Touch ID: vad är det, hur fungerar fingeravtryck

Vad är Touch ID?

Touch ID är en biometrisk fingeravtryckssensor utvecklad av Apple för användarautentisering på iPhone, iPad och Mac. Tekniken bygger på kapacitiv skanning: ett tunt lager safirglas på sensorn skyddar en 500-punkters kapacitiv matris som läser de minsta detaljerna i papillärmönstret — minucier, porer och linjernas riktning.

Till skillnad från optiska skannrar, populära i Android-enheter vid den tiden, ger Touch ID:s kapacitiva metod högre noggrannhet tack vare direktkontakt mellan fingret och sensorn. Den keramiska ringen (detection ring) runt hemknappen detekterar fingrets beröring och aktiverar matrisen endast vid levande kontakt, vilket förhindrar falska utlösningar från oavsiktlig beröring av metallföremål.

Första generationens Touch ID (iPhone 5S, iPad Air 2) hade en tjocklek på 170 mikron och en sensorupplösning på 500 PPI. Andra generationen (iPhone 6S, iPhone SE 1:a generationen) uppdaterade sensorn till en 170-mikrons matris med förbättrad igenkänning av våta fingrar. Tredje generationen används i MacBook Air och MacBook Pro med Touch ID-knappen på tangentbordet — sensorn är direkt ansluten till Apple T2 eller Silicon Secure Enclave-chippet.

Hur fungerar Touch ID?

Autentiseringsprocessen via Touch ID består av två steg: registrering (enrollment) och verifiering (verification). Båda stegen utförs inuti Secure Enclave — en isolerad säkerhetskoprocessor som iOS inte har åtkomst till även med root-behörigheter.

Registrering av fingeravtryck (Enrollment)

Användaren placerar fingret på hemknappen flera gånger från olika vinklar. Den kapacitiva matrisen skannar en del av fingeravtrycket som är 8×8 mm med en upplösning på 500 PPI. Systemet samlar upp till 12 olika fragment av ett fingeravtryck från olika lutningsvinklar — detta är nödvändigt för att känna igen fingret vid rotation på 360 grader. Varje fragment omvandlas till en matematisk mall som slås samman till en referensmall för fingeravtrycket.

Verifiering (Verification)

När fingret berör, skickar detection ring en signal till Secure Enclave och startar skanningen. Matrisen fångar det aktuella fingeravtrycket på 200–300 ms, extraherar minucier (ändar och förgreningar av papillärlinjer) och jämför dem med sparade mallar. Secure Enclave utför jämförelsen på 50–100 punkter och beräknar ett likhetsmått. Om överensstämmelsen överstiger tröskelvärdet anses autentiseringen vara lyckad.

Misslyckade försök och blockering

Efter 3 misslyckade försök blockeras Touch ID i 10 sekunder. Efter 5 misslyckade försök krävs enhetens lösenord och Touch ID inaktiveras tills det första lyckade lösenordet har angetts. Efter omstart av enheten eller efter 48 timmar sedan senaste upplåsningen kräver Touch ID också lösenord — detta är ett hårdvarukrav från Secure Enclave som inte kan kringgås programmatiskt.

Touch ID:s hårdvaruarkitektur

Touch ID-sensorn är en flerskiktsstruktur där varje lager har sin funktion: från mekaniskt skydd till beröringsdetektion och fingeravtrycksfångst. All data från sensorn överförs via en krypterad kanal direkt till Secure Enclave.

Det viktigaste arkitekturbeslutet är avsaknaden av OS-åtkomst till rådata. iOS ser varken fingeravtrycksbilden eller själva mallen. Secure Enclave returnerar endast ett binärt resultat: «byckat» eller «avvisat». Detta utesluter möjligheten till programvaruavlyssning av biometriska data på applikations- eller operativsystemsnivå.

Jämförelse mellan Touch ID och Face ID

Touch ID och Face ID är två på varandra följande biometriska tekniker från Apple. Trots det gemensamma målet (användarautentisering) skiljer de sig åt i arkitektur, användningsscenarier och säkerhetsegenskaper. Jämförelsen hjälper utvecklaren att förstå vilka begränsningar som måste beaktas vid design av autentisering i applikationen.

• FAR — Touch ID: 0,001 % (1 av 50 000), Face ID: 0,0001 % (1 av 1 000 000). Face ID är 10 gånger mer exakt tack vare tredimensionell skanning
• Hastighet — Touch ID svarar på 200–300 ms (enkel beröring), Face ID på 600–1000 ms (skanning + blickkontroll). Touch ID är snabbare för enkel upplåsning
• Motståndskraft mot fukt — Touch ID fungerar inte med våta eller oljiga fingrar; Face ID är inte känsligt för fukt i ansiktet men gör fel när IR-kameran är smutsig
• Flera scenarier — Touch ID tillåter lagring av upp till 5 fingeravtryck för olika fingrar eller olika användare. Face ID stöder endast ett ansikte plus ett alternativt utseende
• Formfaktor — Touch ID kräver en fysisk knapp eller ett dedikerat område på höljet; Face ID kräver ett hack eller Dynamic Island på skärmen

I iOS-utveckling är båda API:erna tillgängliga via ett enda ramverk LocalAuthentication. Anropet canEvaluatePolicy(.deviceOwnerAuthenticationWithBiometrics) returnerar tillgängligheten av biometri oavsett dess typ. Det innebär att en applikation med biometrisk autentisering fungerar korrekt på alla Apple-enheter.

