Touch ID: шта је, како ради отисак прста

Шта је Touch ID?

Touch ID је биометријски сензор отиска прста који је развила компанија Apple за аутентификацију корисника на iPhone, iPad и Mac уређајима. Технологија се заснива на капацитивном скенирању: танак слој сафирног стакла на сензору штити 500-тачкасту капацитивну матрицу која очитава најситније детаље папиларног узора — минуције, поре и правац линија.

За разлику од оптичких скенера, популарних у Android уређајима тог времена, капацитивни метод Touch ID-а пружа већу прецизност захваљујући директном контакту прста са сензором. Керамички прстен (detection ring) око Home дугмета детектује додир прста и активира матрицу само у присуству живог контакта, спречавајући лажна окидања услед случајног додира металних предмета.

Прва генерација Touch ID (iPhone 5S, iPad Air 2) имала је дебљину од 170 микрона и резолуцију сензора 500 PPI. Друга генерација (iPhone 6S, iPhone SE 1. генерације) унапредила је сензор на матрицу од 170 микрона са бољим препознавањем влажних прстију. Трећа генерација се користи у MacBook Air и MacBook Pro са Touch ID дугметом на тастатури — сензор је повезан директно са Apple T2 или Silicon Secure Enclave чипом.

Како ради Touch ID?

Процес аутентификације путем Touch ID-а састоји се од два корака: учење (enrollment) и потврда (verification). Оба корака се извршавају унутар Secure Enclave — изолованог копроцесора безбедности којем нема приступа из iOS-а чак ни са root правима.

Регистрација отиска (Enrollment)

Корисник прилага прст на Home дугме више пута под различитим угловима. Капацитивна матрица скенира део отиска величине 8×8 mm са резолуцијом од 500 PPI. Систем прикупља до 12 различитих фрагмената једног отиска под различитим угловима нагиба — ово је потребно да би се прст препознао при ротацији од 360 степени. Сваки фрагменат се претвара у математички образац, који се спаја у један референтни образац отиска.

Потврда (Verification)

При додиру прста detection ring шаље сигнал у Secure Enclave, покрећући скенирање. Матрица снима тренутни отисак за 200–300 ms, издваја минуције (завршетке и рачвања папиларних линија) и пореди их са сачуваним обрасцима. Secure Enclave врши поређење по 50–100 тачака, израчунавајући метрику сличности. Ако поклапање премашује пражну вредност, аутентификација се сматра успешном.

Неуспели покушаји и блокада

Након 3 неуспелих покушаја Touch ID се блокира на 10 секунди. Након 5 неуспелих покушаја захтева се лозинка уређаја, а Touch ID се искључује до првог успешног уношења лозинке. Након поновног покретања уређаја или протека 48 сати од последњег откључавања, Touch ID такође захтева лозинку — ово је хардверски захтев Secure Enclave који се не може заобићи програмски.

Хардверска архитектура Touch ID

Сензор Touch ID је вишеслојна структура у којој сваки слој обавља своју функцију: од механичке заштите до детекције додира и очитавања отиска. Сви подаци са сензора преносе се путем шифрованог канала директно у Secure Enclave.

Кључна архитектурна одлука је непостојање приступа ОС сировим подацима. iOS не види ни слику отиска, ни сам образац. Secure Enclave враћа само бинарни резултат: «успех» или «одбијање». Ово искључује могућност програмског пресретања биометријских података на нивоу апликација или оперативног система.

Поређење Touch ID и Face ID

Touch ID и Face ID су двије узастопне биометријске технологије компаније Apple. Упркос заједничком циљу (аутентификација корисника), разликују се по архитектури, сценаријима употребе и карактеристикама безбедности. Поређење помаже програмеру да разуме која ограничења треба узети у обзир при дизајнирању аутентификације у апликацији.

• FAR — Touch ID: 0.001% (1 на 50 000), Face ID: 0.0001% (1 на 1 000 000). Face ID је 10 пута прецизнији захваљујући тродимензионалном скенирању
• Брзина — Touch ID реагује за 200–300 ms (једноставан додир), Face ID за 600–1000 ms (скенирање + провера погледа). Touch ID је бржи за једноставно откључавање
• Отпорност на влагу — Touch ID не ради са влажним или масним прстима; Face ID није осетљив на влагу на лицу, али гријеши када је запрљана IR камера
• Вишеструки сценарији — Touch ID омогућује чување до 5 отисака за различите прсте или различите кориснике. Face ID подржава само једно лице плус алтернативни изглед
• Форм-фактор — Touch ID захтева физичко дугме или посебну зону на кућишту; Face ID захтева ирез (notch) или Dynamic Island на екрану

У iOS развоју, оба API-ја су доступна кроз јединствени оквир LocalAuthentication. Позив canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) враћа доступност биометрије без обзира на њен тип. То значи да апликација са биометријском аутентификацијом исправно ради на свим Apple уређајима.

