Touch ID: wat het is, hoe een vingerafdruk werkt

Wat is Touch ID?

Touch ID is een biometrische vingerafdruksensor ontwikkeld door Apple voor gebruikersauthenticatie op iPhone, iPad en Mac. De technologie is gebaseerd op capacitief scannen: een dunne laag saffierglas op de sensor beschermt een 500-punts capacitieve matrix die de kleinste details van het papillairpatroon uitleest — minutiae, poriën en richting van de lijnen.

In tegenstelling tot optische scanners, populair in Android-apparaten van die tijd, biedt de capacitieve methode van Touch ID een hogere nauwkeurigheid door direct contact van de vinger met de sensor. De keramische ring (detection ring) rond de Home-knop detecteert de aanraking van de vinger en activeert de matrix alleen bij levend contact, waardoor valse activeringen door toevallige aanraking van metalen voorwerpen worden voorkomen.

De eerste generatie Touch ID (iPhone 5S, iPad Air 2) had een dikte van 170 micron en een sensorresolutie van 500 PPI. De tweede generatie (iPhone 6S, iPhone SE 1e generatie) bracht een 170-micron matrix met verbeterde herkenning van natte vingers. De derde generatie wordt gebruikt in MacBook Air en MacBook Pro met de Touch ID-knop op het toetsenbord — de sensor is rechtstreeks verbonden met de Apple T2- of Silicon Secure Enclave-chip.

Hoe werkt Touch ID?

Het authenticatieproces via Touch ID bestaat uit twee fasen: registratie (enrollment) en verificatie (verification). Beide fasen worden uitgevoerd in de Secure Enclave — een geïsoleerde beveiligingscoprocessor waar iOS geen toegang toe heeft, zelfs niet met root-rechten.

Vingerafdruk registreren (Enrollment)

De gebruiker plaatst zijn vinger meerdere keren onder verschillende hoeken op de Home-knop. De capacitieve matrix scant een deel van de vingerafdruk van 8×8 mm met een resolutie van 500 PPI. Het systeem verzamelt tot 12 verschillende fragmenten van één vingerafdruk onder verschillende hellingshoeken — dit is nodig om de vinger bij rotatie van 360 graden te herkennen. Elk fragment wordt omgezet in een wiskundig sjabloon, dat wordt samengevoegd tot één referentiesjabloon van de vingerafdruk.

Verificatie (Verification)

Bij aanraking van de vinger stuurt de detection ring een signaal naar Secure Enclave, waarmee het scannen wordt gestart. De matrix legt de huidige vingerafdruk vast in 200–300 ms, extraheert minutiae (einden en vertakkingen van papillairlijnen) en vergelijkt deze met opgeslagen sjablonen. Secure Enclave voert een vergelijking uit op 50–100 punten, waarbij een gelijkenismetriek wordt berekend. Als de overeenkomst de drempelwaarde overschrijdt, wordt authenticatie als succesvol beschouwd.

Mislukte pogingen en blokkering

Na 3 mislukte pogingen wordt Touch ID 10 seconden geblokkeerd. Na 5 mislukte pogingen wordt het wachtwoord van het apparaat gevraagd en wordt Touch ID uitgeschakeld tot de eerste succesvolle wachtwoordinvoer. Na het opnieuw opstarten van het apparaat of na 48 uur sinds de laatste ontgrendeling, vereist Touch ID ook het wachtwoord — dit is een hardware-eis van Secure Enclave die niet softwarematig kan worden omzeild.

Hardware-architectuur van Touch ID

De Touch ID-sensor is een meerlaagse structuur waarin elke laag zijn functie vervult: van mechanische bescherming tot aanraakdetectie en vingerafdrukregistratie. Alle gegevens van de sensor worden via een gecodeerd kanaal rechtstreeks naar Secure Enclave verzonden.

De belangrijkste architectuurbeslissing is geen toegang van het besturingssysteem tot ruwe gegevens. iOS ziet noch de vingerafdrukafbeelding, noch het sjabloon zelf. Secure Enclave retourneert alleen een binair resultaat: «succes» of «weigering». Dit sluit de mogelijkheid van software-interceptie van biometrische gegevens op applicatie- of besturingssysteemniveau uit.

Vergelijking tussen Touch ID en Face ID

Touch ID en Face ID zijn twee opeenvolgende biometrische technologieën van Apple. Ondanks het gemeenschappelijke doel (gebruikersauthenticatie) verschillen ze in architectuur, gebruiksscenario's en beveiligingskenmerken. De vergelijking helpt de ontwikkelaar te begrijpen welke beperkingen in acht moeten worden genomen bij het ontwerpen van authenticatie in de app.

• FAR — Touch ID: 0,001% (1 op 50.000), Face ID: 0,0001% (1 op 1.000.000). Face ID is 10 keer nauwkeuriger dankzij 3D-scannen
• Snelheid — Touch ID werkt in 200–300 ms (eenvoudige aanraking), Face ID in 600–1000 ms (scannen + oogcontrole). Touch ID is sneller voor eenvoudig ontgrendelen
• Bestendigheid tegen vocht — Touch ID werkt niet met natte of vette vingers; Face ID is niet gevoelig voor vocht op het gezicht, maar maakt fouten bij vervuiling van de IR-camera
• Meerdere scenario's — Touch ID biedt opslag van maximaal 5 vingerafdrukken voor verschillende vingers of verschillende gebruikers. Face ID ondersteunt slechts één gezicht plus een alternatief uiterlijk
• Vormfactor — Touch ID vereist een fysieke knop of een toegewezen zone op de behuizing; Face ID vereist een uitsparing (notch) of Dynamic Island op het display

In iOS-ontwikkeling zijn beide API's beschikbaar via het ene framework LocalAuthentication. De aanroep canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) retourneert de beschikbaarheid van biometrie, ongeacht het type. Dit betekent dat een app met biometrische authenticatie correct werkt op alle Apple-apparaten.

