Identificaciones en Apple Wallet

Agregar una licencia de manejar o una identificación oficial a Apple Wallet

En el iPhone, los usuarios pueden tocar el botón Agregar (+) en la parte superior de la pantalla de Apple Wallet para empezar a agregar su licencia o identificación. Si los usuarios tienen un Apple Watch enlazado durante la configuración, se les pide que también agreguen su licencia de manejar o su identificación a Apple Wallet en el Apple Watch.

Primero se pide a los usuarios que usen su iPhone para escanear ambas caras de su tarjeta física de licencia de manejar o identificación oficial. El iPhone evalúa la calidad y el tipo de imágenes para ayudar a garantizar que las imágenes proporcionadas son aceptables para la autoridad emisora estatal. Estas imágenes de la tarjeta de identificación se encriptan con la clave de la autoridad emisora estatal en el dispositivo y luego se envían a la autoridad emisora estatal.

Para ayudar a garantizar que la persona que agrega la tarjeta de identificación a Apple Wallet es la misma persona de la identificación, se pide al usuario que se tome una Live Photo o selfie. En algunos casos, es posible que se le pida al usuario que realice una serie de movimientos faciales o de cabeza. Estos movimientos son evaluados por el dispositivo del usuario y por Apple para ayudar a reducir el riesgo de que alguien utilice una fotografía, un video o una máscara para agregar la identificación de otra persona a Apple Wallet. Los resultados del análisis de estos movimientos se envían a la autoridad emisora estatal, pero no el video de los movimientos.

Antes de enviar la selfie del usuario a la autoridad emisora estatal, los servidores de Apple y tu dispositivo comparan la selfi con la imagen de la persona que realizó la serie de movimientos faciales y de cabeza. Una vez completada la comparación, el dispositivo encripta la selfie y la envía a la autoridad emisora estatal, que la compara con la imagen que tiene archivada para el documento de identidad.

Por último, se pide a los usuarios que realicen una autenticación con Face ID o Touch ID. El dispositivo del usuario vincula esta coincidencia biométrica única de Face ID o Touch ID con la identificación oficial para ayudar a garantizar que sólo la persona que agregó la identificación al iPhone pueda presentarla; y que no se pueda usar otra información biométrica inscrita para autorizar la presentación de la identificación. La autenticación se hace estrictamente en el dispositivo, y no se envía a la autoridad emisora estatal.

La autoridad emisora estatal recibirá la información necesaria para crear la identificación digital. Esto incluye las imágenes de la cara y el reverso de la identificación del usuario, los datos leídos del código de barras PDF417, así como la selfie que el usuario se tomó como parte del proceso de verificación de la identificación. El estado emisor también recibe un valor de un solo dígito, utilizado para ayudar a prevenir el fraude, que se basa en los patrones de uso del dispositivo del usuario, los datos de configuración, e información sobre su cuenta de Apple personal. En última instancia, el estado emisor decide si se aprueba o rechaza la identificación que se agrega a Apple Wallet.

Después de que la autoridad emisora estatal autoriza la adición de la identificación o la licencia a Apple Wallet, se genera un par de claves en el Secure Element del iPhone que vincula la identificación del usuario a ese dispositivo. Si se agrega al Apple Watch, el Apple Watch genera un par de claves en el Secure Element.

Una vez que la identificación está en el iPhone, la información reflejada en la identificación del usuario en Apple Wallet se almacena en un formato encriptado y protegido por el Secure Enclave.

Agregar una My Number Card a Apple Wallet

En el iPhone, los usuarios pueden agregar su tarjeta My Number Card a Apple Wallet mediante la app Mynaportal. La tarjeta My Number Card en Apple Wallet permite usar la funcionalidad de documento de identidad móvil y la de la infraestructura de clave pública de Japón (JPKI) en un solo pase de identificación. El proceso de configuración incluye medidas de seguridad impuestas por Apple y el emisor de la tarjeta para garantizar que sólo el titular legítimo de la tarjeta pueda agregar y presentar su identificación.

En la app Mynaportal, los usuarios deben ingresar el PIN de 4 dígitos y la contraseña alfanumérica asociados con su tarjeta My Number Card física. Estas credenciales son necesarias para autenticar la tarjeta, lo que permite a la app leer los datos del circuito integrado (IC) sin contacto que el emisor verifica para garantizar que la persona que la agrega tiene acceso legítimo. En ese momento, también se pide a los usuarios que ingresen un PIN y una contraseña para usar con la funcionalidad respaldada por el applet JPKI de su tarjeta My Number Card en Apple Wallet. Estos valores nunca salen del dispositivo del usuario y son independientes del PIN y la contraseña de la tarjeta física del usuario.

