Apple legt werking Touch ID uit in nieuw beveilingsrapport

Apple heeft een nieuw beveiligingsdocument uitgebracht, waarin ze uitleggen hoe Touch ID op de iPhone 5s werkt. Je leest hoe de aparte co-processor op de A7-chip met de naam Secure Enclave werkt. Die zorgt ervoor dat de vingerafdruk worden gescand en vergeleken met de eerder geregistreerde vingers. De Secure Enclave is voorzien van een unieke ID, die niet toegankelijk is voor andere onderdelen van het systeem. Bij het opstarten van de iPhone wordt er on-the-fly een sleutel gegenereerd, die kan worden gebruikt voor de encryptie. Volgens Apple is er bij het scannen van je vinger een kans van 1 op 50.000 dat de vingerscan onjuist wordt geïnterpreteerd, waardoor iemand toch binnen kan komen.

Nu lijkt het misschien best haalbaar om 50.000 keer je vinger op de scanner te leggen, als je enorm gemotiveerd bent om toegang te krijgen tot een iPhone. Maar dat kan niet: na vijf mislukte pogingen om de vinger te scannen ben je verplicht om in te loggen met de pincode.

Apple had al een supportartikel waarin de beveiliging van Touch ID werd beschreven. Dit nieuw verschenen beveiligingsrapport beschrijft echter alle manieren waarop iOS is beveiligd. De timing is slim gekozen, zo vlak na het dichten van een ernstig ssl-lek in iOS 7.0.6 en OS X Mavericks 10.9.2. Er is dan ook een aparte paragraaf gewijd aan de beveiliging met SSL en TLS. Verder lees je in het rapport over encryptie en databeveiling, beveiliging van apps, netwerkbeveiliging en internetdiensten.

Over Touch ID schrijft het rapport, wanneer je verplicht bent om de pincode te gebruiken in plaats van de Touch ID-sensor. Dat geldt bijvoorbeeld na een herstart, als de iPhone meer dan 48 uur niet is ingeschakeld, na vijf mislukte scanpogingen met een vinger, na een remote lock-commando en bij het registreren van nieuwe vingers voor Touch ID. Wie zich zorgen maakt of de communicatie tussen de A7-chip en de Touch ID-sensor makkelijk te hacken is, wordt gerustgesteld: de A7-chip stuurt de data versleuteld door naar de Secure Enclave, maar kan het niet lezen.

Verder lezen: iOS Security February 2014 (PDF)