Säkerhet för Touch ID och Secure Enclave

Touch ID:s säkerhetsarkitektur bygger på tre principer: hårdvaruisolering, kryptografisk bindning till enheten och avsaknad av lagring av originalbilden. Dessa principer implementeras genom Secure Enclave — en koprocessor som körs under egen firmware SEPOS.

Secure Enclave genererar en unik enhetsidentifierare (UID) under tillverkningen, som är inbäddad i chippet och inte är tillgänglig för läsning även via JTAG eller probestationer. Fingeravtrycksmallen krypteras med en nyckel som härrör från UID och lagras i krypterat flashminne inuti Secure Enclave. Varje gång enheten startas, kontrollerar SEPOS firmwarens integritet via en hårdvaruverifierare — om firmwaren har ändrats blockeras Secure Enclave permanent.

Touch ID uppfyller FIDO2-kraven för biometrisk verifiering och används för auktorisering av betalningar i Apple Pay. Standarden PCI DSS (Payment Card Industry Data Security Standard) erkänner Touch ID som en acceptabel autentiseringsfaktor för mobila betalningar under förutsättning att den används i kombination med enhetens PIN-kod för ett multifaktorschema. Vid kompromettering av enheten kan angriparen inte extrahera fingeravtrycksmallen från Secure Enclave — data förstörs vid varje försök till obehörig åtkomst via systemläge.

Implementering av Touch ID via LocalAuthentication

I iOS-utveckling sker integrering av Touch ID genom ramverket LocalAuthentication — samma API som används för Face ID. Koden är universell för båda typerna av biometri och kräver inte att en specifik sensor anges. Systemet bestämmer automatiskt tillgänglig biometrisk metod på användarens enhet.

import LocalAuthentication

func authenticateWithTouchID() {
    let context = LAContext()
    context.localizedReason = "Bekräfta din identitet för att få åtkomst till data"

    var error: NSError?
    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else {
        // Touch ID är inte tillgängligt — visa lösenordsskärm
        showPasscodeScreen()
        return
    }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Tryck på Touch ID med fingret"
    ) { success, authError in
        DispatchQueue.main.async {
            if success {
                // Touch ID bekräftat
                self.unlockContent()
            } else {
                // Autentiseringsfel
                handleError(authError)
            }
        }
    }
}

Denna kod visar standardimplementeringen av autentisering via Touch ID. Metoden canEvaluatePolicy kontrollerar förekomsten av registrerade fingeravtryck i Secure Enclave och tillgängligheten av sensorn på enheten. Om enheten har Face ID istället för Touch ID kommer samma kod att fungera utan ändringar — LAContext väljer automatiskt tillgänglig sensor. Efter tre misslyckade försök inträffar hårdvarublockering och användaren måste ange enhetens lösenord.

För kryptografisk bindning av biometrisk autentisering till specifika operationer (till exempel betalningssignatur i Apple Pay) används metoden evaluateAccessControl med parametern SecAccessControl. Detta tillvägagångssätt binder Touch ID-resultatet till en nyckel i Keychain: lyckad autentisering låser upp åtkomst till den hemliga nyckeln för att utföra en kryptografisk operation. Utan en lyckad fingeravtrycksskanning förblir nyckeln låst i Secure Enclave, vilket utesluter möjligheten att kringgå den biometriska kontrollen programmatiskt.

Användningsscenarier för Touch ID

Touch ID används i flera viktiga scenarier både på iOS-systemnivå och i tredjepartsapplikationer. Varje scenario använder det enda LocalAuthentication API, men ställer olika krav på säkerhetspolicyn — från enkel upplåsning till kryptografiskt signerad auktorisering av transaktioner.

Huvudscenarierna inkluderar upplåsning av enheten, auktorisering av köp i App Store och iTunes, bekräftelse av betalningar via Apple Pay, automatisk ifyllning av lösenord från iCloud Keychain och autentisering i tredjepartsapplikationer via LocalAuthentication. I varje scenario fungerar Touch ID som en ersättning för lösenordsinmatning: användaren vidrör sensorn, Secure Enclave bekräftar identiteten och åtgärden utförs utan att inloggningsuppgifter anges.

I iOS 14+ har ett extra API ASAuthorizationAppleIDRequest dykt upp som integrerar Touch ID med Apple ID för lösenordslös inloggning på webbplatser via Safari. Användaren vidrör Touch ID och webbläsaren får en kryptografiskt signerad token från Secure Enclave som servern kan verifiera utan att lagra lösenordet. Denna mekanism ligger till grund för Apples Passkeys-ekosystem.