Безопасность биометрических данных
Код-пароли и пароли критически важны для безопасности устройств Apple. В то же время удобный доступ немаловажен для тех, кто обращается к своим устройствам более ста раз в день. Биометрическая аутентификация поддерживает безопасность надежного код-пароля и даже повышает ее уровень, так как не требует ручного ввода, и вместе с тем позволяет быстро разблокировать устройство по отпечатку пальца или просто взглядом. Optic ID, Face ID и Touch ID не заменяют пароль или код‑пароль, но в большинстве случаев пользоваться ими удобнее.
Архитектура биометрической безопасности Apple основана на строгом разделении ответственности между биометрическим сенсором и Secure Enclave, а также на безопасном соединении между ними. Сенсор фиксирует биометрическое изображение и безопасно передает его в Secure Enclave. В процессе регистрации Secure Enclave обрабатывает, шифрует и сохраняет данные соответствующих шаблонов Optic ID, Face ID и Touch ID. При сопоставлении Secure Enclave сравнивает входные данные, получаемые от биометрического сенсора, с сохраненными шаблонами, чтобы определить, следует ли разблокировать устройство или ответить, что совпадение найдено (для Apple Pay, приложений и других вариантов использования Optic ID, Face ID, и Touch ID). Эта архитектура поддерживает устройства, оснащенные как сенсором, так и Secure Enclave (например, iPad, iPhone, многие компьютеры Mac и Apple Vision Pro), а также возможность физически выделить сенсор как периферийное устройство, которое затем безопасно объединяется в пару с Secure Enclave на Mac с чипом Apple.
Безопасность Optic ID
Технология Optic ID обеспечивает безопасную, интуитивно понятную аутентификацию на основе уникальности радужной оболочки глаз каждого человека. Она работает благодаря мощной системе светодиодов, отслеживающей движения глаз, и инфракрасным камерам для записи движений глаз, встроенным в Apple Vision Pro. Безопасное для глаз излучение в ближней ИК‑области спектра c пространственно-временным модулированием подсвечивает глаз пользователя, чтобы камеры Apple Vision Pro сделали изображения радужной оболочки. Сделанные изображения отправляются для обработки в Secure Enclave и защищенный нейронный модуль, где они преобразуются в математическое представление, используемое для регистрации.
Технология Optic ID:
может работать с мягкими контактными линзами и оптическими вставками ZEISS, используемыми для коррекции зрения;
подтверждает внимание пользователя благодаря отслеживанию взгляда и обеспечивает надежную аутентификацию с низкой долей ложных совпадений;
предотвращает перехват сигнала электронными и физическими способами.
Когда пользователь разблокирует Apple Vision Pro своими глазами, Optic ID использует нейросети, чтобы подтвердить совпадение и исключить перехват сигнала. Эта технология автоматически адаптируется к меняющимся условиям, обновляя зарегистрированный для пользователя шаблон после каждой успешной аутентификации. Это помогает повысить качество работы Optic ID в различных условиях освещения, при которых видимая часть радужной оболочки глаза и размер зрачка могут меняться.
Когда пользователь разблокирует Apple Vision Pro, в центре поля зрения пользователя отображается хорошо заметный значок Optic ID. После успешной разблокировки (или во время аутентификации в приложении) Optic ID продолжает непрерывно отслеживать область вокруг глаз с помощью камер, встроенных в Apple Vision Pro. Если при дальнейшем ношении устройства возникает необходимость повторной аутентификации, Optic ID использует для нее данные этого отслеживания.
Безопасность Face ID
Функция Face ID, позволяющая безопасно разблокировать поддерживаемые устройства Apple одним взглядом, создана для того, чтобы устройство активировалось только в том случае, если на него направлен взгляд пользователя. Она также служит для надежной аутентификации с низкой долей ошибок и предотвращения электронных и физических способов несанкционированного доступа. Интуитивно понятная безопасная аутентификация выполняется с помощью камеры TrueDepth, которая точно распознает геометрию лица, задействуя передовые технологии. Face ID использует нейросети для распознавания внимания пользователя, сопоставления лица и предотвращения несанкционированного доступа. Это дает возможность разблокировать телефон взглядом, даже при использовании устройств в маске, если они поддерживают такую возможность. Face ID автоматически адаптируется к изменениям внешности пользователя и тщательно сохраняет конфиденциальность и безопасность биометрических данных.
