Vingerafdrukscanner in de iPhone: waarom?

In juli 2012 nam Apple AuthenTec over, een bedrijf dat gespecialiseerd is in vingerafdrukscanners. Code van iOS 7 beta 4 bevestigt dat er in ieder geval gewerkt is aan een vingerafdruksensor. Apple zocht een expert vingerafdruktechnologie om aan nieuwe producten te werken. En er zijn patenten die erop wijzen dat Apple wel erg geïnteresseerd is in vingerafdruksensoren. Dan vergeten we nog de vele geruchten over vingerafdrukscanners, die om de zoveel maanden langskwamen. Wat is Apple met zo’n vingerafdruksensor van plan en wat kunnen we als gebruiker ermee? Tegelijk zijn er geluiden dat een vingerafdrukscanner nog teveel als een gimmick wordt gezien. Durft Apple het aan om tientallen miljoenen iPhones van nieuwe technologie te voorzien, waarmee ze enorme risico’s lopen als het niet goed werkt?

In homeknop of scherm

De meest recente geruchten wijzen op een vingerafdrukscanner in de homeknop. De bekende analist Ming-Chi Kuo beweert dat Apple de homeknop bolvormig maakt en voorziet van een laagje saffierkristal, voor extra krasbestendigheid. Zo’n bolle homeknop is nodig, omdat de ruimte rondom de homeknop beperkt is. De homeknop is momenteel nog een deukje in plaats van een bobbeltje. Er wordt ook gesproken over het inbouwen van de vingerafdruksensor op het scherm aan de voorkant. Apple’s patent (zie hiernaast) wekte de indruk dat je de scanner ergens in het scherm kunt inbouwen. Op zich zijn vingerafdruksensoren niet nieuw: ze worden al jarenlang ingebouwd in laptops, maar echt doorgebroken is de technologie nog niet. We kennen de vingerscanners vooral van de Amerikaanse douane, waar je je vinger op een glazen plaatje moet leggen om te checken of je op de zwarte lijst staat.

Vingerafdruk als toegangscode

Apple zou de vingerafdrukscanner op meerdere manieren kunnen gebruiken in de iPhone. In plaats van het intoetsen van een viercijferige pincode hoef je je vinger alleen nog maar over de scanner te halen. Apple kan met de vingerscanner ook de veiligheid van bankierapps kunnen verbeteren. Toevallig was vandaag in het nieuws dat banken hun apps zouden moeten beveiligen met een extra biometrische controle. Dat vindt Gert-Jan Schenk, president EMEA bij McAfee. Schenk denkt dat een extra biometrische controle de toekomst heeft, bijvoorbeeld door je de vingerafdruk te scannen. Maar hij ziet ook wel andere mogelijkheden: “Je zou bijvoorbeeld de klant kunnen vragen een zin of het bedrag op te lezen.”

Vingerafdruk is veiliger

De meestgebruikte methode om te controleren of iemand toegang mag krijgen tot een apparaat en de informatie die daarop staat, is het gebruik van wachtwoorden. Maar dat heeft nadelen: veel mensen blijken uit gemak de cijfercombinaties 1234, 1111, 0000 of een andere voor de hand liggende combinatie te gebruiken. Door 1234 in te toetsen heb je een kans van meer dan 10% dat je goed zit en door het intoetsen van de twintig meestgebruikte pincodes vergroot je de kans naar 26,8%. Gelukkig kun je de iPhone zodanig instellen dat de inhoud na een paar pincodepogingen wordt gewist. Maar dan nog vormen makkelijk te raden wachtwoorden en pincodes een veiligheidsrisico. Een biometrisch kenmerk is moeilijker te raden, al is de veiligheid nog niet gegarandeerd. De beste oplossing is een beveiliging die uit twee onderdelen bestaat: een wachtwoord of pincode en iets anders: een object dat de gebruiker in bezit heeft of een persoonskenmerk dat moeilijk te vervalsen is. Vandaar dat steeds meer bedrijven zijn overgestapt op tweestapsverificatie, als is het gebruik ervan vaak nog optioneel: om in te loggen op je Gmail- of Twitter-account heb je een wachtwoord nodig en een toegangscode die door een vertrouwd apparaat wordt gegenereerd: je iPhone. Dat maakt de kans op datadiefstal en ongeoorloofde toegang een stuk lager.

