Touch ID: ce este, cum funcționează amprenta

Ce este Touch ID?

Touch ID este un senzor biometric de amprentă dezvoltat de Apple pentru autentificarea utilizatorului pe dispozitivele iPhone, iPad și Mac. Tehnologia se bazează pe scanarea capacitivă: un strat subțire de sticlă de safir pe senzor protejează o matrice capacitivă de 500 de puncte care citește cele mai mici detalii ale modelului papilar — minuții, pori și direcția liniilor.

Spre deosebire de scanerele optice, populare în dispozitivele Android de atunci, metoda capacitivă Touch ID asigură o precizie mai mare datorită contactului direct al degetului cu senzorul. Inelul ceramic (detection ring) din jurul butonului Home detectează atingerea degetului și activează matricea doar în prezența contactului viu, prevenind declanșările false de la atingerea accidentală a obiectelor metalice.

Prima generație Touch ID (iPhone 5S, iPad Air 2) avea o grosime de 170 de microni și o rezoluție a senzorului de 500 PPI. A doua generație (iPhone 6S, iPhone SE generația 1) a actualizat senzorul la o matrice de 170 de microni cu recunoaștere îmbunătățită a degetelor umede. A treia generație este utilizată în MacBook Air și MacBook Pro cu butonul Touch ID pe tastatură — senzorul este conectat direct la cipul Apple T2 sau Silicon Secure Enclave.

Cum funcționează Touch ID?

Procesul de autentificare prin Touch ID constă în două etape: înregistrarea (enrollment) și verificarea (verification). Ambele etape se execută în interiorul Secure Enclave — un coprocesor de securitate izolat, la care iOS nu are acces nici măcar cu privilegii root.

Înregistrarea amprentei (Enrollment)

Utilizatorul aplică degetul pe butonul Home de mai multe ori din unghiuri diferite. Matricea capacitivă scanează o porțiune a amprentei de 8×8 mm cu o rezoluție de 500 PPI. Sistemul colectează până la 12 fragmente diferite ale aceleiași amprente la diferite unghiuri de înclinare — acest lucru este necesar pentru a recunoaște degetul la o rotație de 360 de grade. Fiecare fragment este transformat într-un șablon matematic, care este combinat într-un singur șablon de referință al amprentei.

Verificarea (Verification)

La atingerea degetului, detection ring trimite un semnal către Secure Enclave, declanșând scanarea. Matricea captează amprenta curentă în 200–300 ms, extrage minuțiile (terminațiile și bifurcațiile liniilor papilare) și le compară cu șabloanele salvate. Secure Enclave efectuează comparația pe 50–100 de puncte, calculând o metrică de similaritate. Dacă potrivirea depășește valoarea prag, autentificarea este considerată reușită.

Încercări eșuate și blocare

După 3 încercări eșuate, Touch ID se blochează timp de 10 secunde. După 5 încercări eșuate, se solicită parola dispozitivului, iar Touch ID este dezactivat până la prima introducere cu succes a parolei. După repornirea dispozitivului sau după 48 de ore de la ultima deblocare, Touch ID necesită de asemenea parola — aceasta este o cerință hardware a Secure Enclave care nu poate fi ocolită prin software.

Arhitectura hardware Touch ID

Senzorul Touch ID este o structură multistratificată în care fiecare strat își îndeplinește funcția: de la protecția mecanică până la detectarea atingerii și captarea amprentei. Toate datele de la senzor sunt transmise printr-un canal criptat direct către Secure Enclave.

Decizia arhitecturală cheie este absența accesului OS la datele brute. iOS nu vede nici imaginea amprentei, nici șablonul propriu-zis. Secure Enclave returnează doar un rezultat binar: «succes» sau «refuz». Aceasta exclude posibilitatea interceptării software a datelor biometrice la nivel de aplicații sau sistem de operare.

Comparație între Touch ID și Face ID

Touch ID și Face ID sunt două tehnologii biometrice succesive Apple. În ciuda scopului comun (autentificarea utilizatorului), ele diferă prin arhitectură, scenarii de utilizare și caracteristici de securitate. Comparația ajută dezvoltatorul să înțeleagă ce limitări să ia în considerare la proiectarea autentificării în aplicație.

• FAR — Touch ID: 0.001% (1 la 50 000), Face ID: 0.0001% (1 la 1 000 000). Face ID este de 10 ori mai precis datorită scanării tridimensionale
• Viteză — Touch ID funcționează în 200–300 ms (simplă atingere), Face ID în 600–1000 ms (scanare + verificare privire). Touch ID este mai rapid pentru deblocarea simplă
• Rezistența la umiditate — Touch ID nu funcționează cu degetele umede sau grase; Face ID nu este sensibil la umezeala feței, dar greșește la murdărirea camerei IR
• Scenarii multiple — Touch ID permite salvarea a până la 5 amprente pentru degete diferite sau utilizatori diferiți. Face ID suportă doar o singură față plus un aspect alternativ
• Factor de formă — Touch ID necesită un buton fizic sau o zonă dedicată pe carcasă; Face ID necesită un decupaj (notch) sau Dynamic Island pe afișaj

În dezvoltarea iOS, ambele API-uri sunt disponibile printr-un singur framework LocalAuthentication. Apelul canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) returnează disponibilitatea biometriei indiferent de tipul acesteia. Aceasta înseamnă că o aplicație cu autentificare biometrică funcționează corect pe toate dispozitivele Apple.

