Touch ID: co to jest, jak działa odcisk palca

Co to jest Touch ID?

Touch ID to biometryczny czujnik odcisku palca opracowany przez Apple do autoryzacji użytkownika na urządzeniach iPhone, iPad i Mac. Technologia opiera się na skanowaniu pojemnościowym: cienka warstwa szafirowego szkła na czujniku chroni 500-punktową matrycę pojemnościową, która odczytuje najdrobniejsze szczegóły wzoru brodawkowego — minucje, pory i kierunek linii.

W przeciwieństwie do skanerów optycznych, popularnych w urządzeniach Android w tamtym czasie, metoda pojemnościowa Touch ID zapewnia wyższą dokładność dzięki bezpośredniemu kontaktowi palca z czujnikiem. Ceramiczny pierścień (detection ring) wokół przycisku Home wykrywa dotyk palca i aktywuje matrycę tylko przy żywym kontakcie, zapobiegając fałszywym wyzwoleniom od przypadkowych dotknięć metalowych przedmiotów.

Pierwsza generacja Touch ID (iPhone 5S, iPad Air 2) miała grubość 170 mikronów i rozdzielczość czujnika 500 PPI. Druga generacja (iPhone 6S, iPhone SE 1. generacji) zaktualizowała czujnik do matrycy 170-mikronowej z ulepszonym rozpoznawaniem wilgotnych palców. Trzecia generacja jest używana w MacBook Air i MacBook Pro z przyciskiem Touch ID na klawiaturze — czujnik jest podłączony bezpośrednio do chipa Apple T2 lub Silicon Secure Enclave.

Jak działa Touch ID?

Proces autoryzacji przez Touch ID składa się z dwóch etapów: rejestracji (enrollment) i weryfikacji (verification). Oba etapy wykonywane są wewnątrz Secure Enclave — izolowanego koprocesora bezpieczeństwa, do którego nie ma dostępu z iOS nawet z uprawnieniami root.

Rejestracja odcisku palca (Enrollment)

Użytkownik przykłada palec do przycisku Home kilkakrotnie pod różnymi kątami. Matryca pojemnościowa skanuje fragment odcisku palca o wymiarach 8×8 mm z rozdzielczością 500 PPI. System zbiera do 12 różnych fragmentów jednego odcisku pod różnymi kątami nachylenia — jest to niezbędne do rozpoznawania palca przy obrocie o 360 stopni. Każdy fragment jest przekształcany w matematyczny szablon, który jest łączony w jeden wzorcowy szablon odcisku palca.

Weryfikacja (Verification)

Przy dotknięciu palca detection ring wysyła sygnał do Secure Enclave, uruchamiając skanowanie. Matryca rejestruje bieżący odcisk w ciągu 200–300 ms, wyodrębnia minucje (zakończenia i rozgałęzienia linii brodawkowych) i porównuje je z zapisanymi szablonami. Secure Enclave wykonuje porównanie na 50–100 punktach, obliczając metrykę podobieństwa. Jeśli dopasowanie przekracza wartość progową, autoryzacja jest uznawana za udaną.

Nieudane próby i blokada

Po 3 nieudanych próbach Touch ID blokuje się na 10 sekund. Po 5 nieudanych próbach wymagane jest hasło urządzenia, a Touch ID wyłącza się do pierwszego pomyślnego wprowadzenia hasła. Po restarcie urządzenia lub upływie 48 godzin od ostatniego odblokowania Touch ID również wymaga hasła — jest to wymóg sprzętowy Secure Enclave, którego nie można ominąć programowo.

Architektura sprzętowa Touch ID

Czujnik Touch ID to struktura wielowarstwowa, w której każda warstwa pełni określoną funkcję: od mechanicznej ochrony po wykrywanie dotyku i rejestrację odcisku palca. Wszystkie dane z czujnika są przesyłane zaszyfrowanym kanałem bezpośrednio do Secure Enclave.

Kluczową decyzją architektoniczną jest brak dostępu systemu operacyjnego do surowych danych. iOS nie widzi ani obrazu odcisku palca, ani samego szablonu. Secure Enclave zwraca tylko binarny wynik: «sukces» lub «odmowa». Wyklucza to możliwość programowego przechwycenia danych biometrycznych na poziomie aplikacji lub systemu operacyjnego.

Porównanie Touch ID i Face ID

Touch ID i Face ID to dwie kolejne biometryczne technologie Apple. Pomimo wspólnego celu (autoryzacji użytkownika) różnią się architekturą, scenariuszami użycia i cechami bezpieczeństwa. Porównanie pomaga programiście zrozumieć, jakie ograniczenia uwzględnić przy projektowaniu autoryzacji w aplikacji.

• FAR — Touch ID: 0.001% (1 na 50 000), Face ID: 0.0001% (1 na 1 000 000). Face ID jest 10 razy dokładniejsze dzięki skanowaniu trójwymiarowemu
• Prędkość — Touch ID działa w 200–300 ms (zwykły dotyk), Face ID w 600–1000 ms (skanowanie + sprawdzenie wzroku). Touch ID jest szybsze do prostego odblokowania
• Odporność na wilgoć — Touch ID nie działa przy wilgotnych lub tłustych palcach; Face ID nie jest wrażliwe na wilgoć na twarzy, ale myli się przy zabrudzeniu kamery IR
• Scenariusze wielokrotne — Touch ID pozwala zapisać do 5 odcisków dla różnych palców lub różnych użytkowników. Face ID obsługuje tylko jedną twarz plus alternatywny wygląd
• Form factor — Touch ID wymaga fizycznego przycisku lub wydzielonego obszaru na obudowie; Face ID wymaga wycięcia (notch) lub Dynamic Island na wyświetlaczu

W iOS development oba API są dostępne przez jeden framework LocalAuthentication. Wywołanie canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) zwraca dostępność biometrii niezależnie od jej typu. Oznacza to, że aplikacja z autoryzacją biometryczną działa poprawnie na wszystkich urządzeniach Apple.