Vinger als uniek kenmerk

Als Apple de beveiliging van iPhones wil verbeteren, is de iPhone zelf geen geschikt object. Dat is immers het object waar het een dief in eerste instantie om gaat. De computer thuis of op het werk als vertrouwd apparaat aanwijzen is ook geen oplossing, want als je op vakantie bent kun je geen toegang meer krijgen tot je iPhone, tenzij je de vakantie voortijdig afbreekt en naar huis rijdt. Een andere zwakheid van het gebruik van een fysiek object als authenticatiemiddel is dat je nooit zeker weet of de rechtmatige eigenaar toegang probeert te krijgen. Als de iPhone thuis tijdens een inbraak wordt gestolen heeft de dief gelijktijdig de iPhone en het vertrouwde apparaat (de computer) onder handbereik. Een calculator-achtig apparaatje zoals banken gebruiken voor internetbankieren is evenmin handig: die raak je kwijt, vergeet je mee te nemen op vakantie en heb je niet op zak tijdens een avondje uit.

Daarom: biometrie. Dit is het meetbaar maken van unieke eigenschappen van je lichaam, bijvoorbeeld een vingerafdruk, patroon van je netvlies of iris, oorafdruk, aders in je handpalm of vingers, gelaatstrekken, het warmtepatroon van je gezicht of spraak. Een vingerafdrukscan is eenvoudig en kan ook als aanvullende beveiligingsmethode worden gebruikt. Als Apple de iPhone wil gaan gebruiken voor mobiele betalingen, kan de vingerafdruk bijvoorbeeld nodig zijn om betalingen boven €25 te autoriseren.

Vingerafdrukken in een database, wie beheert dat?

Ooit moest ik bij binnenkomst in het Disney-pretpark in Orlando mijn vinger op een vingerafdrukscanner leggen. Ik vond het raar: dat de Amerikaanse overheid mijn vingerafdruk wil scannen om te checken of ik geen gevaarlijke crimineel ben, is nog te begrijpen. Dreiging voor terrorisme en zo. Maar een pretpark? Bij Disney was de insteek ook gericht op veiligheid: door vingerafdrukken te scannen kunnen ze makkelijk oproerkraaiers buiten de deur houden, zodat de normale bezoeker een ‘magical day’ heeft en om te voorkomen dat hetzelfde kaartje door meerdere personen wordt gebruikt. Maar het zette me wel aan het denken: wat moet Disney met mijn vingerafdruk? Slaan ze de gegevens wel zorgvuldig op? Vernietigen ze de data na verloop van tijd? En wat zijn de risico’s als de server van Disney gehackt wordt?

Die vragen kun je ook stellen bij Apple. Gaat Apple de vingerscans op centrale servers opslaan en koppelen aan je Apple ID? Dat brengt gemak met zich mee (het systeem hoeft maar éénmaal je vingerafdruk te ‘leren’) en je kunt vervolgens op alle nieuwe iOS-apparaten met vingerscanner inloggen. Maar ook beveiligingsrisico’s. Bedrijven die het netjes oplossen zetten de vingerafdrukscan om naar een digitale handtekening met een algoritme dat maar in één richting werkt. Je kunt dan wel checken of de vinger (ongeveer) overeenkomt met eerder gescande vingers, maar het bedrijf legt geen privacygevoelige gegevens vast. En je kunt vanuit de digitale handtekeningen ook niet meer ‘terugrekenen’ hoe het originele vingerpatroon eruit ziet, want het encryptiemechanisme werkt maar in één richting. Dat is ook een vereiste als Apple externe ontwikkelaars de mogelijkheid geeft om de vingerafdrukscanner te gebruiken in apps van derden.

