Touch ID : qu'est-ce que c'est, comment fonctionne l'empreinte digitale

Qu'est-ce que Touch ID ?

Touch ID est un capteur biométrique d'empreinte digitale développé par Apple pour l'authentification des utilisateurs sur les appareils iPhone, iPad et Mac. La technologie est basée sur le scan capacitif : une fine couche de verre saphir sur le capteur protège une matrice capacitive de 500 points qui lit les moindres détails du motif papillaire — minuties, pores et direction des lignes.

Contrairement aux scanners optiques populaires sur les appareils Android de l'époque, la méthode capacitive de Touch ID offre une précision supérieure grâce au contact direct du doigt avec le capteur. Un anneau en céramique (detection ring) autour du bouton Home détecte le contact du doigt et n'active la matrice qu'en présence d'un contact vivant, évitant les faux déclenchements par contacts accidentels avec des objets métalliques.

La première génération de Touch ID (iPhone 5S, iPad Air 2) avait une épaisseur de 170 microns et une résolution de capteur de 500 PPI. La deuxième génération (iPhone 6S, iPhone SE 1re génération) a amélioré le capteur avec une matrice de 170 microns et une reconnaissance améliorée des doigts mouillés. La troisième génération est utilisée dans les MacBook Air et MacBook Pro avec le bouton Touch ID sur le clavier — le capteur est connecté directement à la puce Apple T2 ou au Secure Enclave Silicon.

Comment fonctionne Touch ID ?

Le processus d'authentification via Touch ID comprend deux étapes : l'enrôlement (enrollment) et la vérification (verification). Les deux étapes sont exécutées à l'intérieur de la Secure Enclave — un coprocesseur de sécurité isolé auquel iOS ne peut pas accéder même avec les privilèges root.

Enregistrement de l'empreinte (Enrollment)

L'utilisateur pose son doigt sur le bouton Home plusieurs fois sous différents angles. La matrice capacitive scanne une zone d'empreinte de 8×8 mm avec une résolution de 500 PPI. Le système collecte jusqu'à 12 fragments différents d'une même empreinte sous différents angles d'inclinaison — ceci est nécessaire pour reconnaître le doigt lorsqu'il est tourné à 360 degrés. Chaque fragment est converti en un modèle mathématique, et tous sont combinés en un seul modèle d'empreinte de référence.

Vérification (Verification)

Lorsque le doigt touche le capteur, le detection ring envoie un signal à la Secure Enclave, lançant le scan. La matrice capture l'empreinte actuelle en 200–300 ms, extrait les minuties (terminaisons et bifurcations des lignes papillaires) et les compare aux modèles stockés. La Secure Enclave effectue la comparaison sur 50–100 points, calculant une métrique de similarité. Si la correspondance dépasse le seuil, l'authentification est considérée comme réussie.

Tentatives échouées et verrouillage

Après 3 tentatives échouées, Touch ID se verrouille pendant 10 secondes. Après 5 tentatives échouées, le mot de passe de l'appareil est demandé et Touch ID est désactivé jusqu'à la saisie réussie du mot de passe. Après un redémarrage de l'appareil ou 48 heures depuis le dernier déverrouillage, Touch ID nécessite également le mot de passe — c'est une exigence matérielle de la Secure Enclave qui ne peut être contournée par logiciel.

Architecture matérielle de Touch ID

Le capteur Touch ID est une structure multicouche où chaque couche remplit sa fonction : de la protection mécanique à la détection du toucher et à la capture de l'empreinte. Toutes les données du capteur sont transmises via un canal crypté directement à la Secure Enclave.

La décision architecturale clé est l'absence d'accès de l'OS aux données brutes. iOS ne voit ni l'image de l'empreinte ni le modèle lui-même. La Secure Enclave renvoie uniquement un résultat binaire : « succès » ou « échec ». Cela élimine la possibilité d'interception programmatique des données biométriques au niveau des applications ou du système d'exploitation.

Comparaison entre Touch ID et Face ID

Touch ID et Face ID sont deux technologies biométriques successives d'Apple. Malgré l'objectif commun (authentification de l'utilisateur), elles diffèrent par l'architecture, les scénarios d'utilisation et les caractéristiques de sécurité. Cette comparaison aide le développeur à comprendre quelles limitations prendre en compte lors de la conception de l'authentification dans une application.

• FAR — Touch ID : 0,001 % (1 sur 50 000), Face ID : 0,0001 % (1 sur 1 000 000). Face ID est 10 fois plus précis grâce au scan tridimensionnel
• Vitesse — Touch ID fonctionne en 200–300 ms (simple toucher), Face ID en 600–1000 ms (scan + vérification du regard). Touch ID est plus rapide pour le déverrouillage simple
• Résistance à l'humidité — Touch ID ne fonctionne pas avec les doigts mouillés ou gras ; Face ID n'est pas sensible à l'humidité sur le visage mais se trompe si la caméra IR est sale
• Scénarios multiples — Touch ID peut stocker jusqu'à 5 empreintes pour différents doigts ou différents utilisateurs. Face ID ne prend en charge qu'un seul visage plus un aspect alternatif
• Facteur de forme — Touch ID nécessite un bouton physique ou une zone dédiée sur le châssis ; Face ID nécessite une encoche (notch) ou Dynamic Island sur l'écran

Dans le développement iOS, les deux API sont disponibles via le framework unifié LocalAuthentication. L'appel canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) renvoie la disponibilité de la biométrie quel que soit son type. Cela signifie qu'une application avec authentification biométrique fonctionne correctement sur tous les appareils Apple.