Безбедност Touch ID и Secure Enclave

Архитектура безбедности Touch ID-а заснива се на три принципа: хардверска изолација, криптографско везивање за уређај и непостојање складиштења изворне слике. Ови принципи су реализовани кроз Secure Enclave — копроцесор који ради под управлањем сопственог фирмвера SEPOS.

Secure Enclave генерише јединствени идентификатор уређаја (UID) у фази производње, који је уграђен у чип и недоступан за читање чак кроз JTAG или probe станице. Образац отиска је шифрован кључем изведеним из UID-а и чува се у шифрованој flash меморији унутар Secure Enclave. При сваком покретању уређаја, SEPOS проверава интегритет фирмвера путем хардверског верификатора — ако је фирмвер модификован, Secure Enclave се заувек блокира.

Touch ID испуњава захтеве FIDO2 за биометријску верификацију и користи се за ауторизацију плаћања у Apple Pay-у. Стандард PCI DSS (Payment Card Industry Data Security Standard) препознаје Touch ID као допуштив фактор аутентификације за мобилна плаћања под условом кориштења у комбинацији са PIN кодом уређаја за вишефакторски схему. При компромитовању уређаја, нападач не може да извуче образац отиска из Secure Enclave — подаци се уништавају при сваком покушају неовлашћеног приступа кроз system режим.

Имплементација Touch ID-а путем LocalAuthentication

У iOS развоју, интеграција Touch ID-а се врши кроз оквир LocalAuthentication — исти API који се користи за Face ID. Код је универзалан за оба типа биометрије и не захтева навођење одређеног сензора. Систем аутоматски одређује доступну биометријску методу на корисничком уређају.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Потврдите свој идентитет за приступ подацима"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID недоступан — прикажи екран за уношење лозинке
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Додирните прстом Touch ID"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID потврђен
                self.unlockContent()
            } else {
                // Грешка аутентификације
                handleError(authError)
            }
        }
    }
}

Овај код приказује стандардну имплементацију аутентификације путем Touch ID-а. Метода canEvaluatePolicy проверава постојање регистрованих отисака у Secure Enclave и доступност сензора на уређају. Ако је на уређају инсталиран Face ID уместо Touch ID-а, исти код ће радити без промена — LAContext ће аутоматски изабрати доступан сензор. Након три неуспела покушаја, активира се хардверска блокада, и корисник мора да унесе лозинку уређаја.

За криптографско везивање биометријске аутентификације са одређеним операцијама (нпр. потписивање плаћања у Apple Pay-у) користи се метода evaluateAccessControl са параметром SecAccessControl. Овај приступ повезује резултат Touch ID-а са кључем у Keychain-у: успешна аутентификација откључава приступ тајном кључу за извршавање криптографске операције. Без успешног скенирања отиска, кључ остаје закључан у Secure Enclave, што искључује могућност програмског заобилажења биометријске провере.

Сценарији коришћења Touch ID

Touch ID се користи у неколико кључних сценарија на нивоу iOS система и у апликацијама трећих страна. Сваки сценариј користи јединствени LocalAuthentication API, али поставља различите захтеве у погледу политике безбедности — од једноставног откључавања до криптографски потписане ауторизације транзакција.

Основни сценарији укључују откључавање уређаја, ауторизацију куповина у App Store и iTunes-у, потврђивање плаћања путем Apple Pay, аутоматско попуњавање лозинки из iCloud Keychain-а и аутентификацију у апликацијама трећих страна кроз LocalAuthentication. У сваком сценарију, Touch ID делује као замена за уношење лозинке: корисник додирује сензор, Secure Enclave потврђује идентитет, и радња се извршава без уношења акредитија.

У iOS 14+ појавио се додатни API ASAuthorizationAppleIDRequest, који интегрише Touch ID са Apple ID-ом за безлозински приступ веб сајтовима кроз Safari. Корисник додирује Touch ID, и прегледач добија криптографски потписан токен од Secure Enclave, који сервер може да верификује без чувања лозинке. Овај механизам лежи у основи Passkeys екосистема компаније Apple.