Biometric Authentication: Insufficient Touch ID Protection

アプリケーションはタッチ ID を使用してキーチェーンにアイテムを格納しますが、有効なフィンガープリントをキーチェーンのアイテムの格納時に使用可能であったフィンガープリントに制限することはできません。

キーチェーン サービスを使用して、タッチ ID ベースの認証を実装できます。それには、キーチェーンにアイテムを格納して、後からアイテムを取得するにはフィンガープリントを使用することをユーザーに要求するアクセス制御を設定します。次のポリシーを使用して、フィンガープリントを使用してユーザーを認証する方法を定義できます。

- kSecAccessControlUserPresence: タッチ ID またはパスコードでのアクセスへの制約。タッチ ID が使用可能である、または登録されている必要はありません。フィンガープリントが追加または削除された場合でも、引き続きタッチ ID でアイテムにアクセスできます。
- kSecAccessControlTouchIDAny: 登録されている任意のフィンガープリントのタッチ ID でのアクセスへの制約。フィンガープリントが追加または削除された場合、アイテムは無効化されません。
- kSecAccessControlTouchIDCurrentSet: 現在登録されているフィンガープリントのタッチ ID でのアクセスへの制約。フィンガープリントが追加または削除された場合、アイテムは無効化されます。

タッチ ID を使用する場合、kSecAccessControlTouchIDCurrentSet 属性を使用して、フィンガープリントが今後追加または削除されるのを防ぐ必要があります。

例 1: 次のコードは、今後登録されるフィンガープリントでキーチェーンのアイテムをロック解除できる kSecAccessControlTouchIDAny 制約を使用しています。

    ...
    SecAccessControlRef sacRef = SecAccessControlCreateWithFlags(kCFAllocatorDefault,
                 kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly,
                 kSecAccessControlTouchIDCurrentSet, 
                 nil);
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:account forKey:(__bridge id)kSecAttrAccount];
    [dict setObject:service forKey:(__bridge id) kSecAttrService];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:sacRef forKey:(__bridge id)kSecAttrAccessControl];
    [dict setObject:@"Please authenticate using the Touch ID sensor." forKey:(__bridge id)kSecUseOperationPrompt];

    dispatch_async(dispatch_get_global_queue(DISPATCH_QUEUE_PRIORITY_DEFAULT, 0), ^{
        OSStatus status = SecItemAdd((__bridge CFDictionaryRef)dict, nil);
    });
    ...