Para ayudar a garantizar que la persona que agrega la tarjeta My Number Card a Apple Wallet es el propietario legítimo, se le pide que se tome una selfie y realice una comprobación de vida. El emisor evalúa los datos de la selfie y de la comprobación de vida junto con la información de la tarjeta física para ayudar a reducir el riesgo de que alguien agregue a Apple Wallet la identificación de otra persona de forma fraudulenta.

Los usuarios realizan una autenticación mediante Face ID o Touch ID para vincular un único dato biométrico a la tarjeta My Number Card en Apple Wallet. Esto ayuda a garantizar que sólo la misma persona que agregó una tarjeta a un iPhone pueda presentarla; no se puede usar otra información biométrica registrada para autorizar la presentación del documento de identidad ni para realizar operaciones de autenticación de usuario de la JPKI.

La autoridad emisora valida todas las pruebas presentadas y decide si autoriza agregar la tarjeta My Number Card a Apple Wallet. Si se autoriza, se crea y se firma digitalmente el documento de identidad móvil para protegerlo contra la manipulación o la falsificación. Un par de claves generadas por el iPhone en el Secure Element ancla la tarjeta My Number Card del usuario en Apple Wallet a ese dispositivo específico, lo que garantiza que no se puede copiar ni usar por otra persona.

El applet JPKI, que protege los certificados de firma digital e identificación del usuario, las claves privadas asociadas y el PIN y la contraseña, se proporciona dentro del Secure Element. Esto garantiza que las operaciones criptográficas para la firma digital, además de las operaciones de comparación de PIN o contraseñas, se realicen dentro de los límites del entorno protegido por hardware, y que las claves privadas nunca estén disponibles fuera del Secure Element.

Una vez que la tarjeta My Number Card está en el iPhone, la información de identidad reflejada en la identificación del usuario en Apple Wallet y los datos del applet de la JPKI se almacena en un formato encriptado y protegido por el Secure Enclave. El emisor garantiza que los usuarios puedan agregar sólo una tarjeta My Number Card a un dispositivo y que cada identidad única sólo se pueda agregar a un dispositivo, lo que proporciona una protección adicional contra el fraude.

Agregar una identificación digital a Apple Wallet

En el iPhone, los usuarios pueden tocar el botón Agregar (+) en la parte superior de la pantalla de Apple Wallet para empezar a crear su identificación digital. Si los usuarios tienen un Apple Watch enlazado durante la configuración, se les pide que también agreguen su identificación digital a Apple Wallet en el Apple Watch.

Primero, se pide a los usuarios que usen su iPhone para escanear la parte legible por máquinas de la página con foto de su pasaporte físico. Si los datos indican que el pasaporte es compatible, no ha caducado y es válido, el iPhone enseguida guía al usuario para que lea el chip del pasaporte mediante NFC. Los campos legibles por máquina pertinentes se utilizan para establecer una sesión con el chip, de acuerdo con los protocolos especificados en la norma ICAO 9303. Los datos leídos del chip incluyen elementos como el nombre y la fotografía del titular del documento, junto con el objeto de seguridad del documento. Para verificar la autenticidad de los datos, los servidores de Apple usan la autenticación pasiva para validar el objeto de seguridad del documento, incluidos los hash de los grupos de datos, la firma del gobierno emisor y el certificado del firmante del documento. El certificado del firmante del documento se valida con el certificado de la autoridad de certificación del país correspondiente para garantizar su autenticidad y confirmar que no ha sido revocado.

Para ayudar a garantizar que la persona que crea la identificación digital en Apple Wallet es la misma persona del pasaporte, se pide al usuario que se tome una selfie y realice una comprobación de vida. El dispositivo asiste al usuario a completar los pasos requeridos, que pueden incluir una serie de movimientos faciales y de cabeza. La selfie y el video de verificación de vida resultantes se encriptan en el dispositivo y se cargan para que los servidores de Apple los evalúen. La imagen de la selfie se compara con la imagen de la persona que realizó la verificación de vida y con el retrato validado obtenido del chip del pasaporte.

Los usuarios también deben realizar una autenticación mediante Face ID o Touch ID para vincular los datos biométricos al pase de identificación. Este mecanismo, compatible con todos los documentos de identidad en Apple Wallet, ayuda a garantizar que sólo la persona que agregó la identificación pueda presentarla.

