Biometric Authentication: Insufficient Touch ID Protection

O aplicativo usa a ID de toque para armazenar um item no conjunto de chaves, mas não consegue restringir as impressões digitais válidas àquelas disponíveis quando o item de conjunto de chaves foi armazenado.

A autenticação baseada em ID de toque pode ser implementada usando os serviços de conjunto de chaves armazenando um item no conjunto de chaves e definindo um controle de acesso que requer que o usuário use sua impressão digital para recuperar o item posteriormente. As seguintes políticas podem ser usadas para definir como o usuário será autenticado usando sua impressão digital:

- kSecAccessControlUserPresence: Restrição para acessar usando a ID de toque ou a senha. A ID de toque não precisa estar disponível ou registrada. O item ainda estará acessível pela ID de toque, mesmo se as impressões digitais forem adicionadas ou removidas.
- kSecAccessControlTouchIDAny: Restrição para acessar usando a ID de toque para quaisquer impressões digitais registradas. O item não será invalidado se as impressões digitais forem adicionadas ou removidas.
- kSecAccessControlTouchIDCurrentSet: Restrição para acessar usando a ID de toque para as impressões digitais registradas no momento. O item será invalidado se as impressões digitais forem adicionadas ou removidas.

Ao usar a ID de toque, você deve usar o atributo kSecAccessControlTouchIDCurrentSet para proteger contra a adição ou remoção de impressões digitais no futuro.

Exemplo 1: O seguinte código usa a restrição kSecAccessControlTouchIDAny que permite que todas as impressões digitais cadastradas no futuro desbloqueiem o item de conjunto de chaves:

    ...
    SecAccessControlRef sacRef = SecAccessControlCreateWithFlags(kCFAllocatorDefault,
                 kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly,
                 kSecAccessControlTouchIDCurrentSet, 
                 nil);
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:account forKey:(__bridge id)kSecAttrAccount];
    [dict setObject:service forKey:(__bridge id) kSecAttrService];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:sacRef forKey:(__bridge id)kSecAttrAccessControl];
    [dict setObject:@"Please authenticate using the Touch ID sensor." forKey:(__bridge id)kSecUseOperationPrompt];

    dispatch_async(dispatch_get_global_queue(DISPATCH_QUEUE_PRIORITY_DEFAULT, 0), ^{
        OSStatus status = SecItemAdd((__bridge CFDictionaryRef)dict, nil);
    });
    ...