Bezpieczeństwo Touch ID i Secure Enclave

Architektura bezpieczeństwa Touch ID opiera się na trzech zasadach: izolacja sprzętowa, kryptograficzne powiązanie z urządzeniem i brak przechowywania oryginalnego obrazu. Zasady te są realizowane przez Secure Enclave — koprocesor działający pod kontrolą własnego oprogramowania SEPOS.

Secure Enclave generuje unikalny identyfikator urządzenia (UID) na etapie produkcji, który jest wbudowany w chip i niedostępny do odczytu nawet przez JTAG lub stacje probe. Szablon odcisku palca jest szyfrowany kluczem pochodnym od UID i przechowywany w zaszyfrowanej pamięci flash wewnątrz Secure Enclave. Przy każdym uruchomieniu urządzenia SEPOS sprawdza integralność oprogramowania przez sprzętowy weryfikator — jeśli oprogramowanie zostało zmodyfikowane, Secure Enclave blokuje się na zawsze.

Touch ID spełnia wymagania FIDO2 dla weryfikacji biometrycznej i jest używane do autoryzacji płatności w Apple Pay. Standard PCI DSS (Payment Card Industry Data Security Standard) uznaje Touch ID za dopuszczalny czynnik autoryzacji dla płatności mobilnych pod warunkiem użycia w połączeniu z kodem PIN urządzenia w schemacie wieloczynnikowym. W przypadku naruszenia urządzenia atakujący nie może wyodrębnić szablonu odcisku palca z Secure Enclave — dane są niszczone przy każdej próbie nieautoryzowanego dostępu przez tryb systemowy.

Implementacja Touch ID przez LocalAuthentication

W iOS development integracja Touch ID odbywa się przez framework LocalAuthentication — ten sam API, który jest używany dla Face ID. Kod jest uniwersalny dla obu typów biometrii i nie wymaga określania konkretnego czujnika. System automatycznie określa dostępną metodę biometryczną na urządzeniu użytkownika.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Potwierdź swoją tożsamość, aby uzyskać dostęp do danych"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID niedostępny — pokaż ekran wprowadzania hasła
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Dotknij palcem Touch ID"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID potwierdzony
                self.unlockContent()
            } else {
                // Błąd uwierzytelniania
                handleError(authError)
            }
        }
    }
}

Ten kod pokazuje standardową implementację autoryzacji przez Touch ID. Metoda canEvaluatePolicy sprawdza obecność zarejestrowanych odcisków w Secure Enclave i dostępność czujnika na urządzeniu. Jeśli na urządzeniu jest zainstalowany Face ID zamiast Touch ID, ten sam kod będzie działać bez zmian — LAContext automatycznie wybierze dostępny czujnik. Po trzech nieudanych próbach następuje blokada sprzętowa i użytkownik musi wprowadzić hasło urządzenia.

Do kryptograficznego powiązania autoryzacji biometrycznej z konkretnymi operacjami (na przykład podpis płatności w Apple Pay) używana jest metoda evaluateAccessControl z parametrem SecAccessControl. To podejście łączy wynik Touch ID z kluczem w Keychain: pomyślna autoryzacja odblokowuje dostęp do tajnego klucza do wykonania operacji kryptograficznej. Bez pomyślnego skanowania odcisku palca klucz pozostaje zablokowany w Secure Enclave, co wyklucza możliwość programowego ominięcia sprawdzenia biometrycznego.

Scenariusze użycia Touch ID

Touch ID jest używane w kilku kluczowych scenariuszach zarówno na poziomie systemu iOS, jak i w aplikacjach firm trzecich. Każdy scenariusz używa jednego API LocalAuthentication, ale stawia różne wymagania dotyczące polityki bezpieczeństwa — od prostego odblokowania po kryptograficznie podpisaną autoryzację transakcji.

Główne scenariusze obejmują odblokowanie urządzenia, autoryzację zakupów w App Store i iTunes, potwierdzanie płatności przez Apple Pay, automatyczne wypełnianie haseł z iCloud Keychain oraz autoryzację w aplikacjach firm trzecich przez LocalAuthentication. W każdym scenariuszu Touch ID pełni funkcję zamiennika wprowadzania hasła: użytkownik dotyka czujnika, Secure Enclave potwierdza tożsamość, a czynność jest wykonywana bez wprowadzania danych uwierzytelniających.

W iOS 14+ pojawił się dodatkowy API ASAuthorizationAppleIDRequest, integrujący Touch ID z Apple ID do logowania bez hasła na stronach przez Safari. Użytkownik dotyka Touch ID, a przeglądarka otrzymuje kryptograficznie podpisany token z Secure Enclave, który serwer może zweryfikować bez przechowywania hasła. Ten mechanizm leży u podstaw ekosystemu Passkeys od Apple.