Безопасность Face ID и Touch ID
Код-пароли и пароли критически важны для безопасности устройств Apple. В то же время удобный доступ немаловажен для тех, кто обращается к своим устройствам более ста раз в день. Биометрическая аутентификация поддерживает безопасность надежного код-пароля и даже повышает ее уровень, так как не требует ручного ввода, и вместе с тем позволяет быстро разблокировать устройство по отпечатку пальца или просто взглядом. Face ID и Touch ID не заменяют пароль или код-пароль, но в большинстве случаев пользоваться ими проще и удобнее.
Архитектура биометрической безопасности Apple основана на строгом разделении ответственности между биометрическим сенсором и Secure Enclave, а также на безопасном соединении между ними. Сенсор фиксирует биометрическое изображение и безопасно передает его в Secure Enclave. При регистрации Secure Enclave обрабатывает, шифрует и сохраняет данные соответствующих шаблонов Face ID и Touch ID. При сопоставлении Secure Enclave сравнивает входные данные, получаемые от биометрического сенсора, с сохраненными шаблонами, чтобы определить, следует ли разблокировать устройство или ответить, что совпадение найдено (для Apple Pay, приложений и других вариантов использования Face ID и Touch ID). Архитектура поддерживает устройства, которые включают как сенсор, так и Secure Enclave (например, iPhone, iPad и многие системы Mac), а также возможность физически выделить сенсор как периферийное устройство, которое затем безопасно объединяется в пару с Secure Enclave на Mac с чипом Apple.
Безопасность Face ID
Пользователю достаточно взглянуть на свое устройство, и Face ID выполнит безопасную разблокировку устройства Apple. Интуитивно понятная безопасная аутентификация выполняется с помощью камеры TrueDepth, которая точно распознает геометрию лица, задействуя передовые технологии. Face ID задействует нейросети для распознавания внимания пользователя, сопоставления лица и предотвращения несанкционированного доступа. Это дает возможность разблокировать телефон взглядом, даже при использовании устройств в маске, если они поддерживают такую возможность. Face ID автоматически адаптируется к изменениям внешности пользователя и тщательно сохраняет конфиденциальность и безопасность биометрических данных.
Функция Face ID создана для того, чтобы устройство активировалось только в том случае, если на него направлен взгляд пользователя. Она также служит для надежной аутентификации с низкой долей ошибок и предотвращения электронных и физических способов несанкционированного доступа.
Камера TrueDepth автоматически выполняет поиск лица пользователя, когда пользователь выводит из режима сна устройство Apple с Face ID, поднимая его или касаясь экрана, либо когда на устройстве запрашивается идентификация пользователя для отображения входящего уведомления, либо когда аутентификация с помощью Face ID запрашивается приложением с поддержкой этой функции. Когда лицо обнаружено, Face ID подтверждает внимание пользователя и его намерение разблокировать устройство, распознавая открытые глаза и взгляд, направленный на устройство. Для поддержки Универсального доступа проверка внимания Face ID выключается при активации VoiceOver, а при необходимости эту функцию можно выключить самостоятельно. При использовании Face ID в маске всегда требуется распознавание внимания.
Когда камера TrueDepth подтверждает присутствие лица и внимание пользователя, она проецирует и считывает тысячи инфракрасных точек для составления карты глубины лица, а также создает двумерное инфракрасное изображение. На основе этих данных создается последовательность двумерных изображений и карт глубины, которые защищаются цифровой подписью и отправляются в Secure Enclave. Для предотвращения электронных и физических способов мошенничества камера TrueDepth располагает последовательность двумерных изображений и снимков карт глубины в случайном порядке, а также проецирует случайную схему, уникальную для данного устройства. Один из элементов защищенного нейронного модуля, безопасность которого обеспечивается Secure Enclave, создает математическое представление этих данных и сравнивает его с данными зарегистрированного лица. Эти данные являются математическим представлением лица пользователя, сфотографированного под различными углами.
Безопасность Touch ID
Touch ID — это система считывания отпечатка пальца, которая ускоряет и упрощает процесс безопасного доступа к устройствам Apple с поддержкой этой функции. Эта технология считывает отпечатки пальцев под любым углом. При каждом использовании датчик выявляет дополнительные перекрывающиеся узловые точки, расширяя базу данных об отпечатках пальцев пользователя.
Устройства Apple с сенсором Touch ID можно разблокировать с помощью отпечатка пальца. Touch ID не избавляет от необходимости в код-пароле устройства или пароле пользователя, который по-прежнему требуется вводить после загрузки, перезагрузки устройства или выхода из системы (на Mac). В некоторых приложениях Touch ID может использоваться вместо код‑пароля устройства или пароля пользователя, например для разблокировки защищенных паролем заметок в приложении «Заметки», для разблокировки сайтов, защищенных при помощи связки ключей, а также вместо паролей в поддерживаемых приложениях. Однако в некоторых случаях обязательным является использование код-пароля устройства или пароля пользователя. Например, это необходимо для изменения существующего код-пароля устройства или пароля пользователя, а также для удаления зарегистрированных отпечатков пальцев или сохранения новых отпечатков.
Когда датчик отпечатков пальцев распознает прикосновение пальца, он сканирует палец с помощью усовершенствованной матрицы и отправляет изображение в Secure Enclave. Канал, используемый для защиты этого соединения, зависит от того, встроен ли сенсор Touch ID в устройство с Secure Enclave или расположен в отдельном периферийном устройстве.
В процессе векторизации сканированного отпечатка пальца для анализа это растровое изображение временно сохраняется в зашифрованном участке памяти Secure Enclave, а затем удаляется. Анализ выполняется путем сопоставления дуговых папиллярных узоров, при котором изучаются только некоторые фрагменты, что не позволяет восстановить фактический отпечаток пальца пользователя. При регистрации полученная карта узлов сохраняется в зашифрованной форме, которую может прочитать только Secure Enclave, причем она доступна только в виде шаблона для сравнения при дальнейших сопоставлениях и не содержит какой-либо информации, на основе которой можно установить личность. Эти данные никогда не покидают устройства. Они не отправляются в Apple и не включаются в резервные копии устройства.
Встроенная защита канала Touch ID
Встроенный сенсор Touch ID обменивается данными с Secure Enclave по шине последовательного периферийного интерфейса. Процессор не может прочитать эти данные, а просто перенаправляет их сопроцессору Secure Enclave. Для шифрования и аутентификации этих данных используется ключ сеанса, который согласовывается с помощью общего ключа, назначаемого при производстве каждому сенсору Touch ID и соответствующему ему Secure Enclave. Общий ключ каждого сенсора Touch ID является надежным, случайно сгенерированным и уникальным. При обмене ключом сеанса используется алгоритм защиты ключа AES: обе стороны предоставляют случайный ключ, который задает ключ сеанса и использует транспортное шифрование, благодаря чему обеспечивается аутентификация и конфиденциальность (с помощью AES-CCM).