Apple evalúa las pruebas presentadas, incluidos los datos leídos del chip del pasaporte, la selfie y el video de verificación de vida recopilados durante el proceso de verificación de identidad, y una puntuación de evaluación de confianza, para tomar la decisión de aprobar o denegar la adición de la identificación digital a Apple Wallet. La puntuación de evaluación de confianza, que se usa para ayudar a prevenir el fraude, se basa en los patrones de uso del dispositivo del usuario, los datos de configuración, e información sobre su cuenta de Apple personal.

Si se aprueba la solicitud de adición, Apple crea y firma una identificación digital derivada de los datos verificados del pasaporte. Además, se genera un par de claves en el Secure Element del iPhone que vincula la identificación del usuario a ese dispositivo específico. Si el usuario agrega la identificación al Apple Watch, se genera un par de claves en el Secure Element en el Apple Watch. Aunque la fecha de vencimiento y otros datos de identidad son comunes, la identificación digital en Apple Wallet es independiente del pasaporte usado para crearla. Esto significa que, en caso de que se revoque o se vuelva a emitir el pasaporte físico, el usuario deberá eliminar la identificación digital de sus dispositivos y seguir los pasos para agregar una nueva.

Después de crear la identificación digital, se encripta y se envía al dispositivo. Una vez que el dispositivo la recibe, la información reflejada en la identificación digital del usuario en Apple Wallet se vuelve a cifrar con una clave específica del dispositivo y se almacena y protege mediante el Secure Enclave.

Usar una identificación almacenada en Apple Wallet con un lector de identidad

Para usar su identificación en Apple Wallet, el usuario debe autenticarse utilizando el dispositivo con Face ID o Touch ID asociado a la identificación en Apple Wallet antes de que el iPhone presente la información al lector de identidad.

Para usar su identificación en Apple Wallet en el Apple Watch, el usuario necesita desbloquear su iPhone utilizando el aspecto de Face ID asociado o la huella dactilar Touch ID asociada cada vez que se ponga el Apple Watch. Posteriormente, el usuario puede usar su identificación en Apple Wallet sin autenticarse hasta que se quite el Apple Watch. Esta capacidad aprovecha las funciones fundamentales del desbloqueo automático detalladas en la sección Desbloquear automáticamente dispositivos Apple.

Cuando el usuario sostiene su iPhone o Apple Watch cerca de un lector de identidad, el dispositivo muestra al usuario qué información específica se está solicitando, quién la solicita, y si se tiene la intención de almacenarla. Después de autorizar con Face ID o Touch ID en el iPhone, o después de presionar dos veces el botón lateral en el Apple Watch, el dispositivo envía la información de identidad solicitada.

Si el usuario tiene una función de accesibilidad activada, como Control por voz, Control por botón, o Assistive Touch, en lugar de activar Face ID o Touch ID, puede usar su código para acceder y presentar su información.

La transmisión de datos de identidad al lector de identidad cumple con el estándar ISO/IEC 18013-5, el cual proporciona varios mecanismos de seguridad capaces de detectar, disuadir y mitigar riesgos de seguridad. Estos consisten en la integridad de los datos de identidad y la antifalsificación, la vinculación del dispositivo, el consentimiento informado y la confidencialidad de los datos del usuario a través de enlaces de radio.

El historial de presentaciones se almacena en el dispositivo y está disponible para que los usuarios lo consulten y eliminen en Apple Wallet y, en el caso de las identificaciones almacenadas en el Apple Watch, en la app Watch en el iPhone enlazado. Cada registro de presentación incluye los campos solicitados, la geolocalización de la presentación y si la empresa tiene intención de almacenar los datos o no. En el caso de los lectores autenticados, también se incluyen el nombre y el ícono de la empresa.

Usar una identificación almacenada en Apple Wallet con las apps para iOS

Los usuarios también pueden compartir la información de su identificación digital almacenada en Apple Wallet con las apps para iOS. Cuando un usuario comparte su identificación con una app, el Apple Wallet obtiene y valida un certificado de encriptación que está registrado con la app del desarrollador. Este certificado se usa para encriptar la información que el usuario aceptó compartir.

