Fingeravtrycksautentisering — vad det är, funktionsprincip och tillämpning

Vad är fingeravtrycksautentisering?

Fingeravtrycksautentisering är en metod för biometrisk identifiering som analyserar det unika papillärmönstret på fingrets yta för att verifiera användarens identitet. Varje person har ett individuellt mönster av åsar och dalar som bildas under den 12:e veckan av fosterutvecklingen och förblir oförändrat hela livet, förutom vid fysiska skador.

Fingeravtryck är en av de tre typerna av biometriska kännetecken som anses mest tillförlitliga för automatisk identifiering, tillsammans med ögats iris och näthinne-mönstret. Papillärlinjer bildar karakteristiska detaljer — minutiae: ändpunkter, förgreningar, punkter och korsningar. Fingeravtryckets unicitet bestäms av placeringen och typen av 40–100 minutiae på skanningsytan, vilket ger en matematisk sannolikhet för matchning på 1 på 64 miljarder för två olika personer.

De första automatiserade fingeravtrycksidentifieringssystemen (AFIS) dök upp på 1970-talet för brottsbekämpande myndigheter. Massimplementering i konsumentenheter började 2013 med iPhone 5S och Touch ID. Idag installeras fingeravtrycksläsare i smartphones, bärbara datorer, surfplattor, dörrlås och betalterminaler.

Hur fungerar en fingeravtrycksläsare?

Oavsett sensortyp består fingeravtrycksautentiseringsprocessen av tre steg: bildfångst, bearbetning och extraktion av egenskaper, jämförelse med referensmallen. Varje steg kan utföras både på OS-nivå och på Trusted Execution Environment-nivå beroende på implementering.

Bildfångst av fingeravtryck

Sensorn registrerar fingrets fysiska mönster. Kapacitiva matriser läser skillnaden i elektrisk potential mellan åsar (som vidrör matrisen) och dalar (som inte vidrör). Optiska skannrar belyser fingret med LED-belysning och registrerar det reflekterade ljuset via en CMOS-sensor. Ultraljudssensorer sänder ut en ljudvåg och analyserar ekot som reflekteras från olika huddjup — detta ger en tredimensionell bild som är motståndskraftig mot smuts på fingrets yta.

Extraktion av minutiae och skapande av mall

Den fångade bilden genomgår filtrering: brusborttagning, kontrastnormalisering och binarisering (omvandling till svartvitt). Algoritmen extraherar åsarna av papillärlinjer, skeletterar dem (förtunnar till 1 pixels bredd) och hittar minutiae — ändpunkter och förgreningspunkter av linjer. Varje minutie beskrivs av koordinater (x, y), riktningsvinkel och typ. Den matematiska mallen på 2–10 KB innehåller inte originalbilden och tillåter inte rekonstruktion av fingeravtrycket.

Jämförelse och beslutsfattande

Mallen som erhålls vid skanning jämförs med referensmallen som sparats vid registrering. Algoritmen beräknar antalet matchande minutiae. För framgångsrik verifiering krävs matchning av minst 12–15 minutiae (justerbart av tillverkaren). Om antalet matchande punkter överstiger tröskelvärdet anses autentiseringen lyckad. I mobila enheter ställs tröskeln in så att FAR inte överstiger 0,001% med FRR på cirka 2%.

Typer av fingeravtrycksläsare

I moderna mobila enheter används tre huvudtyper av fingeravtrycksläsare, som skiljer sig åt i avläsningsteknik, noggrannhet och produktionskostnad. Valet av typ beror på enhetens prissegment och säkerhetskrav.

Under 2025–2026 blir skannrar under skärmen (in-display), inbyggda direkt under OLED-skärmen, allt populärare. De kan vara både optiska (budgetsegment) och ultraljudsbaserade (premiumsegment). Fördel — ingen separat knapp eller zon på höljet, vilket möjliggör en ramlös skärm. Nackdel med optiska skannrar under skärmen — känslighet för starkt solljus som överexponerar CMOS-matrisen genom skärmens pixlar.

Jämförelse mellan fingeravtryck och ansiktsigenkänning

Fingeravtrycksautentisering och ansiktsigenkänning är de två dominerande biometriska teknikerna i mobila enheter. Varje har styrkor och svagheter som påverkar valet i specifika användningsscenarier.

