Touch ID: qué es, cómo funciona la huella dactilar

¿Qué es Touch ID?

Touch ID es un sensor biométrico de huellas dactilares desarrollado por Apple para la autenticación de usuarios en dispositivos iPhone, iPad y Mac. La tecnología se basa en el escaneo capacitivo: una fina capa de vidrio de zafiro sobre el sensor protege una matriz capacitiva de 500 puntos que lee los detalles más minuciosos del patrón papilar — minucias, poros y dirección de las líneas.

A diferencia de los escáneres ópticos populares en los dispositivos Android de la época, el método capacitivo de Touch ID ofrece mayor precisión gracias al contacto directo del dedo con el sensor. Un anillo cerámico (detection ring) alrededor del botón Home detecta el contacto del dedo y activa la matriz solo cuando hay contacto vivo, evitando falsas activaciones por toques accidentales de objetos metálicos.

La primera generación de Touch ID (iPhone 5S, iPad Air 2) tenía un grosor de 170 micras y una resolución de sensor de 500 PPI. La segunda generación (iPhone 6S, iPhone SE 1.ª generación) actualizó el sensor a una matriz de 170 micras con reconocimiento mejorado de dedos mojados. La tercera generación se utiliza en MacBook Air y MacBook Pro con el botón Touch ID en el teclado — el sensor está conectado directamente al chip Apple T2 o al Secure Enclave de Silicon.

¿Cómo funciona Touch ID?

El proceso de autenticación a través de Touch ID consta de dos etapas: registro (enrollment) y verificación (verification). Ambas etapas se ejecutan dentro del Secure Enclave — un coprocesador de seguridad aislado al que iOS no puede acceder ni siquiera con privilegios de root.

Registro de huella (Enrollment)

El usuario coloca el dedo sobre el botón Home varias veces en diferentes ángulos. La matriz capacitiva escanea un área de huella de 8×8 mm con resolución de 500 PPI. El sistema recoge hasta 12 fragmentos diferentes de una misma huella en varios ángulos de inclinación — esto es necesario para reconocer el dedo cuando se gira 360 grados. Cada fragmento se convierte en una plantilla matemática, y todas se combinan en una plantilla de huella de referencia.

Verificación (Verification)

Cuando el dedo toca el sensor, el detection ring envía una señal al Secure Enclave, iniciando el escaneo. La matriz captura la huella actual en 200–300 ms, extrae las minucias (terminaciones y bifurcaciones de las líneas papilares) y las compara con las plantillas almacenadas. El Secure Enclave realiza la comparación en 50–100 puntos, calculando una métrica de similitud. Si la coincidencia supera el umbral, la autenticación se considera exitosa.

Intentos fallidos y bloqueo

Después de 3 intentos fallidos, Touch ID se bloquea durante 10 segundos. Después de 5 intentos fallidos, se solicita la contraseña del dispositivo y Touch ID se desactiva hasta que se introduzca correctamente la contraseña. Tras reiniciar el dispositivo o pasadas 48 horas desde el último desbloqueo, Touch ID también requiere la contraseña — este es un requisito de hardware del Secure Enclave que no se puede eludir por software.

Arquitectura del hardware de Touch ID

El sensor Touch ID es una estructura multicapa donde cada capa cumple su función: desde la protección mecánica hasta la detección del tacto y la captura de la huella. Todos los datos del sensor se transmiten por un canal cifrado directamente al Secure Enclave.

La decisión arquitectónica clave es la ausencia de acceso del SO a los datos brutos. iOS no ve ni la imagen de la huella ni la plantilla en sí. Secure Enclave devuelve solo un resultado binario: “éxito” o “fracaso.” Esto elimina la posibilidad de interceptación programática de datos biométricos a nivel de aplicaciones o del sistema operativo.

Comparación entre Touch ID y Face ID

Touch ID y Face ID son dos tecnologías biométricas sucesivas de Apple. A pesar del objetivo común (autenticación del usuario), difieren en arquitectura, escenarios de uso y características de seguridad. Esta comparación ayuda al desarrollador a comprender qué limitaciones considerar al diseñar la autenticación en una aplicación.

• FAR — Touch ID: 0.001% (1 de 50 000), Face ID: 0.0001% (1 de 1 000 000). Face ID es 10 veces más preciso gracias al escaneo tridimensional
• Velocidad — Touch ID funciona en 200–300 ms (simple toque), Face ID en 600–1000 ms (escaneo + verificación de mirada). Touch ID es más rápido para desbloqueo simple
• Resistencia a la humedad — Touch ID no funciona con dedos mojados o grasientos; Face ID no es sensible a la humedad en el rostro, pero falla si la cámara IR está sucia
• Escenarios múltiples — Touch ID permite guardar hasta 5 huellas para diferentes dedos o distintos usuarios. Face ID admite solo un rostro más un aspecto alternativo
• Factor de forma — Touch ID requiere un botón físico o un área dedicada en el chasis; Face ID necesita un notch o Dynamic Island en la pantalla

En el desarrollo de iOS, ambas API están disponibles a través del framework unificado LocalAuthentication. La llamada canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) devuelve la disponibilidad de biometría independientemente de su tipo. Esto significa que una aplicación con autenticación biométrica funciona correctamente en todos los dispositivos Apple.