Securitatea Touch ID și Secure Enclave

Arhitectura de securitate Touch ID se bazează pe trei principii: izolarea hardware, legarea criptografică de dispozitiv și absența stocării imaginii originale. Aceste principii sunt implementate prin Secure Enclave — un coprocesor care funcționează sub propriul firmware SEPOS.

Secure Enclave generează un identificator unic al dispozitivului (UID) în faza de producție, care este încorporat în cip și inaccesibil pentru citire chiar și prin JTAG sau stații de probă. Șablonul amprentei este criptat cu o cheie derivată din UID și stocat în memoria flash criptată în interiorul Secure Enclave. La fiecare pornire a dispozitivului, SEPOS verifică integritatea firmware-ului printr-un verificator hardware — dacă firmware-ul a fost modificat, Secure Enclave se blochează definitiv.

Touch ID îndeplinește cerințele FIDO2 pentru verificarea biometrică și este utilizat pentru autorizarea plăților în Apple Pay. Standardul PCI DSS (Payment Card Industry Data Security Standard) recunoaște Touch ID ca factor de autentificare acceptabil pentru plățile mobile cu condiția utilizării în combinație cu codul PIN al dispozitivului pentru un scenariu multifactorial. În cazul compromiterii dispozitivului, atacatorul nu poate extrage șablonul amprentei din Secure Enclave — datele sunt distruse la orice încercare de acces neautorizat prin modul sistem.

Implementarea Touch ID prin LocalAuthentication

În dezvoltarea iOS, integrarea Touch ID se realizează prin framework-ul LocalAuthentication — același API utilizat pentru Face ID. Codul este universal pentru ambele tipuri de biometrie și nu necesită specificarea unui senzor anume. Sistemul determină automat metoda biometrică disponibilă pe dispozitivul utilizatorului.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Confirmați-vă identitatea pentru accesul la date"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID indisponibil — arată ecranul de introducere a parolei
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Atingeți cu degetul Touch ID"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID confirmat
                self.unlockContent()
            } else {
                // Eroare de autentificare
                handleError(authError)
            }
        }
    }
}

Acest cod arată implementarea standard a autentificării prin Touch ID. Metoda canEvaluatePolicy verifică prezența amprentelor înregistrate în Secure Enclave și disponibilitatea senzorului pe dispozitiv. Dacă pe dispozitiv este instalat Face ID în loc de Touch ID, același cod va funcționa fără modificări — LAContext va selecta automat senzorul disponibil. După trei încercări eșuate, se activează blocarea hardware, iar utilizatorul trebuie să introducă parola dispozitivului.

Pentru legarea criptografică a autentificării biometrice de operații specifice (de exemplu, semnarea plății în Apple Pay) se utilizează metoda evaluateAccessControl cu parametrul SecAccessControl. Această abordare leagă rezultatul Touch ID de o cheie în Keychain: autentificarea reușită deblochează accesul la cheia secretă pentru efectuarea unei operații criptografice. Fără o scanare reușită a amprentei, cheia rămâne blocată în Secure Enclave, ceea ce exclude posibilitatea ocolirii software a verificării biometrice.

Scenarii de utilizare Touch ID

Touch ID este utilizat în mai multe scenarii cheie atât la nivel de sistem iOS, cât și în aplicații terțe. Fiecare scenariu utilizează API-ul unic LocalAuthentication, dar impune cerințe diferite de politică de securitate — de la simpla deblocare până la autorizarea tranzacțiilor semnate criptografic.

Scenariile principale includ deblocarea dispozitivului, autorizarea achizițiilor în App Store și iTunes, confirmarea plăților prin Apple Pay, completarea automată a parolelor din iCloud Keychain și autentificarea în aplicații terțe prin LocalAuthentication. În fiecare scenariu, Touch ID acționează ca înlocuitor al introducerii parolei: utilizatorul atinge senzorul, Secure Enclave confirmă identitatea, iar acțiunea se execută fără introducerea datelor de autentificare.

În iOS 14+ a apărut un API suplimentar ASAuthorizationAppleIDRequest, care integrează Touch ID cu Apple ID pentru autentificarea fără parolă pe site-uri prin Safari. Utilizatorul atinge Touch ID, iar browserul primește un token criptografic semnat de la Secure Enclave, pe care serverul îl poate verifica fără a stoca parola. Acest mecanism stă la baza ecosistemului Passkeys de la Apple.