• Noggrannhet (FAR) — ultraljudsbaserad fingeravtrycksläsare: 0,0005%, 3D Face ID: 0,0001%. Ansiktsigenkänning är mer exakt under förutsättning att en djupkamera används
• Hastighet — kapacitiv skanner: 200–300 ms, optisk: 400–600 ms, 3D-ansikte: 600–1000 ms. Fingeravtryck är snabbare i ett statiskt scenario
• Beröringsfrihet — Face ID och 2D-ansikte kräver inte beröring av enheten; fingeravtryck kräver fysisk kontakt med skannern
• Förhållanden — fingeravtryck fungerar inte med våta fingrar, men fungerar med mask och handskar; Face ID fungerar inte med mask (utan Apple Watch) och vid nedsmutsning av IR-kameran
• Sensorkostnad — kapacitiva skannrar: ~0,5–1,5 dollar, ultraljud: ~3–5 dollar, 3D TrueDepth-kamera: ~12–15 dollar

För utvecklaren av mobilapplikationer är det viktigt att BiometricPrompt på Android och LocalAuthentication på iOS abstraherar sensortypen. På äldre Android-enheter (API < 28) kan dock endast FingerprintManager vara tillgänglig — i så fall måste applikationen explicit kontrollera sensortypen och erbjuda en alternativ autentiseringsmetod.

Implementering av Fingerprint Auth på Android

Före Android 9 (API 28) var det enda sättet att integrera en fingeravtrycksläsare klassen FingerprintManager, som lades till i API 23. Från och med Android 9 rekommenderar Google att använda BiometricPrompt, som förenar arbetet med alla typer av biometriska sensorer. För enheter med API 23–27 kan utvecklaren dock fortfarande behöva FingerprintManager.

class FingerprintAuthHelper(
    private val context: Context
) {
    private val manager =
        context.getSystemService(Context.FINGERPRINT_SERVICE)
            as FingerprintManager?

    fun isFingerprintAvailable(): Boolean {
        return manager?.isHardwareDetected() == true
            && manager?.hasEnrolledFingerprints() == true
    }

    fun authenticate(callback: FingerprintManager.AuthenticationCallback) {
        if (isFingerprintAvailable()) {
            manager?.authenticate(
                null,
                CancellationSignal(),
                0,
                callback,
                null
            )
        }
    }
}

// Användning:
val helper = FingerprintAuthHelper(context)
helper.authenticate(object : FingerprintManager.AuthenticationCallback() {
    override fun onAuthenticationSucceeded(
        result: FingerprintManager.AuthenticationResult
    ) {
        // Fingeravtryck känt igen — åtkomst beviljad
        binding.showContent()
    }

    override fun onAuthenticationFailed() {
        binding.showError("Fingeravtryck inte känt igen")
    }
})

Den visade koden demonstrerar den fullständiga autentiseringscykeln via FingerprintManager för äldre Android-enheter. Det är viktigt att notera att FingerprintManager som standard inte använder TEE — autentiseringsresultatet returneras till användarutrymmet, vilket gör det mindre säkert än BiometricPrompt med flaggan BIOMETRIC_STRONG. För nya projekt bör alltid BiometricPrompt användas, och FingerprintManager endast för bakåtkompatibilitet med API 23–27.

Vid migrering från FingerprintManager till BiometricPrompt måste förändringen av säkerhetsmodellen beaktas: BiometricPrompt garanterar att alla biometriska operationer utförs i TEE (Trusted Execution Environment). Autentiseringsresultatet som signeras med en kryptografisk nyckel inuti TEE kan inte förfalskas från användarkod. AndroidX Biometric-biblioteket tillhandahåller också gränssnittet BiometricPrompt.AuthenticationResult.getCryptoObject() för att koppla biometrisk autentisering till kryptografiska operationer — kryptering av nycklar och signering av data.

Säkerhetsstandarder och skydd mot förfalskning

Skydd mot förfalskning av fingeravtryck är en av skannertillverkarnas viktigaste uppgifter. Moderna sensorer använder en kombination av hårdvaru- och algoritmiska metoder för att detektera levande fingrar (liveness detection) och blockera kopior. Varje metod har sina begränsningar, men tillsammans gör de förfalskning ekonomiskt olönsam för massattacker.

De viktigaste skyddsmetoderna inkluderar: analys av hudens djup (ultraljudsskannrar bestämmer överhudens tjocklek genom ekosignalens returtid), spektral analys av huden (optiska skannrar utvärderar hudens reflektionskoefficient vid olika våglängder — silikon och gelatin har olika spektrum), pulsdetektion (mikrovibrationer av blodflödet i fingrets kapillärer) och potentiometrisk kontroll (levande hud har en viss elektrisk impedans som skiljer sig från syntetiska material).

Standarden ISO/IEC 30107-3:2023 definierar nivåer av motståndskraft hos biometriska system mot presentationsattacker (presentation attack detection, PAD). För finansiella applikationer rekommenderas nivå 2 (PAD Level 2), som kräver automatisk detektering av minst 95% av attacker med kopior med FAR högst 0,01%. Ultraljudsskannrar från Samsung och Qualcomm 3D Sonic Sensor uppfyller kraven för PAD Level 2, medan billiga optiska skannrar vanligtvis inte får certifiering över Level 1.