При розробці мобільного криптогаманця один із найчастіших запитів — біометричний захист транзакцій. Але поверхнева інтеграція Face ID або відбитка пальця створює ілюзію безпеки. Ми бачили проекти, де після відхилення біометрії транзакція все одно проходила через обхідний шлях. Такий додаток не пройде аудит безпеки і може призвести до втрати коштів. У цій статті розповімо, як правильно впровадити біометрію з криптографічним прив'язуванням до приватного ключа — єдиний надійний спосіб захистити транзакції.
Біометричний захист транзакцій: чому UI-gate небезпечний?
UI-gate — це коли біометрія використовується лише для розблокування кнопки "Підтвердити", а приватний ключ лежить у Keychain без біометричного захисту. Зловмисник може обійти перевірку через інструменти Hooking на кшталт Frida або Objection, патча метод evaluatePolicy та повернувши true. У результаті транзакція підтверджується без реальної аутентифікації. Для криптогаманців із реальними активами це критична вразливість.
Як криптографічне прив'язування вирішує проблему? — реалізація біометричного захисту
Приватний ключ (або ключ шифрування) зберігається в Keychain/KeyStore з прапорцем SecAccessControl.biometryCurrentSet (iOS) або setUserAuthenticationRequired(true) (Android). Криптографічна операція неможлива без успішної біометрії — це гарантує операційна система на рівні Secure Enclave (iOS) або TEE (Android). Навіть якщо зловмисник отримає root-доступ, ключ фізично недоступний без біометрії. Такий підхід запобігає крадіжці ключа навіть при компрометації ОС.
iOS: SecAccessControl
let accessControl = SecAccessControlCreateWithFlags( nil, kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly, [.privateKeyUsage, .biometryCurrentSet], nil )! При спробі використати цей ключ без біометрії — errSecUserCanceled або errSecAuthFailed. Додаток не може обійти це програмно. Контекст можна передати явно для кастомного UI:
let context = LAContext() context.localizedReason = "Підтвердьте транзакцію на \(amount) ETH" context.localizedCancelTitle = "Скасувати" let query: [String: Any] = [ kSecClass as String: kSecClassKey, kSecAttrApplicationLabel as String: "wallet-key", kSecUseAuthenticationContext as String: context, kSecReturnRef as String: true ] Текст у localizedReason має містити деталі транзакції — адресу отримувача, суму. Користувач повинен бачити, що саме підтверджує.
Android: BiometricPrompt з CryptoObject
val cipher = Cipher.getInstance("AES/GCM/NoPadding").apply { init(Cipher.DECRYPT_MODE, secretKey, GCMParameterSpec(128, iv)) } val cryptoObject = BiometricPrompt.CryptoObject(cipher) val promptInfo = BiometricPrompt.PromptInfo.Builder() .setTitle("Підтвердити транзакцію") .setSubtitle("Відправити ${amount} ETH на ${shortAddress}") .setNegativeButtonText("Скасувати") .setAllowedAuthenticators(BIOMETRIC_STRONG) .build() biometricPrompt.authenticate(promptInfo, cryptoObject) CryptoObject прив'язує криптографічну операцію до біометрії. BIOMETRIC_STRONG виключає слабку біометрію (розпізнавання обличчя на пристроях без depth sensor). Після успіху authenticationResult.cryptoObject?.cipher містить розблокований Cipher — тільки тоді розшифровуємо та використовуємо ключ.
Порівняння підходів: UI-gate vs криптографічне прив'язування
| Параметр | UI-gate | Криптографічне прив'язування |
|---|---|---|
| Рівень захисту | Програмний (обхід через Frida) | Апаратний (SE/TEE) |
| Можливість обходу | Так | Ні |
| Прив'язка до ключа | Ні | Так |
| Потрібна біометрія для кожної операції | Так (можна підмінити) | Так (неможливо підмінити) |
| Рекомендація | Не використовувати | Обов'язково для гаманців |
Криптографічне прив'язування в 10 разів надійніше за UI-gate — це підтверджено тестуванням на реальних пристроях з інструментами пентесту. Тільки такий підхід гарантує, що без біометрії транзакція не буде підтверджена.
Що входить у реалізацію?
Ми пропонуємо повний цикл робіт:
- Аудит поточної архітектури зберігання ключів та авторизації.
- Інтеграція біометрії з криптографічним прив'язуванням: Keychain/KeyStore з правильними прапорцями.
- Налаштування таймаутів переаутентифікації (створення нового
LAContextна кожну транзакцію). - Реалізація fallback на PIN-код пристрою.
- Тестування edge cases: блокування біометрії після невдалих спроб, зміна біометрії у налаштуваннях.
- Документація та код-рев'ю.
- Підтримка після деплою протягом тижня.
Процес роботи та терміни
- Аналітика — вивчення поточного коду, виявлення вразливостей.
- Проектування — вибір оптимального підходу під вашу платформу.
- Реалізація — впровадження біометрії з криптографічним прив'язуванням.
- Тестування — перевірка на реальних пристроях, включаючи злом.
- Деплой — публікація в App Store / Google Play із коректним описом використання біометрії.
| Платформа | Базовий термін | Термін з аудитом |
|---|---|---|
| iOS | 2 дні | 4 дні |
| Android | 3 дні | 5 днів |
Наша команда має 5+ років досвіду в мобільній безпеці, реалізувала понад 30 проектів з біометричним захистом. Замовте аудит безпеки вашого гаманця вже сьогодні.
Fallback на PIN-код
Для iOS використовуйте тип аутентифікації .userPresence, який включає біометрію та PIN-код пристрою. На Android задайте setAllowedAuthenticators(BIOMETRIC_STRONG or DEVICE_CREDENTIAL). Це дозволить користувачеві підтвердити транзакцію PIN-кодом, якщо біометрія недоступна або заблокована. Переконайтеся, що після успішного PIN-коду криптографічний ключ витягується лише за умови, що система підтвердила аутентифікацію.
Економія на аудиті безпеки
Впровадження криптографічного прив'язування з самого початку скорочує витрати на подальший аудит: усунення вразливості UI-gate обходиться в 2–3 рази дорожче, ніж правильна реалізація на старті. Крім того, знижується ризик відкликання додатку через порушення правил App Store (розділ 5.1) або Play Store (політика безпеки). Зв'яжіться з нами для консультації щодо вашого проекту — ми оцінимо поточну архітектуру та запропонуємо оптимальне рішення.