Seguridad de Touch ID y Secure Enclave

La arquitectura de seguridad de Touch ID se basa en tres principios: aislamiento del hardware, vinculación criptográfica al dispositivo y ausencia de almacenamiento de la imagen original. Estos principios se implementan a través del Secure Enclave — un coprocesador que funciona con su propio firmware SEPOS.

Secure Enclave genera un identificador único de dispositivo (UID) durante la fabricación, que está integrado en el chip y no se puede leer ni siquiera mediante JTAG o estaciones de prueba. La plantilla de la huella se cifra con una clave derivada del UID y se almacena en memoria flash cifrada dentro del Secure Enclave. En cada inicio del dispositivo, SEPOS verifica la integridad del firmware mediante un verificador de hardware — si el firmware ha sido modificado, Secure Enclave se bloquea permanentemente.

Touch ID cumple con los requisitos FIDO2 para verificación biométrica y se utiliza para autorizar pagos en Apple Pay. El estándar PCI DSS (Payment Card Industry Data Security Standard) reconoce Touch ID como un factor de autenticación válido para pagos móviles cuando se usa junto con el PIN del dispositivo para un esquema multifactor. En caso de compromiso del dispositivo, un atacante no puede extraer la plantilla de la huella del Secure Enclave — los datos se destruyen ante cualquier intento de acceso no autorizado a través del modo system.

Implementación de Touch ID mediante LocalAuthentication

En el desarrollo de iOS, la integración de Touch ID se realiza a través del framework LocalAuthentication — la misma API que se usa para Face ID. El código es universal para ambos tipos de biometría y no requiere especificar un sensor concreto. El sistema determina automáticamente el método biométrico disponible en el dispositivo del usuario.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Verifique su identidad para acceder a los datos"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID no disponible — mostrar pantalla de ingreso de contraseña
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Toque el sensor Touch ID con su dedo"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID confirmado
                self.unlockContent()
            } else {
                // Error de autenticación
                handleError(authError)
            }
        }
    }
}

Este código muestra una implementación estándar de autenticación mediante Touch ID. El método canEvaluatePolicy verifica la presencia de huellas registradas en Secure Enclave y la disponibilidad del sensor en el dispositivo. Si el dispositivo tiene Face ID en lugar de Touch ID, el mismo código funciona sin cambios — LAContext selecciona automáticamente el sensor disponible. Después de tres intentos fallidos, se activa el bloqueo de hardware y el usuario debe introducir la contraseña del dispositivo.

Para la vinculación criptográfica de la autenticación biométrica a operaciones específicas (por ejemplo, firma de pagos en Apple Pay), se utiliza el método evaluateAccessControl con el parámetro SecAccessControl. Este enfoque vincula el resultado de Touch ID con una clave en Keychain: la autenticación exitosa desbloquea el acceso a una clave secreta para realizar una operación criptográfica. Sin un escaneo de huella exitoso, la clave permanece bloqueada en Secure Enclave, lo que elimina la posibilidad de eludir la verificación biométrica por software.

Escenarios de uso de Touch ID

Touch ID se utiliza en varios escenarios clave tanto a nivel del sistema iOS como en aplicaciones de terceros. Cada escenario utiliza la API unificada LocalAuthentication, pero presenta diferentes requisitos de política de seguridad — desde el simple desbloqueo hasta la autorización de transacciones con firma criptográfica.

Los escenarios principales incluyen el desbloqueo del dispositivo, la autorización de compras en App Store e iTunes, la confirmación de pagos a través de Apple Pay, el llenado automático de contraseñas desde iCloud Keychain y la autenticación en aplicaciones de terceros mediante LocalAuthentication. En cada escenario, Touch ID reemplaza la introducción de contraseña: el usuario toca el sensor, Secure Enclave confirma la identidad y la acción se realiza sin introducir credenciales.

En iOS 14+ se introdujo la API adicional ASAuthorizationAppleIDRequest, que integra Touch ID con Apple ID para inicio de sesión sin contraseña en sitios web a través de Safari. El usuario toca Touch ID y el navegador recibe un token firmado criptográficamente desde Secure Enclave, que el servidor puede verificar sin almacenar una contraseña. Este mecanismo es la base del ecosistema Passkeys de Apple.