Autenticação biométrica em aplicativos móveis: o que é, tipos de sensores e princípio de funcionamento

O que é autenticação biométrica?

A autenticação biométrica é o processo de verificar a identidade de um utilizador com base nas suas características fisiológicas ou comportamentais únicas. Em dispositivos móveis, a tecnologia é usada para desbloquear o ecrã, confirmar pagamentos e aceder a aplicações protegidas.

Um sistema biométrico é composto por três componentes: um sensor que captura uma amostra biométrica (impressão digital, rosto, voz), um algoritmo que extrai características únicas e um módulo de comparação que as confronta com um modelo armazenado. De acordo com o NIST, os algoritmos modernos de reconhecimento facial erram em apenas 0,08% dos casos em condições de iluminação padrão.

Os métodos biométricos estão a substituir as senhas tradicionais porque estão ligados à pessoa e não podem ser intercetados durante a transmissão. Segundo um relatório da Goode Intelligence, até 2027 mais de 80% dos smartphones estarão equipados com sensores biométricos.

Uma vantagem importante da biometria é a velocidade. O tempo médio de autenticação por impressão digital é de 0,2 segundos, por rosto — 0,4 segundos. Em comparação, introduzir um código PIN de seis dígitos leva em média 2,5 segundos. Em dezenas de desbloqueios por dia, isto proporciona uma poupança de tempo significativa e reduz a carga cognitiva do utilizador.

Os sensores biométricos são classificados por nível de segurança de acordo com o Android CDD e o Apple App Review. Classe 3 (Strong) — os sensores mais fiáveis certificados para pagamentos. Classe 2 (Weak) — câmaras normais para reconhecimento facial, adequadas apenas para desbloquear o ecrã. Classe 1 — apenas por conveniência, sem garantia de segurança.

Principais tipos de sensores biométricos

Os dispositivos móveis modernos usam quatro tipos principais de sensores biométricos. Cada um tem as suas próprias características de precisão, velocidade e resistência a ataques. A seleção do sensor é determinada pelo custo, fator de forma e requisitos de segurança do modelo de telemóvel específico.

Leitor de impressões digitais

Este é o tipo mais comum de sensor biométrico em smartphones. Os leitores capacitivos, usados pela Apple no Touch ID, analisam a diferença de potencial elétrico entre as cristas e os vales do padrão papilar. Os leitores ultrassónicos (Qualcomm 3D Sonic) penetram através da sujidade e do vidro protetor, proporcionando uma precisão de 98,6%.

Reconhecimento facial

As câmaras 2D usam fotografia normal e funcionam mais rapidamente, mas são menos seguras. Os sistemas 3D (Face ID, Huawei 3D Face Unlock) projetam 30.000 pontos infravermelhos no rosto e constroem um mapa de profundidade preciso. A probabilidade de desbloqueio acidental pelo rosto de outra pessoa é de 1 em 1.000.000 — 20 vezes menor que o Touch ID.

Leitor de íris e reconhecimento de voz

Um leitor de íris usa uma câmara com iluminação IV para analisar até 200 pontos únicos na íris. A tecnologia foi usada no Samsung Galaxy Note 7–9, mas deu lugar ao reconhecimento facial 3D devido a problemas de usabilidade. A biometria de voz constrói uma impressão vocal com base em mais de 100 parâmetros acústicos: timbre, frequência fundamental e articulação. É usada em sistemas bancários para verificação telefónica.

Como a biometria funciona em dispositivos móveis

O processo de autenticação biométrica divide-se em duas etapas: registo (inscrição) e verificação. Durante o registo, o sensor captura várias imagens da amostra biométrica, o algoritmo extrai características distintivas e guarda-as como um modelo matemático. Um modelo não é uma imagem, mas um conjunto de vetores numéricos que não podem ser revertidos para a imagem original.

Durante a verificação, uma nova amostra é comparada com o modelo armazenado e o sistema emite um resultado: correspondência ou rejeição. Os algoritmos modernos baseados em redes neuronais (Neural Engine nos chips Apple A, NPU no Snapdragon) processam esta comparação em 100–400 milissegundos. De acordo com o Apple Security Guide, o Neural Engine realiza até 1 bilião de operações por segundo exclusivamente para cálculos biométricos.

Uma característica fundamental da biometria móvel é que todos os cálculos são realizados no dispositivo, numa área isolada do processador. Para Android é o Trusted Execution Environment (TEE), para iOS — Secure Enclave. Os dados biométricos nunca saem do chip e não são transmitidos pela internet.

