Touch ID: какво е, как работи пръстовият отпечатък

Какво е Touch ID?

Touch ID е биометричен сензор за пръстов отпечатък, разработен от Apple за удостоверяване на потребителя на устройствата iPhone, iPad и Mac. Технологията се основава на капацитивно сканиране: тънък слой сапфирено стъкло върху сензора защитава 500-точковата капацитивна матрица, която разчита най-малките детайли на папиларния модел — минуции, пори и посоката на линиите.

За разлика от оптичните скенери, популярни в Android устройствата от онова време, капацитивният метод на Touch ID осигурява по-висока точност благодарение на директния контакт на пръста със сензора. Керамичният пръстен (detection ring) около бутона Home открива докосването на пръста и активира матрицата само при наличието на жив контакт, предотвратявайки фалшиви задействания от случайни докосвания на метални предмети.

Първото поколение Touch ID (iPhone 5S, iPad Air 2) имаше дебелина 170 микрона и резолюция на сензора 500 PPI. Второто поколение (iPhone 6S, iPhone SE от първо поколение) обнови сензора до 170-микронна матрица с подобрено разпознаване на влажни пръсти. Третото поколение се използва в MacBook Air и MacBook Pro с бутон Touch ID на клавиатурата — сензорът е свързан директно към чипа Apple T2 или Silicon Secure Enclave.

Как работи Touch ID?

Процесът на удостоверяване чрез Touch ID се състои от два етапа: обучение (enrollment) и верификация (verification). И двата етапа се изпълняват вътре в Secure Enclave — изолирания съпроцесор за сигурност, до който няма достъп от iOS дори с root права.

Регистриране на отпечатъка (Enrollment)

Потребителят поставя пръста върху бутона Home няколко пъти под различни ъгли. Капацитивната матрица сканира участък от отпечатъка с размер 8×8 мм с резолюция 500 PPI. Системата събира до 12 различни фрагмента от един отпечатък под различни ъгли на наклон — това е необходимо, за да разпознава пръста при завъртане на 360 градуса. Всеки фрагмент се преобразува в математически шаблон, който се обединява в един еталонен шаблон на отпечатъка.

Верификация (Verification)

При докосване на пръста detection ring изпраща сигнал до Secure Enclave, като задейства сканирането. Матрицата снема текущия отпечатък за 200–300 мс, извлича минуциите (краищата и разклоненията на папиларните линии) и ги сравнява със съхранените шаблони. Secure Enclave извършва сравнението по 50–100 точки, изчислявайки метрика на сходство. Ако съвпадението надвиши праговата стойност, удостоверяването се счита за успешно.

Неуспешни опити и блокиране

След 3 неуспешни опита Touch ID се блокира за 10 секунди. След 5 неуспешни опита се изисква паролата на устройството и Touch ID се деактивира до първото успешно въвеждане на паролата. След рестартиране на устройството или изминаване на 48 часа от последното отключване Touch ID също изисква парола — това е хардуерно изискване на Secure Enclave, което не може да бъде заобиколено софтуерно.

Апаратна архитектура на Touch ID

Сензорът Touch ID представлява многослойна структура, в която всеки слой изпълнява своята функция: от механична защита до откриване на докосване и заснемане на отпечатъка. Всички данни от сензора се предават по шифрован канал директно към Secure Enclave.

Ключовото архитектурно решение е липсата на достъп на ОС до суровите данни. iOS не вижда нито изображението на отпечатъка, нито самия шаблон. Secure Enclave връща само двоичен резултат: „успех“ или „отказ“. Това изключва възможността за софтуерно прихващане на биометричните данни на ниво приложения или операционна система.

Сравнение между Touch ID и Face ID

Touch ID и Face ID са две последователни биометрични технологии на Apple. Въпреки общата цел (удостоверяване на потребителя), те се различават по архитектура, сценарии на използване и характеристики на сигурността. Сравнението помага на разработчика да разбере какви ограничения да вземе предвид при проектирането на удостоверяването в приложението.

• FAR — Touch ID: 0.001% (1 на 50 000), Face ID: 0.0001% (1 на 1 000 000). Face ID е 10 пъти по-точен благодарение на триизмерното сканиране
• Скорост — Touch ID се задейства за 200–300 мс (просто докосване), Face ID за 600–1000 мс (сканиране + проверка на погледа). Touch ID е по-бърз за просто отключване
• Устойчивост на влага — Touch ID не работи при влажни или мазни пръсти; Face ID не е чувствителен към влага по лицето, но греши при замърсяване на ИК камерата
• Множество сценарии — Touch ID позволява запазването на до 5 отпечатъка за различни пръсти или различни потребители. Face ID поддържа само едно лице плюс алтернативен вид
• Форм-фактор — Touch ID изисква физически бутон или отделена зона върху корпуса; Face ID изисква изрез (notch) или Dynamic Island на дисплея

При iOS разработката и двата API са достъпни чрез единната рамка LocalAuthentication. Извикването canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) връща наличността на биометрията независимо от нейния тип. Това означава, че приложението с биометрично удостоверяване работи коректно на всички устройства на Apple.

