Autenticazione biometrica nelle app mobili: cos'è, tipi di sensori e principio di funzionamento

Cos'è l'autenticazione biometrica?

L'autenticazione biometrica è il processo di verifica dell'identità di un utente basato sulle sue caratteristiche fisiologiche o comportamentali uniche. Nei dispositivi mobili, la tecnologia viene utilizzata per sbloccare lo schermo, confermare pagamenti e accedere ad applicazioni protette.

Un sistema biometrico è composto da tre componenti: un sensore che cattura un campione biometrico (impronta digitale, viso, voce), un algoritmo che estrae le caratteristiche uniche e un modulo di confronto che le confronta con un modello memorizzato. Secondo il NIST, gli algoritmi moderni di riconoscimento facciale commettono errori solo nello 0,08% dei casi in condizioni di illuminazione standard.

I metodi biometrici stanno sostituendo le password tradizionali perché sono legati alla persona e non possono essere intercettati durante la trasmissione. Secondo un rapporto di Goode Intelligence, entro il 2027 oltre l'80% degli smartphone sarà dotato di sensori biometrici.

Un importante vantaggio della biometria è la velocità. Il tempo medio di autenticazione per impronta digitale è di 0,2 secondi, per il viso — 0,4 secondi. In confronto, l'inserimento di un codice PIN a sei cifre richiede in media 2,5 secondi. Con decine di sblocchi al giorno, ciò consente un notevole risparmio di tempo e riduce il carico cognitivo dell'utente.

I sensori biometrici sono classificati per livello di sicurezza secondo Android CDD e Apple App Review. Classe 3 (Strong) — i sensori più affidabili certificati per i pagamenti. Classe 2 (Weak) — fotocamere normali per il riconoscimento facciale, adatte solo per sbloccare lo schermo. Classe 1 — solo per comodità, senza garanzia di sicurezza.

Principali tipi di sensori biometrici

I dispositivi mobili moderni utilizzano quattro tipi principali di sensori biometrici. Ognuno ha le proprie caratteristiche di precisione, velocità e resistenza agli attacchi. La scelta del sensore è determinata dal costo, dal fattore di forma e dai requisiti di sicurezza del modello di telefono specifico.

Scanner per impronte digitali

Questo è il tipo più comune di sensore biometrico negli smartphone. Gli scanner capacitivi, utilizzati da Apple in Touch ID, analizzano la differenza di potenziale elettrico tra le creste e le valli del pattern papillare. Gli scanner ultrasonici (Qualcomm 3D Sonic) penetrano attraverso lo sporco e il vetro protettivo, offrendo una precisione del 98,6%.

Riconoscimento facciale

Le fotocamere 2D utilizzano la fotografia normale e funzionano più velocemente, ma sono meno sicure. I sistemi 3D (Face ID, Huawei 3D Face Unlock) proiettano 30.000 punti a infrarossi sul viso e costruiscono una mappa di profondità precisa. La probabilità di sblocco accidentale con il viso di un'altra persona è di 1 su 1.000.000 — 20 volte inferiore rispetto a Touch ID.

Scanner dell'iride e riconoscimento vocale

Uno scanner dell'iride utilizza una fotocamera con illuminazione IR per analizzare fino a 200 punti unici sull'iride. La tecnologia è stata utilizzata in Samsung Galaxy Note 7–9 ma ha lasciato il posto al riconoscimento facciale 3D a causa di problemi di usabilità. La biometria vocale costruisce un'impronta vocale basata su oltre 100 parametri acustici: timbro, frequenza fondamentale e articolazione. Viene utilizzata nei sistemi bancari per la verifica telefonica.

Come funziona la biometria nei dispositivi mobili

Il processo di autenticazione biometrica si divide in due fasi: registrazione (enrollment) e verifica. Durante la registrazione, il sensor acquisisce più scatti del campione biometrico, l'algoritmo estrae le caratteristiche distintive e le salva come modello matematico. Un modello non è un'immagine, ma un insieme di vettori numerici che non possono essere riconvertiti nell'immagine originale.

Durante la verifica, un nuovo campione viene confrontato con il modello memorizzato e il sistema restituisce un risultato: corrispondenza o rifiuto. Gli algoritmi moderni basati su reti neurali (Neural Engine nei chip Apple A, NPU in Snapdragon) elaborano questo confronto in 100–400 millisecondi. Secondo l'Apple Security Guide, il Neural Engine esegue fino a 1 trilione di operazioni al secondo esclusivamente per i calcoli biometrici.

Una caratteristica fondamentale della biometria mobile è che tutti i calcoli vengono eseguiti sul dispositivo, in un'area isolata del processore. Per Android si tratta del Trusted Execution Environment (TEE), per iOS — Secure Enclave. I dati biometrici non lasciano mai il chip e non vengono trasmessi via Internet.

