Uwierzytelnianie biometryczne w aplikacjach mobilnych: co to jest, rodzaje sensorów i zasada działania

Co to jest uwierzytelnianie biometryczne?

Uwierzytelnianie biometryczne to proces weryfikacji tożsamości użytkownika na podstawie jego unikalnych cech fizjologicznych lub behawioralnych. W urządzeniach mobilnych technologia jest wykorzystywana do odblokowywania ekranu, potwierdzania płatności i dostępu do chronionych aplikacji.

System biometryczny składa się z trzech komponentów: sensora, który przechwytuje próbkę biometryczną (odcisk palca, twarz, głos), algorytmu, który wyodrębnia unikalne cechy, oraz modułu porównującego, który zestawia je z zapisanym szablonem. Według danych NIST, nowoczesne algorytmy rozpoznawania twarzy mylą się tylko w 0,08% przypadków przy standardowym oświetleniu.

Metody biometryczne wypierają tradycyjne hasła, ponieważ są powiązane z człowiekiem i nie mogą zostać przechwycone podczas transmisji. Według raportu Goode Intelligence, do 2027 roku ponad 80% smartfonów będzie wyposażonych w sensory biometryczne.

Ważną zaletą biometrii jest szybkość. Średni czas uwierzytelniania za pomocą odcisku palca wynosi 0,2 sekundy, a za pomocą twarzy — 0,4 sekundy. Dla porównania, wprowadzenie sześciocyfrowego kodu PIN zajmuje średnio 2,5 sekundy. W skali dziesiątek odblokowań dziennie daje to znaczną oszczędność czasu i zmniejsza obciążenie poznawcze użytkownika.

Czujniki biometryczne są klasyfikowane według poziomu bezpieczeństwa ustalonego przez Android CDD i Apple App Review. Class 3 (Strong) — najbezpieczniejsze sensory, certyfikowane do płatności. Class 2 (Weak) — zwykłe kamery do rozpoznawania twarzy, odpowiednie tylko do odblokowywania ekranu. Class 1 — tylko dla wygody, bez gwarancji bezpieczeństwa.

Główne rodzaje sensorów biometrycznych

W nowoczesnych urządzeniach mobilnych wykorzystywane są cztery główne typy czujników biometrycznych. Każdy z nich ma swoją specyfikę dokładności, szybkości i odporności na ataki. Wybór sensora jest determinowany kosztem, wymiarami obudowy i wymaganiami bezpieczeństwa konkretnego modelu telefonu.

Skaner linii papilarnych

To najpopularniejszy typ sensora biometrycznego w smartfonach. Skanery pojemnościowe, stosowane przez Apple w Touch ID, analizują różnicę potencjałów elektrycznych między grzbietami i dolinami wzoru brodawkowego. Skanery ultradźwiękowe (Qualcomm 3D Sonic) penetrują zabrudzenia i szkło ochronne, zapewniając dokładność 98,6%.

Rozpoznawanie twarzy

Kamery 2D wykorzystują zwykłe zdjęcie i działają szybciej, ale są mniej bezpieczne. Systemy 3D (Face ID, Huawei 3D Face Unlock) projektują na twarz 30 000 punktów na podczerwień i tworzą dokładną mapę głębi. Prawdopodobieństwo przypadkowego odblokowania przez inną twarz wynosi 1 do 1 000 000 — 20 razy mniej niż w przypadku Touch ID.

Skaner tęczówki oka i rozpoznawanie głosu

Skaner tęczówki wykorzystuje kamerę z oświetleniem IR do analizy do 200 unikalnych punktów na tęczówce oka. Technologia była stosowana w Samsung Galaxy Note 7–9, ale ustąpiła miejsca technologii 3D Face ze względu na niewygodę użytkowania. Biometria głosu tworzy odcisk głosowy na podstawie 100+ parametrów akustycznych: barwy, częstotliwości tonu podstawowego i artykulacji. Jest stosowana w systemach bankowych do weryfikacji przez telefon.

Jak działa biometria w urządzeniach mobilnych

Proces uwierzytelniania biometrycznego dzieli się na dwa etapy: rejestrację (enrolment) i weryfikację. Na etapie rejestracji sensor wykonuje kilka zdjęć próbki biometrycznej, algorytm wyodrębnia charakterystyczne cechy i zapisuje je w postaci matematycznego szablonu. Szablon to nie obraz, a zestaw wektorów numerycznych, których nie można odwrócić do oryginalnego obrazu.

Podczas weryfikacji nowa próbka jest porównywana z zapisanym szablonem, a system wydaje wynik: zgodność lub odmowa. Nowoczesne algorytmy oparte na sieciach neuronowych (Neural Engine w układach Apple A, NPU w Snapdragon) przetwarzają to porównanie w 100–400 milisekund. Według Apple Security Guide, Neural Engine wykonuje do 1 biliona operacji na sekundę wyłącznie dla obliczeń biometrycznych.

Kluczową cechą biometrii mobilnej jest to, że wszystkie obliczenia są wykonywane na urządzeniu, w izolowanym obszarze procesora. Dla Androida jest to Trusted Execution Environment (TEE), dla iOS — Secure Enclave. Dane biometryczne nigdy nie opuszczają układu i nie są przesyłane przez internet.

