É seguro permitir que os aplicativos usem o Touch ID em um dispositivo iOS?

21

Existem alguns aplicativos que permitem o login via Touch ID (por exemplo, aplicativos bancários).

Sei que é relativamente seguro usar esse recurso, desde que ninguém tenha acesso ilícito às minhas impressões digitais e o dispositivo não seja acessado fisicamente.

Mas e se o banco de dados do aplicativo for comprometido ?

Que tipo de informação será vazada? Que tipo de ações poderiam ser tomadas com essas informações? O iOS protege essas informações contra vazamentos? Isso está documentado em algum lugar?

Eu posso supor que o aplicativo não terá acesso direto à foto da impressão digital, deve haver algum tipo de hash que não permita restaurar a impressão digital original. No caso ideal, o iOS nem permitiria que o aplicativo acesse um hash, mas forneceria uma maneira de autorizar.

ios security touch-id Sasha Shpota
fonte
5
contanto que ninguém tem acesso ilícito a minhas impressões qualquer bartender que depois de terminar o seu copo de cerveja ...
Bakuriu
Veja também Suas impressões digitais Unhashable nada protegem .
Curinga

Respostas:

38

O aplicativo não tem acesso aos dados de impressão digital armazenados no dispositivo. A API fornecida pela Apple informa ao aplicativo se o processo de autenticação foi bem-sucedido por um simples valor sim / não. Nenhum hash é fornecido. Aqui está a documentação .

Além disso, os dados da impressão digital são armazenados no "Secure Enclave" do dispositivo e não estão acessíveis.

O Secure Enclave faz parte do A7 e dos chips mais recentes usados ​​para o Touch ID. No Secure Enclave, os dados das impressões digitais são armazenados em um formato criptografado que - de acordo com a Apple - só pode ser descriptografado por uma chave disponível pelo Secure Enclave, tornando os dados das impressões digitais isolados do restante do chip A7 e do iOS .

Fonte: Wiki do iPhone

Mateusz Szlosek
fonte
4
Esta é realmente a melhor maneira para usuários e desenvolvedores. Não quero o incômodo de segurança de ter acesso aos dados reais da impressão digital nem a responsabilidade de comparar os dados armazenados com a digitalização. Se realmente recebêssemos imagens ou similares, a comparação seria uma dor e, se fosse apenas um par de hashes, seria tão trivial que não haveria razão para o sistema não conseguir fazer isso primeiro. Simplesmente não há uma boa razão para que o Touch ID envolva o aplicativo vendo a impressão digital.
JSCs
13

Sim, é perfeitamente seguro usar o Touch ID no iPhone.

Os aplicativos que usam o Touch ID não têm acesso à sua impressão digital, nem qualquer hash gerado a partir dela. Na verdade, o aplicativo não processa a correspondência de impressões digitais, mas chama a API do Touch ID (sistema) que enviará o resultado de volta ao aplicativo. Portanto, tudo o que o aplicativo receberá é um trueou false, dependendo do êxito.

Portanto, o aplicativo não precisa ter acesso a nenhum tipo de hash e todo o processo do Touch ID é feito pelo sistema do seu iPhone (iOS), semelhante à maneira como você desbloqueia o telefone com o Touch ID.

Como o 9to5mac explica :

Quando um desenvolvedor deseja que um usuário do aplicativo se autentique, ele não se envolve no âmago da questão de como essa autenticação é realizada. Eles apenas usam código que pede ao iOS que faça isso por eles - o que a Apple chama de estrutura de autenticação local.

(ênfase minha)

E o AppleInsider explica:

A Apple manteve o Touch ID seguro, não fornecendo aos aplicativos acesso a nenhum dado de impressão digital armazenado no enclave seguro de um iPhone . O prompt que aparece é o mesmo que a Apple já usa para autorizar compras no iTunes e na App Store.

(ênfase minha)

Panda
fonte
Na verdade, no iOS 11, o prompt foi alterado para o Apple Pay, mas não para muitos aplicativos. Na verdade, a solicitação não é necessária - alguns aplicativos têm a sua própria animação
Tim
2

Sim - é totalmente seguro.

Os dados do seu Touch ID são armazenados localmente no seu dispositivo e não podem ser acessados ​​pela Apple ou por terceiros.

Quando você usa o Touch ID para um aplicativo de terceiros, por exemplo, ele autoriza seu acesso localmente e o aplicativo não vê seus dados de impressão digital, apenas que o iPhone o autorizou.

Eu pessoalmente uso o Touch ID no meu aplicativo do PayPal e em alguns outros serviços confiáveis.

(Se estiver preocupado, talvez não o use para empresas nas quais não confia totalmente - mesmo que seja fisicamente impossível para elas ver seus dados do Touch ID.)

Andre
fonte