Face ID : sécurité, fonctionnement et limites de la reconnaissance faciale d’Apple

Apple a mis en ligne hier des informations assez précises sur sa technologie Face ID, permettant à l’iPhone X de valider des opérations de sécurité par reconnaissance faciale. Une documentation qui sert à la fois aux développeurs pour en exploiter les capacités, et à désamorcer les craintes des utilisateurs.

Sur l’iPhone X, Face ID remplace Touch ID. Le bouton d’Accueil, qui permettait depuis l’iPhone 5s de déverrouiller le smartphone ou de valider des achats en ligne, disparaît donc. Ce changement provoque une rupture dans les habitudes, l’utilisateur devant revoir la plupart de ses gestes.

Alors qu’il reste environ un mois avant le départ des précommandes pour l’iPhone X, Apple communique sur Face ID, et plus généralement sur la confidentialité. Sur ce dernier point, pas vraiment de nouveautés, la firme ayant surtout rassemblé ses rubriques au sein d’une page dédiée. Sur Face ID par contre, le document publié renferme des renseignements intéressants.

Une question de précision

Face ID n’est en fait que l’une des utilisations possibles de la technologie matérielle sous-jacente. Nommée TrueDepth, elle repose sur un lot de six capteurs situés dans la fameuse encoche noire en haut de l’iPhone X. On trouve ainsi une caméra et un illuminateur infrarouges, un détecteur de proximité, un capteur de luminosité ambiante, l’appareil photo (7 mégapixels) et un projecteur de points lumineux.

Lorsque TrueDepth analyse le visage pour la première fois, il crée un maillage en trois dimensions constitué de 30 000 points. Le modèle obtenu est assaisonné d’une photo infrarouge du visage. L’ensemble est mélangé puis décomposé en une série de surfaces 2D, toutes signées numériquement par le téléphone. Ces données sont ensuite enregistrées dans la Secure Enclave de la puce A11.

Ce fonctionnement est globalement le même que pour Touch ID, puisque Face ID se substitue en fait à l’ancienne technologie. Selon Apple, il n’y a cependant que des avantages à la nouvelle, car elle estime à une 1 sur 1 000 000 les chances qu’un visage présente des caractéristiques suffisamment proches d’un autre pour tromper le système. Avec Touch ID, ces chances étaient de 1 sur 50 000, toujours selon l’entreprise.

Peut-on tromper Face ID ? Dans le cas d'enfants ou de jumeaux, oui

Ce point fait immédiatement ressortir la question que beaucoup se posent : peut-on tromper Face ID ? Si l’on en croit les explications d’Apple, l’opération semble très difficile.

L’interrogation est suffisamment importante pour qu’un certain nombre de plaisanteries et de memes sortent sur le sujet dans les jours qui ont suivi la présentation de l’iPhone X. On pouvait voir par exemple un iPhone braqué sur le visage d’un utilisateur en train de dormir, provoquant le déverrouillage de l’appareil. Une manipulation réaliste ? En fait non.

Face ID pose des conditions pour qu’il puisse considérer que l’utilisateur veut réellement effectuer l’action demandée. La plus importante est qu’il doit regarder son téléphone, pour montrer qu’il est en train de l’utiliser. S’il dort, Face ID verra des yeux fermés et bloquera le passage. Les seuls vrais dangers évoqués par Apple sont pour les vrais jumeaux et les enfants, avant que le visage ne soit donc entièrement défini. La société déconseille l'utilisation de Face ID dans ces cas.

La technologie tolère par contre un certain nombre de modifications. Porter des lunettes de vue, un chapeau ou encore un foulard ne changera rien à la reconnaissance du visage. Idem pour des cheveux plus longs/courts, du maquillage, un piercing, etc. TrueDepth se concentre en fait, d’après la documentation, sur la zone centrale du visage et tout particulièrement sur les yeux, le nez et la bouche. La couleur de peau n’a aucune importance.

Conséquence, si vous portez une cagoule ou un masque sanitaire, le système risque de ne pas vous laisser passer. La question des lunettes de soleil est plus floue : si les verres sont polarisés tout ira (officiellement) bien, dans le cas contraire l’identification peut échouer.

La question se pose davantage dans le cas d’un visage authentique ayant une variation brutale. Exemple classique : un homme raccourcissant radicalement une barbe fournie. Face ID peut échouer, mais iOS tient compte de cette tentative. Puisqu’il va réclamer le code PIN, une saisie réussie mettra à jour la base de données présente dans la Secure Enclave. Face ID incorporera donc le changement, sans pour autant remettre en cause l’image initiale. Il étoffera simplement sa reconnaissance de l’utilisateur.

Mais Apple prévient : même si la reconnaissance du visage est difficile à abuser (selon ses dires), elle ne peut pas remplacer la complexité d’un mot de passe. En clair, sous prétexte que cette sécurité fonctionne, pas question de négliger les identifiants. Face ID n'étant pas obligatoire, une séquence de type « 12345679 » plombera d'autant la sécurité de l'appareil.

La sécurité interne de TrueDepth

Il est tout aussi important de se plonger dans le fonctionnement de TrueDepth au sein de l’iPhone X. La reconnaissance du visage soulève en effet les mêmes craintes que celle des empreintes digitales.