Sicurezza dei dati biometrici

La sicurezza biometrica è garantita dall'isolamento hardware e dalla protezione crittografica dei modelli. Secure Enclave nei processori Apple A7–A18 è un coprocessore separato con il proprio firmware che crittografa i dati biometrici con una chiave unica per ogni dispositivo. Solo il sistema operativo ha accesso a Secure Enclave attraverso un canale sicuro.

Sui dispositivi Android, il ruolo di Secure Enclave è svolto dal Trusted Execution Environment (TEE) basato su ARM TrustZone. Il TEE isola i calcoli biometrici dal sistema operativo principale e dalle applicazioni. Secondo il Google Security Blog, Android 12+ richiede l'uso obbligatorio del TEE per tutte le operazioni biometriche di livello Strong.

I sensori biometrici sono anche protetti da attacchi con campioni falsificati. I sensori di impronte digitali verificano la presenza di flusso sanguigno o polso, e le fotocamere a infrarossi di Face ID riconoscono la consistenza della pelle viva e non reagiscono a fotografie, maschere o calchi in silicone. Il rilevamento di vivacità è un componente obbligatorio della certificazione Android Biometric Class 3.

Vantaggi e svantaggi della biometria

L'autenticazione biometrica è significativamente più comoda delle password: l'utente non deve ricordare combinazioni di caratteri e il processo richiede frazioni di secondo. La velocità è il principale motore dell'adozione della biometria nei sistemi di pagamento mobile come Apple Pay e Google Pay.

Il principale svantaggio della biometria è l'impossibilità di cambiare l'identificatore in caso di compromissione. Mentre una password può essere modificata, un'impronta digitale o il pattern del viso rimangono con la persona per sempre. Per questo motivo, i sistemi biometrici sono sempre integrati con un codice PIN o una password come metodo di backup.

I rischi aggiuntivi includono la riduzione della precisione in caso di cambiamenti nell'aspetto (cicatrici, gonfiori, cambiamenti legati all'età) e i precedenti legali di sblocco forzato. La Corte Suprema degli Stati Uniti ha stabilito nel 2019 che la polizia può richiedere lo sblocco del telefono tramite Face ID o Touch ID, ma non può costringere all'inserimento della password (Quinto Emendamento).

Esempio di codice: utilizzo di Biometric API su Android

Android fornisce un'API unificata BiometricPrompt per tutti i sensori biometrici. Di seguito è riportato un esempio di autenticazione utilizzando Jetpack Biometric Library. La libreria rileva automaticamente i sensori disponibili sul dispositivo e mostra la finestra di dialogo corrispondente.

class BiometricAuthActivity : AppCompatActivity() {

    private lateinit var biometricPrompt: BiometricPrompt

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        setContentView(R.layout.activity_auth)

        val executor = ContextCompat.getMainExecutor(this)
        val callback = object : BiometricPrompt.AuthenticationCallback() {
            override fun onAuthenticationSucceeded(
                result: BiometricPrompt.AuthenticationResult
            ) {
                unlockApp()
            }

            override fun onAuthenticationFailed() {
                showError("Biometria non riconosciuta")
            }
        }

        biometricPrompt = BiometricPrompt(this, executor, callback)

        val promptInfo = BiometricPrompt.PromptInfo.Builder()
            .setTitle("Conferma la tua identità")
            .setSubtitle("Usa impronta digitale o Face ID")
            .setAllowedAuthenticators(
                BiometricManager.Authenticators.BIOMETRIC_STRONG
            )
            .build()

        biometricPrompt.authenticate(promptInfo)
    }
}

L'esempio utilizza BIOMETRIC_STRONG — il livello di sicurezza più alto secondo la classificazione Android. Supporta solo sensori di Classe 3: scanner di impronte integrati e riconoscimento facciale 3D. La Classe 2 (BIOMETRIC_WEAK) include fotocamere normali e non è certificata per i pagamenti.

Futuro dell'autenticazione biometrica

La biometria si sta evolvendo attivamente: nuovi metodi di identificazione stanno sostituendo impronte digitali e riconoscimento facciale. La biometria comportamentale (dinamica di battitura, analisi dell'andatura) analizza i modelli di digitazione e lo stile di camminata senza richiedere un sensore dedicato. La tecnologia è già utilizzata nei sistemi bancari per il rilevamento delle frodi.

La biometria multimodale — una combinazione di più metodi in un unico sistema — sta diventando lo standard per gli smartphone di fascia alta. Ad esempio, il Samsung Galaxy S25 combina uno scanner di impronte ultrasonico e il riconoscimento facciale 3D, selezionando il metodo migliore in base alle condizioni di illuminazione e allo stato delle mani. Secondo Goode Intelligence, il mercato della biometria multimodale raggiungerà i 12 miliardi di dollari entro il 2029.