Natuurlijk worden er bij vingerscanners altijd grappen gemaakt dat iemand je vingerkootje kan afhakken om toegang te krijgen tot je gegevens. Apple kan dat oplossen door in de scanner technologie in te bouwen, die meteen checkt of er nog bloedcirculatie in de vinger plaatsvindt. Dat is zelfs vrij makkelijk te realiseren, want huidige apps om je hartslag te meten maken er al gebruik van. Het enige wat niet te voorkomen is, is als iemand je onder bedreiging van een wapen dwingt de iPhone te ontgrendelen.

Waar kan Apple vingerafdrukscanners voor gebruiken?

Een vingerafdrukscanner is misschien niet de meest gewilde nieuwe functie in de volgende generatie iPhone. Wat zijn de toepassingen waarmee Apple de gebruikers enthousiast gaat krijgen?

• Toegangscontrole: in plaats van een pincode kun je (optioneel) je vinger gebruiken om toegang te krijgen tot de iPhone.
• Diefstalbeveiliging: de iPhone is een gewild apparaat. Als je zorgt dat de iPhone eenmaal per week of eenmaal per dag met een vingerscan geautoriseerd moet worden en zorgt dat het systeem moeilijk te kraken is, is diefstal van iPhones niet interessant meer.
• Zakelijke beveiliging: met een vingerafdrukscanner kan Apple zakelijke kopers van de iPhone nog beter ervan overtuigen dat bedrijfsgegevens veilig zijn. Alleen met een vingerscan krijg je toegang tot vertrouwelijke rapporten.
• Betalen in iTunes: aankopen in iTunes zijn alleen mogelijk als je je vinger scant. Zo kunnen ouders voorkomen dat kinderen dure in-app aankopen doen, of voorkomen dat een hacker aankopen doet op jouw rekening.
• Betalen in winkels: Apple kan gaan samenwerken met winkels, waarbij contactloos betalen mogelijk wordt. In plaats van NFC zou Apple hiervoor de Beacon-functie in iOS 7 kunnen gebruiken. Betalen van grote bedragen is alleen mogelijk als je je vinger scant.
• Betalen met bankierapps: zoals hierboven al is genoemd, bestaat de wens om apps van banken beter te beveiligen. Een vingerafdrukscanner waarbij je je zelf moet identificeren voordat je geld mag overboeken, kan het vertrouwen in bankapps vergroten.

Er zijn ongetwijfeld nog meer toepassingen denkbaar. Heb jij ideeën? Laat het weten in de reacties!

Hoe groot is de kans op een vingerafdrukscanner?

In de code van iOS 7 zijn aanwijzingen gevonden voor een biometrische scanner. Apple kocht het bedrijf Authentec, dat gespecialiseerd was in vingerafdrukscanners. En er zijn meerdere patenten gevonden waaruit blijkt dat Apple nadenkt over biometrische toepassingen. Allemaal aanwijzingen die de indruk wekken dat die vingerafdrukscanner er zeker aankomt. “Toch niet”, zegt de invloedrijke blogger Mark Gurman, in een video-interview. “Een vingerafdrukscanner is nog erg gimmicky. Ik zie niet hoe Apple dit in een telefoon kan stoppen waarvan dertig, veertig, vijftig miljoen units van worden geproduceerd.” Apple heeft al eens eerder geblunderd met hardware en software en zal misschien niet het risico durven nemen. Van de andere kant: Apple staat erom bekend dat ze technologische innovaties pas introduceren als de techniek en het publiek er rijp voor is. Apple zal wel weten wat ze aan het doen zijn, merkt Gurman op. “Het is zo’n gimmick en het werkt niet goed.” En het feit dat Apple Authentec gekocht heeft, wil nog niet zeggen dat Apple Autentec’s chips gaat gebruiken. Misschien was het Apple vooral om de kennis en ervaring van medewerkers te doen.