Commençons donc par le début : les données restent locales. Apple aimant parler de sécurité, elle a sans doute considéré que la transmission des informations à ses serveurs ne pouvait apporter que des problèmes. Même si l’on mettait de côté les soucis de latence, il resterait la possibilité que ces données soient interceptées ou dérobées.

De fait, le fonctionnement de Face ID est identique à Touch ID : les données mathématiques signées sont stockées dans le processeur. Lors d’une demande de validation d’achat (qui nécessite par ailleurs un double appui sur le bouton latéral, comme sur la Watch), il y a simplement comparaison du visage capté avec le modèle enregistré. S’il y a correspondance, un jeton est temporairement émis pour valider l’opération.

Cet enregistrement local peut amener son lot de problèmes. On se rappelle notamment que Touch ID ne pouvait plus fonctionner s’il y avait réparation dans un centre non agréé et que le capteur était manipulé (la fameuse erreur 53). Même chose ici : par sécurité, Face ID est désactivé si une réparation affecte les capteurs. Si ces derniers doivent être changés, la procédure sera réalisée en Apple Store ou dans une boutique APR, avec validation du client sur place.

Les données de la Secure Enclave sont en fait isolées. Elles ne sont pas synchronisées avec iCloud, pas plus qu’avec d’autres appareils de l’utilisateur. Par ailleurs, Face ID ne peut enregistrer qu’un seul visage avec ses variations dans le temps. Un choix nécessairement différent de Touch ID, puisque si Apple pouvait considérer qu’un utilisateur avait plusieurs doigts, il n’a en revanche qu’une seule tête.

Enfin, et c’est sans doute l’un des points les plus importants, le chiffrement des données s'effectue avec une clé locale qu’Apple assure ne pas avoir. On peut rapprocher l’explication de l’affaire San Bernardino, quand Apple tentait de faire comprendre au FBI que les données locales d’un iPhone ne pouvaient pas être déchiffrées sans connaître le code PIN. Ce dernier est en effet utilisé par iOS pour composer la clé de chiffrement.

Face ID peut être amené à se désactiver

La technologie n’est pas obligatoire, pas plus en fait que ne l’était Touch ID. D’une part, l’utilisateur peut simplement choisir de ne pas s’en servir pendant la configuration de l’iPhone X. Auquel cas il s’appuiera sur un code PIN à six chiffres, ou même aucune protection s’il estime qu’il n’en a pas besoin (iOS le déconseille).

Face ID peut aussi être amené à se désactiver de lui-même. La documentation d’Apple référence les cas où la technologie se coupe par sécurité et exige à la place le code PIN ou le mot de passe du compte Apple, selon la situation :

• démarrage à froid,
• redémarrage, après 48 heures sans déverrouillage,
• si le mot de passe n’a pas été utilisé une seule fois au cours des derniers 6,5 jours,
• après cinq échecs de reconnaissance du visage
• si l’utilisateur a verrouillé à distance son appareil.

TrueDepth a d’autres utilisations que Face ID

En théorie, l’arrivée de Face ID n’est pas censée poser de problème aux développeurs. Si les applications ont été « correctement » réalisées, elles effectuent des demandes d’authentification au système, qui se charge alors d’exploiter la technologie présente, en l’occurrence Touch ID ou Face ID. Une application bancaire qui réclamait alors l’empreinte digitale basculera automatiquement sur le visage, de manière transparente promet Apple.

Mais Face ID ne représente que l’identification. TrueDepth en revanche peut être utilisé dans d’autres domaines. Un exemple évident fut d’ailleurs démontré durant la conférence de présentation de l’iPhone X avec une mise à jour de Snapchat. Le maillage 3D des 30 000 points peut servir à appliquer des masques et autres filtres avec une précision bien plus grande que ce qui se faisait jusqu’à présent avec un iPhone « classique ». On a pu aussi voir comment un utilisateur pouvait animer des emojis, donnant lieu à des… animojis, puisque c’est le nom que leur donne Apple.

Le problème n’est pas tant technologique

Apple semble avoir clairement travaillé Face ID en réfléchissant aux différents cas de figure. Tant que l’iPhone X n’est pas arrivé, il est difficile bien sûr d'avoir une idée de sa précision, mais Apple a pris les devants pour rassurer sur la sécurité de sa technologie.

Si l’on met de côté l’aspect sécurité, il reste l’ergonomie. L’iPhone X n’ayant plus de bouton d’accueil, les utilisateurs vont devoir se faire aux changements que ce choix implique. Plus question d’allumer son écran en pressant un coup le bouton, ou de revenir à l’écran d’accueil depuis une application par ce biais.

Il n’est donc pas étonnant de voir Apple communiquer sur ces gestes. La firme a d’ailleurs tout intérêt à prendre les devants car Face ID représente forcément l’avenir pour les iPhone. Tim Cook a annoncé la couleur durant la conférence : le modèle X trace la direction que prendront les smartphones maison dans les prochaines années.

En attendant, Face ID (et donc TrueDepth) ne concernera que ceux qui achèteront l’iPhone X. Pour rappel, les précommandes ouvriront le 27 octobre, avec des livraisons démarrant le 3 novembre. Si l’on en croit les rumeurs actuelles, la production est assez faible, et il est probable que la patience sera de mise.