Segurança dos dados biométricos

A segurança biométrica é garantida pelo isolamento de hardware e pela proteção criptográfica dos modelos. A Secure Enclave nos processadores Apple A7–A18 é um coprocessador separado com o seu próprio firmware que encripta os dados biométricos com uma chave única para cada dispositivo. Apenas o sistema operativo tem acesso à Secure Enclave através de um canal seguro.

Em dispositivos Android, o papel da Secure Enclave é desempenhado pelo Trusted Execution Environment (TEE) baseado em ARM TrustZone. O TEE isola os cálculos biométricos do sistema operativo principal e das aplicações. De acordo com o Google Security Blog, o Android 12+ exige a utilização obrigatória do TEE para todas as operações biométricas de nível Strong.

Os sensores biométricos também estão protegidos contra ataques de falsificação. Os sensores de impressões digitais verificam a presença de fluxo sanguíneo ou pulso, e as câmaras infravermelhas do Face ID reconhecem a textura da pele viva e não respondem a fotografias, máscaras ou moldes de silicone. A deteção de vida é um componente obrigatório da certificação Android Biometric Class 3.

Vantagens e desvantagens da biometria

A autenticação biométrica é significativamente mais conveniente do que as senhas: o utilizador não precisa de memorizar combinações de caracteres e o processo leva frações de segundo. A velocidade é o principal impulsionador da adoção da biometria em sistemas de pagamento móvel como o Apple Pay e o Google Pay.

A principal desvantagem da biometria é a impossibilidade de alterar o identificador em caso de comprometimento. Enquanto uma senha pode ser alterada, uma impressão digital ou o padrão facial permanecem com a pessoa para sempre. Por esta razão, os sistemas biométricos são sempre complementados com um código PIN ou senha como método de reserva.

Os riscos adicionais incluem a redução da precisão com alterações na aparência (cicatrizes, inchaço, alterações relacionadas com a idade) e os precedentes legais de desbloqueio forçado. O Supremo Tribunal dos EUA decidiu em 2019 que a polícia pode exigir o desbloqueio do telemóvel através do Face ID ou Touch ID, mas não pode obrigar à introdução da senha (Quinta Emenda).

Exemplo de código: uso da Biometric API no Android

O Android fornece uma API unificada BiometricPrompt para todos os sensores biométricos. Abaixo está um exemplo de autenticação usando a Jetpack Biometric Library. A biblioteca deteta automaticamente os sensores disponíveis no dispositivo e exibe o diálogo correspondente.

class BiometricAuthActivity : AppCompatActivity() {

    private lateinit var biometricPrompt: BiometricPrompt

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)
        setContentView(R.layout.activity_auth)

        val executor = ContextCompat.getMainExecutor(this)
        val callback = object : BiometricPrompt.AuthenticationCallback() {
            override fun onAuthenticationSucceeded(
                result: BiometricPrompt.AuthenticationResult
            ) {
                unlockApp()
            }

            override fun onAuthenticationFailed() {
                showError("Autenticação biométrica falhou")
            }
        }

        biometricPrompt = BiometricPrompt(this, executor, callback)

        val promptInfo = BiometricPrompt.PromptInfo.Builder()
            .setTitle("Confirme a sua identidade")
            .setSubtitle("Use impressão digital ou Face ID")
            .setAllowedAuthenticators(
                BiometricManager.Authenticators.BIOMETRIC_STRONG
            )
            .build()

        biometricPrompt.authenticate(promptInfo)
    }
}

O exemplo usa BIOMETRIC_STRONG — o nível de segurança mais alto de acordo com a classificação Android. Suporta apenas sensores Classe 3: leitores de impressões digitais integrados e reconhecimento facial 3D. A Classe 2 (BIOMETRIC_WEAK) inclui câmaras normais e não é certificada para pagamentos.

Futuro da autenticação biométrica

A biometria está a evoluir ativamente: novos métodos de identificação estão a substituir as impressões digitais e o reconhecimento facial. A biometria comportamental (dinâmica de teclas, análise da marcha) analisa padrões de digitação e a forma de andar sem necessitar de um sensor dedicado. A tecnologia já é usada em sistemas bancários para deteção de fraudes.

A biometria multimodal — uma combinação de vários métodos num único sistema — está a tornar-se o padrão para smartphones de topo. Por exemplo, o Samsung Galaxy S25 combina um leitor de impressões digitais ultrassónico e reconhecimento facial 3D, selecionando o melhor método consoante as condições de iluminação e o estado das mãos. De acordo com a Goode Intelligence, o mercado da biometria multimodal crescerá para 12 mil milhões de dólares até 2029.