Сигурност на Touch ID и Secure Enclave

Архитектурата на сигурността на Touch ID се основава на три принципа: хардуерна изолация, криптографска обвързаност с устройството и липса на съхранение на оригиналното изображение. Тези принципи са реализирани чрез Secure Enclave — съпроцесор, работещ под управлението на собствен фърмуер SEPOS.

Secure Enclave генерира уникален идентификатор на устройството (UID) на етапа на производство, който е вграден в чипа и не е достъпен за четене дори през JTAG или probe станции. Шаблонът на отпечатъка се шифрира с ключ, произлизащ от UID, и се съхранява в шифрована flash памет вътре в Secure Enclave. При всяко зареждане на устройството SEPOS проверява целостта на фърмуера чрез хардуерен верификатор — ако фърмуерът е модифициран, Secure Enclave се блокира завинаги.

Touch ID отговаря на изискванията на FIDO2 за биометрична верификация и се използва за авторизация на плащания в Apple Pay. Стандартът PCI DSS (Payment Card Industry Data Security Standard) признава Touch ID за допустим фактор за удостоверяване при мобилни плащания, при условие че се използва в комбинация с PIN кода на устройството за многофакторна схема. При компрометиране на устройството нападателят не може да извлече шаблона на отпечатъка от Secure Enclave — данните се унищожават при всякакъв опит за неразрешен достъп чрез system режим.

Реализация на Touch ID чрез LocalAuthentication

При iOS разработката интеграцията на Touch ID се изпълнява чрез рамката LocalAuthentication — същият API, който се използва за Face ID. Кодът е универсален за двата типа биометрия и не изисква указване на конкретен сензор. Системата автоматично определя достъпния биометричен метод на устройството на потребителя.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Потвърдете самоличността си за достъп до данните"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID е недостъпен — показване на екрана за въвеждане на парола
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Докоснете с пръст Touch ID"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID е потвърден
                self.unlockContent()
            } else {
                // Грешка при удостоверяване
                handleError(authError)
            }
        }
    }
}

Този код показва стандартната реализация на удостоверяване чрез Touch ID. Методът canEvaluatePolicy проверява наличието на регистрирани отпечатъци в Secure Enclave и наличността на сензора на устройството. Ако на устройството е инсталиран Face ID вместо Touch ID, същият код ще работи без промени — LAContext автоматично ще избере достъпния сензор. След три неуспешни опита се задейства хардуерно блокиране и потребителят трябва да въведе паролата на устройството.

За криптографска обвързаност на биометричното удостоверяване с конкретни операции (например, подписване на плащане в Apple Pay) се използва методът evaluateAccessControl с параметър SecAccessControl. Този подход свързва резултата от Touch ID с ключ в Keychain: успешното удостоверяване отключва достъпа до секретния ключ за изпълнение на криптографската операция. Без успешно сканиране на отпечатъка ключът остава блокиран в Secure Enclave, което изключва възможността за софтуерно заобикаляне на биометричната проверка.

Сценарии за използване на Touch ID

Touch ID се прилага в няколко ключови сценария както на нивото на системата iOS, така и в приложения на трети страни. Всеки сценарий използва единния API LocalAuthentication, но поставя различни изисквания към политиката за сигурност — от просто отключване до криптографски подписана авторизация на транзакции.

Основните сценарии включват отключване на устройството, авторизация на покупки в App Store и iTunes, потвърждаване на плащания чрез Apple Pay, автоматично попълване на пароли от iCloud Keychain и удостоверяване в приложения на трети страни чрез LocalAuthentication. Във всеки сценарий Touch ID действа като заместител на въвеждането на парола: потребителят докосва сензора, Secure Enclave потвърждава самоличността и действието се изпълнява без въвеждане на данни за вход.

В iOS 14+ се появи допълнителен API ASAuthorizationAppleIDRequest, интегриращ Touch ID с Apple ID за вход без парола на сайтове чрез Safari. Потребителят докосва Touch ID и браузърът получава криптографски подписан токен от Secure Enclave, който сървърът може да верифицира без съхраняване на парола. Този механизъм е в основата на екосистемата Passkeys на Apple.