Touch ID és el nom del sensor d'empremtes dactilars per a la identificació personal d'Apple. És el que actualment et permet autenticar-se per desbloquejar el teu iPhone 5s i autoritzar iTunes ia l'App Store per fer compres al teu compte.
Amb iOS 8, Apple ha desenvolupat una interfície de programació d'aplicacions (API) disponible per als desenvolupadors, així que tot, des del gestor de contrasenyes per al servei de banca a volta foto privada pot ser alhora segura i convenient. Però com treballarà?
Funcionament
Quan es posa el dit al Touch ID, l'anell de metall que l'envolta detecta la capacitància i s'activa el sensor. Es fa una foto d'alta resolució de l'empremta digital que es converteix en una representació matemàtica, i és enviada a través d'una connexió cablejada a l'enclavament segur xip A7. Si les dades no coincideixen, un “no” token s'allibera i cal tornar-ho a provar, o introduir una contrasenya. Si coincideix les dades, el token «sí» s'allibera autoritzat el desbloqueig o les compres.
aquest sistema va entrar en funcionament el 2013 amb iOS 7 i l'iPhone 5s. En aquell moment no es va llançar una API per als desenvolupadors, lús de les característiques del Touch ID estaven restringides a lús dApple. S'especula que Apple no havia tingut temps de construir un entorn segur per alliberar aquesta funció.
El 2014 i amb iOS 8 s'estableix la seguretat en un clauer i en un nou marc anomenat LocalAuthentication. Aquest clauer és una base de dades segura d'Apple per a les contrasenyes que va començar a utilitzar-se a Mac fins a estendre's a iOS i iCloud. A iOS 8, és el clauer del que rep el token de «sí» o «no» i és també el clauer el que ofereix o reté les credencials a les aplicacions.
Touch ID per a desenvolupadors
Amb iOS 8, Apple està introduint llistes de control de punt d'accés (ACL) per a l'accessibilitat i l'autenticació. Amb ells, els desenvolupadors poden establir quan un element de clauer està disponible, així com el que passa quan hi ha accés.
L'accessibilitat és la mateixa per Touch ID com ho és per al codi d'accés, sempre que el dispositiu estigui desbloquejat. L'autenticació és nova i requereix unes regles per determinar quines condicions s'han de complir perquè el clauer proporciona informació a l'aplicació.
Touch ID té preferència sobre el codi d'accés, quan estigui disponible, pel fet que és més ràpid i fàcil que accedir amb una cadena de números o caràcters alfanumèrics.
Els desenvolupadors i les seves aplicacions també hereten el mateix sistema de seguretat per al Touch ID, que implica que:
- si Touch ID no autentica després de quatre intents,
- si el dispositiu es reiniciar, o
- si Touch ID no s'utilitza al 48 hores,
Aleshores l'enclavament segur serà desactivat i caldrà el codi d'accés per tornar a habilitar-lo.
Per alinear-se amb la nova API, Apple està proporcionant una nova interfície per manejar les transaccions mitjançant Touch ID a les aplicacions de l'App Store. Apple presentarà el nom de l'aplicació en un quadre de diàleg de la interfície, per la qual cosa sempre se sabrà qui està sol·licitant l'autenticació, als desenvolupadors se'ls està animant a afegir una cadena de text addicional que expliqui per què demanen l'autenticació.
D'altra banda també s'anima els desenvolupadors a no consultar massa freqüència, per al que Apple també està oferint un «mode de no autenticació» perquè els desenvolupadors poden suprimir la interfície i simplement informar que, si volen comprar realment aquests articles, caldrà l'autenticació.
Extensions
A més d'aplicacions, Touch ID també es pot integrar a les extensions. Així, per exemple, una aplicació d'administrador de contrasenyes pot utilitzar Touch ID per autenticar abans de mostrar les contrasenyes dins de la seva pròpia aplicació.
Una extensió que administri contrasenyes, como 1Password, podría ser llamada desde dentro de Safari y permitir a Touch ID que autentique, por lo que la extensión puede omplir automàticament els camps de contrasenya.
Seguretat de l'API de Touch ID
La interfície tàctil és propietat i està controlada per iOS, no per l'aplicació d'App Store que el controla. Només després de l'autenticació, se'n pot recuperar el control.
A més, per raons de seguretat, Apple i iCloud no recolzen elements protegits ACL i no se sincronitzen ells entre els dispositius. En altres paraules, les dades mai no estaran a Internet o als servidors d'algú, inclòs Apple.
Els desenvolupadors tampoc no podran accedir a les teves dades d'empremtes digitals mitjançant les seves aplicacions. Tot roman amagat de manera segura a l'enclavament segur.