Bezpieczeństwo danych biometrycznych

Bezpieczeństwo biometrii jest zapewniane przez izolację sprzętową i kryptograficzną ochronę szablonów. Secure Enclave w procesorach Apple A7–A18 to oddzielny koprocesor z własnym oprogramowaniem, który szyfruje dane biometryczne kluczem unikalnym dla każdego urządzenia. Dostęp do Secure Enclave ma tylko system operacyjny za pośrednictwem zabezpieczonego kanału.

W urządzeniach z Androidem rolę Secure Enclave pełni Trusted Execution Environment (TEE) oparty na ARM TrustZone. TEE izoluje obliczenia biometryczne od głównego systemu operacyjnego i aplikacji. Według Google Security Blog, Android 12+ wymaga obowiązkowego użycia TEE dla wszystkich operacji biometrycznych poziomu Strong.

Czujniki biometryczne są również chronione przed atakami z użyciem podrobionych próbek. Czujniki linii papilarnych sprawdzają obecność przepływu krwi lub pulsacji, a kamery na podczerwień Face ID rozpoznają teksturę żywej skóry i nie reagują na zdjęcia, maski ani silikonowe odlewy. Liveness detection (wykrywanie żywotności) — obowiązkowy komponent certyfikacji Android Biometric Class 3.

Zalety i wady biometrii

Uwierzytelnianie biometryczne jest znacznie wygodniejsze niż hasła: użytkownik nie musi zapamiętywać kombinacji znaków, a proces trwa ułamki sekund. Szybkość wprowadzania jest głównym czynnikiem napędzającym wdrażanie biometrii w mobilnych systemach płatniczych Apple Pay i Google Pay.

Główną wadą biometrii jest brak możliwości zmiany identyfikatora w przypadku kompromitacji. Jeśli hasło można zmienić, to odcisk palca lub rysy twarzy pozostają z człowiekiem na zawsze. Z tego powodu systemy biometryczne są zawsze uzupełniane kodem PIN lub hasłem jako metodą rezerwową.

Dodatkowe ryzyka obejmują spadek dokładności przy zmianie wyglądu (blizny, obrzęki, zmiany związane z wiekiem) oraz precedensy sądowe dotyczące przymusowego odblokowania. Sąd Najwyższy USA w 2019 roku orzekł, że policja może żądać odblokowania telefonu za pomocą Face ID lub Touch ID, ale nie może zmuszać do podania hasła (piąta poprawka).

Przykład kodu: użycie Biometric API na Androidzie

Android udostępnia ujednolicony interfejs BiometricPrompt API dla wszystkich sensorów biometrycznych. Poniżej znajduje się przykład uwierzytelniania z użyciem Jetpack Biometric Library. Biblioteka automatycznie wykrywa dostępne na urządzeniu sensory i wywołuje odpowiedni dialog.

class BiometricAuthActivity : AppCompatActivity() {

    private lateinit var biometricPrompt: BiometricPrompt

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        setContentView(R.layout.activity_auth)

        val executor = ContextCompat.getMainExecutor(this)
        val callback = object : BiometricPrompt.AuthenticationCallback() {
            override fun onAuthenticationSucceeded(
                result: BiometricPrompt.AuthenticationResult
            ) {
                unlockApp()
            }

            override fun onAuthenticationFailed() {
                showError("Biometria nierozpoznana")
            }
        }

        biometricPrompt = BiometricPrompt(this, executor, callback)

        val promptInfo = BiometricPrompt.PromptInfo.Builder()
            .setTitle("Potwierdź tożsamość")
            .setSubtitle("Użyj odcisku palca lub Face ID")
            .setAllowedAuthenticators(
                BiometricManager.Authenticators.BIOMETRIC_STRONG
            )
            .build()

        biometricPrompt.authenticate(promptInfo)
    }
}

W przykładzie użyto BIOMETRIC_STRONG — najwyższego poziomu bezpieczeństwa według klasyfikacji Androida. Obsługuje on tylko sensory Class 3: wbudowane skanery linii papilarnych i rozpoznawanie twarzy 3D. Klasa 2 (BIOMETRIC_WEAK) obejmuje zwykłe kamery i nie jest certyfikowana do płatności.

Przyszłość uwierzytelniania biometrycznego

Biometria aktywnie ewoluuje: na miejsce odcisków palców i twarzy pojawiają się nowe metody identyfikacji. Biometria behawioralna (keystroke dynamics, gait analysis) analizuje sposób pisania i chód użytkownika, nie wymagając specjalnego sensora. Technologia jest już wykorzystywana w systemach bankowych do wykrywania oszustw.

Biometria multimodalna — połączenie kilku metod w jednym systemie — staje się standardem w smartfonach z wyższej półki. Na przykład Samsung Galaxy S25 łączy ultradźwiękowy skaner linii papilarnych i rozpoznawanie twarzy 3D, wybierając najlepszą metodę w zależności od warunków oświetleniowych i stanu rąk. Według danych Goode Intelligence, rynek biometrii multimodalnej wzrośnie do 12 mld dolarów do 2029 roku.