugin-ge``).
* **genclave-gpg**: Мост эмуляции для подписи и проверки, совместимых с GnuPG (``man 1 genclave-gpg``).
* **genclave-ui**: Графический помощник для ввода PIN (``man 1 genclave-ui``).

Разработка
----------

Запуск модульных тестов:

.. code-block:: bash

   make test

Запуск полного нативного интеграционного набора Go (требуется ``swtpm``):

.. code-block:: bash

   make integration-test

Поддержка и пожертвования
-------------------------

Если вы находите **gEnclave** полезным и хотите поддержать его дальнейшую разработку, рассмотрите возможность пожертвования через Liberapay:

.. image:: https://liberapay.com/assets/widgets/donate.svg
   :target: https://liberapay.com/Renich/donate
   :alt: Donate using Liberapay

Лицензия
--------

Copyright 2026 EVALinux

Этот проект лицензирован под GNU General Public License v3.0 или более поздней версией.
Подробности см. в файле LICENSE.