Ukončení uzamčení kiosku a obnovení PINu

Nativní aplikace kiosku (desktop i Android) běží v uzamčeném režimu: bezokrajová celá obrazovka, vždy navrchu, s potlačenými obvyklými zkratkami pro zavření a přepnutí (viz Uzamčení desktopového kiosku). Dohlížející operátor se přesto může dostat ven — existuje záměrný, PINem chráněný únikový mechanismus. Tato stránka je operátorovým průvodcem k němu: jak otevřít nabídku správce, ukončit kiosek a obnovit zapomenutý PIN.

Nastavte PIN před nasazením

PIN správce se nastavuje během dozorovaného prvního spuštění, ještě před předáním zařízení veřejnosti. Uchovejte ho někde, kde ho váš tým najde — zapomenutý PIN v současnosti vyžaduje obnovení administrátorem (viz níže).

Otevření nabídky správce

Gesto je na každé platformě stejné: pět rychlých klepnutí v pravém horním rohu, každé do ~1,5 sekundy od předchozího.

Na desktopu s hardwarovou klávesnicí můžete také stisknout F12 pětkrát rychle za sebou. F12 na softwarových klávesnicích tabletů chybí, takže ho zákazník nemůže vyvolat náhodou.

Samotné gesto nic viditelného neudělá — pouze otevře PIN výzvu Přístup správce. Zadejte PIN správce pro odemčení nabídky.

Toto gesto je bezpečné zveřejnit

Zveřejnění gesta neoslabuje uzamčení: otevření výzvy je bez PINu neúčinné a opakované nesprávné PINy spouští časovanou blokaci. Chrání zařízení PIN — ne utajení gesta.

V nabídce správce

Jakmile je PIN přijat, nabídka se otevře. Dostupné akce se mezi platformami mírně liší.

Desktop:

• Ukončit kiosek — opustí uzamčenou celou obrazovku a vrátí se na plochu.
• Změnit PIN — nastaví nový PIN správce (minimálně 4 znaky).
• Instalovat aktualizaci — zobrazuje se pouze na Linuxu, když čeká aktualizace. macOS a Windows zobrazují vlastní výzvy k aktualizaci.

Android:

• Změnit tiskárnu — znovu spustí nastavení tiskárny.
• Nastavit jako domovskou aplikaci — nastaví kiosek jako launcher zařízení.
• Ukončit — opustí režim kiosku (lock-task) a vrátí se na launcher Androidu.

Android nemá na zařízení akci „Změnit PIN“ — PIN pro Android nastavte nebo resetujte přes váš EMM (nebo vymazáním úložiště aplikace), jak je popsáno v sekci Obnovení zapomenutého PINu níže.

Příliš mnoho nesprávných pokusů

Po několika nesprávných PINech je zadávání na přibližně minutu zablokováno. Na desktopu výzva zobrazuje živý odpočet; na Androidu se doba čekání zobrazí při příštím vyvolání gesta. Počkejte, až blokace vyprší, a zkuste to znovu. Tato ochrana proti hrubé síle je důvodem, proč veřejné zveřejnění gesta nepředstavuje riziko.

Obnovení zapomenutého PINu

Na zařízení neexistuje žádné svépomocné tlačítko „resetovat PIN“ — to by umožnilo komukoli, kdo se k výzvě dostane, obejít ochranu. Obnovení je akce administrátora a nejsnazší cesta závisí na platformě.

Android — odeslání nového PINu z vašeho EMM (doporučeno)

Pokud je tablet zaregistrován v EMM, může administrátor resetovat PIN ze správcovské konzole bez fyzického přístupu k zařízení:

1. V EMM upravte spravovanou konfiguraci aplikace Jonot Kiosek.
2. Nastavte managerPin na nový 4–32místný PIN a odešlete zásadu.
3. Zařízení nový PIN přijme při dalším přijetí zásady — není potřeba žádné gesto ani krok na zařízení.

Toto je netechnická cesta obnovení: odehrává se výhradně v konzoli EMM, kterou operátor už používá. (Nastavením managerPin zpět na prázdnou hodnotu se řízení PINu vrátí k prvotnímu nastavení na zařízení.)

Bez EMM je jedinou záložní možností pro Android vymazání úložiště aplikace kiosku přes nastavení Androidu (což zařízení vrátí k prvotnímu nastavení PINu) — tento technický krok by měl provádět ten, kdo zařízení původně nastavil.

Desktop — administrátor obnoví soubor s PINem

Desktopová aplikace ukládá solený hash PINu do ~/.jonot/kiosk-pin-hash (v domovském adresáři účtu kiosku). Pro obnovení administrátor s přístupem k tomuto účtu soubor smaže; aplikace se při příštím spuštění vrátí k dozorovanému prvotnímu nastavení PINu. Poškozený nebo neoprávněně upravený soubor je rozpoznán a systém se bezpečně uzavře — nabídka odmítne otevřít a vyzve vás ke kontaktování administrátora, místo aby nabídla reset, který by mohl zneužít útočník.

Jednodušší obnovení na desktopu se připravuje

Cesta obnovení na zařízení, funkční i offline (aby netechnický operátor nepotřeboval přístup k shellu k souboru s PINem), je sledována odděleně. Dokud nebude k dispozici, považujte PIN na desktopu za obnovitelný pouze administrátorem a zaznamenejte si ho při nastavování zařízení.

Kde je to zdokumentováno

• Tato veřejná stránka popisuje únikové gesto, nabídku správce a obnovení PINu — bezpečné sdílet s operátory, protože bez PINu je celý postup bez účinku.
• Samotné hodnoty PINů zůstávají u operátora, který zařízení nastavuje (nebo ve spravované konfiguraci EMM), nikdy v této dokumentaci.