Sécurité de Touch ID et Secure Enclave

L'architecture de sécurité de Touch ID repose sur trois principes : l'isolement matériel, la liaison cryptographique à l'appareil et l'absence de stockage de l'image originale. Ces principes sont mis en œuvre via la Secure Enclave — un coprocesseur fonctionnant sous son propre firmware SEPOS.

La Secure Enclave génère un identifiant unique d'appareil (UID) lors de la fabrication, qui est fusionné dans la puce et ne peut être lu même via JTAG ou des stations de test. Le modèle d'empreinte est crypté avec une clé dérivée de l'UID et stocké dans une mémoire flash cryptée à l'intérieur de la Secure Enclave. À chaque démarrage de l'appareil, SEPOS vérifie l'intégrité du firmware via un vérificateur matériel — si le firmware a été modifié, la Secure Enclave se verrouille définitivement.

Touch ID répond aux exigences FIDO2 pour la vérification biométrique et est utilisé pour l'autorisation des paiements dans Apple Pay. La norme PCI DSS (Payment Card Industry Data Security Standard) reconnaît Touch ID comme un facteur d'authentification valide pour les paiements mobiles lorsqu'il est utilisé en combinaison avec le code PIN de l'appareil pour un schéma multifacteur. En cas de compromission de l'appareil, un attaquant ne peut pas extraire le modèle d'empreinte de la Secure Enclave — les données sont détruites lors de toute tentative d'accès non autorisé via le mode système.

Implémentation de Touch ID via LocalAuthentication

Dans le développement iOS, l'intégration de Touch ID s'effectue via le framework LocalAuthentication — la même API utilisée pour Face ID. Le code est universel pour les deux types de biométrie et ne nécessite pas de spécifier un capteur particulier. Le système détermine automatiquement la méthode biométrique disponible sur l'appareil de l'utilisateur.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Vérifiez votre identité pour accéder aux données"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID indisponible — afficher l'écran de saisie du mot de passe
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Touchez le capteur Touch ID avec votre doigt"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID confirmé
                self.unlockContent()
            } else {
                // Erreur d'authentification
                handleError(authError)
            }
        }
    }
}

Ce code montre une implémentation standard de l'authentification via Touch ID. La méthode canEvaluatePolicy vérifie la présence d'empreintes enregistrées dans Secure Enclave et la disponibilité du capteur sur l'appareil. Si l'appareil dispose de Face ID au lieu de Touch ID, le même code fonctionne sans modification — LAContext sélectionne automatiquement le capteur disponible. Après trois tentatives échouées, le verrouillage matériel est activé et l'utilisateur doit saisir le mot de passe de l'appareil.

Pour la liaison cryptographique de l'authentification biométrique à des opérations spécifiques (par exemple, la signature de paiements dans Apple Pay), la méthode evaluateAccessControl avec le paramètre SecAccessControl est utilisée. Cette approche lie le résultat de Touch ID à une clé dans Keychain : l'authentification réussie déverrouille l'accès à une clé secrète pour effectuer une opération cryptographique. Sans scan d'empreinte réussi, la clé reste verrouillée dans Secure Enclave, ce qui élimine la possibilité de contournement programmatique de la vérification biométrique.

Scénarios d'utilisation de Touch ID

Touch ID est utilisé dans plusieurs scénarios clés tant au niveau du système iOS que dans les applications tierces. Chaque scénario utilise l'API unifiée LocalAuthentication, mais présente des exigences de politique de sécurité différentes — du simple déverrouillage à l'autorisation de transactions signées cryptographiquement.

Les principaux scénarios incluent le déverrouillage de l'appareil, l'autorisation d'achats dans l'App Store et iTunes, la confirmation de paiements via Apple Pay, le remplissage automatique des mots de passe depuis iCloud Keychain et l'authentification dans les applications tierces via LocalAuthentication. Dans chaque scénario, Touch ID remplace la saisie du mot de passe : l'utilisateur touche le capteur, Secure Enclave confirme l'identité et l'action est effectuée sans saisir d'identifiants.

Dans iOS 14+, l'API supplémentaire ASAuthorizationAppleIDRequest a été introduite, intégrant Touch ID avec Apple ID pour une connexion sans mot de passe aux sites Web via Safari. L'utilisateur touche Touch ID et le navigateur reçoit un jeton signé cryptographiquement de Secure Enclave, que le serveur peut vérifier sans stocker de mot de passe. Ce mécanisme est le fondement de l'écosystème Passkeys d'Apple.