Beveiliging van Touch ID en Secure Enclave

De beveiligingsarchitectuur van Touch ID is gebaseerd op drie principes: hardware-isolatie, cryptografische koppeling aan het apparaat en het niet opslaan van de originele afbeelding. Deze principes worden geïmplementeerd via Secure Enclave — een coprocessor die werkt onder zijn eigen firmware SEPOS.

Secure Enclave genereert een unieke apparaat-ID (UID) tijdens de productie, die in de chip is ingebed en zelfs niet via JTAG of probestations kan worden uitgelezen. Het vingerafdruksjabloon wordt gecodeerd met een van UID afgeleide sleutel en opgeslagen in gecodeerd flashgeheugen in Secure Enclave. Bij elke keer opstarten controleert SEPOS de integriteit van de firmware via een hardwareverificateur — als de firmware is gewijzigd, wordt Secure Enclave permanent geblokkeerd.

Touch ID voldoet aan de FIDO2-vereisten voor biometrische verificatie en wordt gebruikt voor autorisatie van betalingen in Apple Pay. De PCI DSS-standaard (Payment Card Industry Data Security Standard) erkent Touch ID als een aanvaardbare authenticatiefactor voor mobiele betalingen, mits gebruikt in combinatie met de pincode van het apparaat voor een multifactorieel schema. Bij compromittering van het apparaat kan een aanvaller het vingerafdruksjabloon niet uit Secure Enclave halen — gegevens worden vernietigd bij elke poging tot ongeautoriseerde toegang via de systeemmodus.

Touch ID implementeren via LocalAuthentication

In iOS-ontwikkeling wordt Touch ID-integratie uitgevoerd via het framework LocalAuthentication — dezelfde API die voor Face ID wordt gebruikt. De code is universeel voor beide typen biometrie en vereist geen specificatie van een specifieke sensor. Het systeem detecteert automatisch de beschikbare biometrische methode op het apparaat van de gebruiker.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Bevestig uw identiteit voor toegang tot gegevens"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID niet beschikbaar — toon wachtwoordscherm
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Raak Touch ID aan met uw vinger"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID bevestigd
                self.unlockContent()
            } else {
                // Authenticatiefout
                handleError(authError)
            }
        }
    }
}

Deze code toont de standaardimplementatie van authenticatie via Touch ID. De methode canEvaluatePolicy controleert de aanwezigheid van geregistreerde vingerafdrukken in Secure Enclave en de beschikbaarheid van de sensor op het apparaat. Als op het apparaat Face ID is geïnstalleerd in plaats van Touch ID, werkt dezelfde code zonder wijzigingen — LAContext selecteert automatisch de beschikbare sensor. Na drie mislukte pogingen treedt hardwareblokkering op en moet de gebruiker het wachtwoord van het apparaat invoeren.

Voor cryptografische koppeling van biometrische authenticatie aan specifieke bewerkingen (bijvoorbeeld betalingshandtekening in Apple Pay) wordt de methode evaluateAccessControl met de parameter SecAccessControl gebruikt. Deze benadering koppelt het Touch ID-resultaat aan een sleutel in Keychain: succesvolle authenticatie ontgrendelt toegang tot de geheime sleutel voor het uitvoeren van een cryptografische bewerking. Zonder succesvolle vingerafdrukscan blijft de sleutel geblokkeerd in Secure Enclave, wat softwarematige omzeiling van biometrische controle uitsluit.

Gebruiksscenario's van Touch ID

Touch ID wordt gebruikt in verschillende belangrijke scenario's, zowel op iOS-systeemniveau als in apps van derden. Elk scenario gebruikt de ene LocalAuthentication API, maar stelt verschillende eisen aan het beveiligingsbeleid — van eenvoudig ontgrendelen tot cryptografisch ondertekende autorisatie van transacties.

De belangrijkste scenario's zijn onder meer het ontgrendelen van het apparaat, autorisatie van aankopen in App Store en iTunes, bevestiging van betalingen via Apple Pay, automatisch invullen van wachtwoorden uit iCloud Keychain en authenticatie in apps van derden via LocalAuthentication. In elk scenario fungeert Touch ID als vervanging van wachtwoordinvoer: de gebruiker raakt de sensor aan, Secure Enclave bevestigt de identiteit en de actie wordt uitgevoerd zonder inloggegevens in te voeren.

In iOS 14+ is een extra API ASAuthorizationAppleIDRequest verschenen, die Touch ID integreert met Apple ID voor wachtwoordloze toegang tot websites via Safari. De gebruiker raakt Touch ID aan en de browser ontvangt een cryptografisch ondertekende token van Secure Enclave, die de server kan verifiëren zonder het wachtwoord op te slaan. Dit mechanisme vormt de basis van het Passkeys-ecosysteem van Apple.