Камера TrueDepth автоматически выполняет поиск лица пользователя, когда он выводит из режима сна устройство Apple с Face ID (поднимая его или касаясь экрана), а также когда на устройстве запрашивается идентификация пользователя для отображения входящего уведомления или когда поддерживаемое приложение запрашивает аутентификацию с помощью Face ID. Когда лицо обнаружено, Face ID подтверждает внимание пользователя и его намерение разблокировать устройство, распознавая открытые глаза и взгляд, направленный на устройство. Для поддержки Универсального доступа проверка внимания Face ID выключается при активации VoiceOver, а при необходимости эту функцию можно выключить самостоятельно. При использовании Face ID в маске всегда требуется распознавание внимания.
Когда камера TrueDepth подтверждает присутствие лица и внимание пользователя, она проецирует и считывает тысячи инфракрасных точек для составления карты глубины лица, а также создает двумерное инфракрасное изображение. На основе этих данных создается последовательность двумерных изображений и карт глубины, которые защищаются цифровой подписью и отправляются в Secure Enclave. Для предотвращения электронных и физических способов мошенничества камера TrueDepth располагает последовательность двумерных изображений и снимков карт глубины в случайном порядке, а также проецирует случайную схему, уникальную для данного устройства. Один из элементов защищенного нейронного модуля, безопасность которого обеспечивается Secure Enclave, создает математическое представление этих данных и сравнивает его с данными зарегистрированного лица. Эти данные являются математическим представлением лица пользователя, сфотографированного под различными углами.
Безопасность Touch ID
Touch ID — это система считывания отпечатка пальца, которая ускоряет и упрощает процесс безопасного доступа к устройствам Apple с поддержкой этой функции. Эта технология считывает отпечатки пальцев под любым углом. При каждом использовании датчик выявляет дополнительные перекрывающиеся узловые точки, расширяя базу данных об отпечатках пальцев пользователя.
Устройства Apple с сенсором Touch ID можно разблокировать с помощью отпечатка пальца. Touch ID не избавляет от необходимости в код-пароле устройства или пароле пользователя, который по-прежнему требуется вводить после загрузки, перезагрузки устройства или выхода из системы (на Mac). В некоторых приложениях Touch ID может использоваться вместо код‑пароля устройства или пароля пользователя, например для следующих действий:
разблокировки защищенных паролем заметок в приложении «Заметки»;
разблокировки сайтов, защищенных при помощи связки ключей;
использования вместо паролей в поддерживаемых приложениях.
Однако в некоторых случаях обязательным является использование код-пароля устройства или пароля пользователя. Например, это необходимо для изменения существующего код-пароля устройства или пароля пользователя, а также для удаления зарегистрированных отпечатков пальцев или сохранения новых отпечатков.
Когда датчик отпечатков пальцев распознает прикосновение пальца, он сканирует палец с помощью усовершенствованной матрицы и отправляет изображение в Secure Enclave. Канал, используемый для защиты этого соединения, зависит от того, встроен ли сенсор Touch ID в устройство с Secure Enclave или расположен в отдельном периферийном устройстве.
В процессе векторизации сканированного отпечатка пальца для анализа это растровое изображение временно сохраняется в зашифрованном участке памяти Secure Enclave, а затем удаляется. Анализ выполняется путем сопоставления дуговых папиллярных узоров, при котором изучаются только некоторые фрагменты, что не позволяет восстановить фактический отпечаток пальца пользователя. При регистрации полученная карта узлов сохраняется в зашифрованной форме, которую может прочитать только Secure Enclave, причем она доступна только в виде шаблона для сравнения при дальнейших сопоставлениях и не содержит какой-либо информации, на основе которой можно установить личность. Эти данные никогда не покидают устройства. Они не отправляются в Apple и не включаются в резервные копии устройства.
Встроенная защита канала Touch ID
Встроенный сенсор Touch ID обменивается данными с Secure Enclave по шине последовательного периферийного интерфейса. Процессор не может прочитать эти данные, а просто перенаправляет их сопроцессору Secure Enclave. Для шифрования и аутентификации этих данных используется ключ сеанса, который согласовывается с помощью общего ключа, назначаемого при производстве каждому сенсору Touch ID и соответствующему ему Secure Enclave. Общий ключ каждого сенсора Touch ID является надежным, случайно сгенерированным и уникальным. При обмене ключом сеанса используется алгоритм защиты ключа AES: обе стороны предоставляют случайный ключ, который задает ключ сеанса и использует транспортное шифрование, благодаря чему обеспечивается аутентификация и конфиденциальность (с помощью AES-CCM).