Una hoja de presentación muestra qué información específica se solicita, qué app la solicita, si la app tiene la intención de almacenarla y durante cuánto tiempo, y el motivo de la solicitud. Después de autorizar con el método de Face ID o Touch ID asociado, Apple Wallet encripta la información solicitada usando HPKE y nunca la pone a disposición de Apple. Apple Wallet consulta periódicamente los servidores de Apple para verificar que la clave de autenticación de la identificación no haya sido revocada y que la identificación sigue siendo válida. Si no se ha realizado una comprobación reciente, esta se podría llevar a cabo cuando el usuario comparta su identificación con una app.

El historial de presentaciones se almacena en el dispositivo y está disponible para que los usuarios lo consulten y eliminen en Apple Wallet. Cada registro de presentación incluye el nombre de la app, el motivo, los campos solicitados y si se pretendía almacenar los datos y durante cuánto tiempo.

Usar una identificación almacenada en Apple Wallet en sitios web

Los usuarios pueden compartir la información de su identificación digital almacenada en Apple Wallet con sitios web. Los sitios web participantes usan la API de credenciales digitales de la W3C para solicitar información de identidad a los proveedores de documentos móviles. Para permitir la aceptación de identificaciones en Apple Wallet, además del tipo de documento y los elementos de datos, la solicitud debe contener un valor antirrepetición, información de cifrado para el cifrado de la respuesta y una firma para que el dispositivo autentique la solicitud. El servidor del sitio web genera un par de claves de cifrado para la solicitud y es responsable de conservar de forma segura la clave privada para el descifrado de la respuesta. Apple Wallet utiliza el mecanismo de autenticación del lector para autenticar la solicitud (tal y como se define en los estándares ISO/IEC 18013-5 e ISO/IEC 18013-7, anexo C), aprovechando un certificado de firma que el propietario del sitio web obtiene de Apple. También realiza una validación de dominio en el sitio web solicitante para ayudar a garantizar que la solicitud proviene de una fuente válida.

Una hoja de presentación muestra qué información específica se solicita, qué sitio web la solicita, si el sitio web tiene la intención de almacenarla, y el motivo de la solicitud. Una vez que el usuario autoriza la presentación de la información de identidad solicitada, Apple Wallet la encripta directamente en el servidor del sitio web usando HPKE y nunca se pone a disposición de Apple ni del navegador. Apple Wallet consulta periódicamente los servidores de Apple para verificar que la clave de autenticación de la identificación no haya sido revocada y la identificación sigue siendo válida. Si no se ha realizado una comprobación reciente, esta se podría llevar a cabo cuando el usuario comparta su identificación con un sitio web.

Al recibir la respuesta cifrada, el servidor del sitio web debe verificar la autenticidad de los datos de identidad. Esto incluye realizar la autenticación del emisor mediante la validación del certificado del firmante del documento, verificar la firma criptográfica del emisor y comprobar los hash de los elementos solicitados. Además, se debe realizar una autenticación del origen del documento para garantizar que este proviene del dispositivo específico al que se emitió, lo que evita la duplicación no autorizada.

Para que los usuarios puedan presentar su identificación en Apple Wallet en el iPhone a otros dispositivos en los que quieran verificar su identidad en la web, se admite tanto la transferencia entre dispositivos Apple como la presentación entre plataformas.

La transferencia entre dispositivos Apple permite presentar la identidad en un sitio web en un iPad o Mac usando una identificación almacenada en Apple Wallet en un iPhone. En este caso, el sistema:

• Verifica que el iPhone esté asociado a la misma cuenta de Apple personal.

• Admite la funcionalidad.

• Es compatible con la solicitud.

A continuación, se establece una conexión segura entre los dispositivos y aparece una notificación en el iPhone, lo que permite a los usuarios consultar y autorizar la solicitud desde el iPhone. La compatibilidad multiplataforma también permite a los usuarios presentar su identificación almacenada en Apple Wallet a otros dispositivos y navegadores que cumplan con los estándares. Este proceso usa el protocolo FIDO CTAP para proteger la integridad y la confidencialidad del canal de comunicación para la transferencia de datos de solicitud y respuesta entre dispositivos.

Con la transferencia entre dispositivos Apple y la compatibilidad multiplataforma, se dispone de las mismas capacidades de seguridad descritas anteriormente para la validación de solicitudes, el cifrado de datos de respuesta, la autenticación de datos de identidad y la autenticación de dispositivos.

El historial de presentaciones se almacena en el dispositivo y está disponible para que los usuarios lo consulten y eliminen en Apple Wallet. Cada registro de presentación incluye el nombre del sitio web, el motivo, los campos solicitados y si el sitio web pretendía almacenar los datos.