Sblocco col volto: 2D, 3D e iride, quanto è sicuro davvero
Sbloccare il telefono con la faccia è comodo, ma non tutte le facce vengono lette allo stesso modo. Dietro la faccina nella schermata di blocco ci sono tre tecnologie diverse, con una resistenza diversa agli inganni e Android le classifica con numeri precisi.
La domanda vera non è se lo sblocco col volto sia sicuro. È quale sblocco col volto avete in mano. Un Pixel di due anni fa e un iPhone non usano lo stesso tipo di sensore e il primo non può autorizzare un pagamento mentre il secondo sì. La differenza non è marketing, è certificazione.
Come Android misura la sicurezza di uno sblocco
Android non classifica i sensori per nome, li classifica per comportamento. Il documento di compatibilità (CDD) divide le biometrie in tre classi: classe 3 (un tempo “strong”), classe 2 (un tempo “weak”) e classe 1 (convenienza). Un sensore entra in una classe solo dopo test di laboratorio.
I test guardano tre cose. La SAR, cioè quanto spesso un attacco con una copia del volto viene accettato. La FAR, cioè la probabilità che una persona diversa passi per caso. E la solidità della pipeline: se qualcuno compromette il kernel, riesce a leggere i dati biometrici o a iniettarne di falsi?
I numeri cambiano tutto. La classe 3 tollera una SAR fino al 7%, richiede una FAR di 1 su 50.000, una pipeline sicura e chiavi nel Keystore e può restare l’unico metodo di sblocco fino a 72 ore prima di chiedere il PIN. La classe 2 ammette una SAR tra 7 e 20%, non può usare il Keystore, quindi non può rilasciare chiavi legate all’autenticazione e il PIN torna obbligatorio dopo 24 ore, dopo 4 ore di inattività o dopo 3 tentativi sbagliati. La classe 1 sblocca lo schermo e non parla con le app.
Il punto è la firma crittografica. Solo un sensore di classe 3 può autorizzare un’operazione con una chiave protetta. Google lo scrive senza giri di parole nella guida di Wallet: l’app non funziona con sblocchi di classe 1 o 2.
TIP. Se una scheda tecnica dice solo “sblocco facciale” senza indicare la classe, quasi sempre si tratta di classe 2. Sul volto la classe 3 è rara e costosa: richiede una certificazione che molti produttori non pagano per un sensore da selfie.
Sblocco 2D, la fotocamera che vi guarda in faccia
La maggior parte dei telefoni Android usa la fotocamera frontale normale. Il software trova occhi, naso e bocca, li confronta con il modello salvato e decide. Nessun proiettore, nessuna profondità: è un’immagine, al massimo con un controllo di movimento o di attenzione.
Con luce buona e senza occhiali da sole funziona in meno di mezzo secondo. Al buio arranca, a meno che accanto alla fotocamera ci sia un LED infrarosso. Con la mascherina spesso si arrende, con gli occhiali scuri quasi sempre.
La classe 2 ammette una SAR fino al 20%. Tradotto: nei test di laboratorio fino a un attacco su cinque può passare. Una foto stampata, un video, una maschera di silicone sono attacchi concreti per un sensore che vede solo un’immagine.
Google non nasconde il limite. Nella documentazione di Wallet c’è una riga esplicita: su Pixel 7 e Pixel 7 Pro lo sblocco col volto non è supportato per i pagamenti contactless. Il sensore apre lo schermo, non autorizza una transazione.
3D strutturato, i punti infrarossi di Face ID
Face ID non guarda una foto. Il sistema TrueDepth proietta circa 30.000 punti infrarossi sul viso, ne misura la deformazione e ricostruisce una mappa tridimensionale. Quella mappa non lascia il telefono: resta cifrata dentro il Secure Enclave.
Apple dichiara una probabilità inferiore a 1 su 1.000.000 che una persona a caso sblocchi l’iPhone con Face ID. Per il Touch ID la stima era 1 su 50.000. Dopo cinque tentativi falliti serve il codice.
Funziona al buio completo, con cappelli, sciarpe, occhiali e lenti a contatto. Dall’iPhone 12 in poi riconosce il volto anche con la mascherina. Impara i cambiamenti lenti, come la barba o il trucco e chiede il codice quando il cambiamento è brusco.
Su Android il 3D strutturato è raro perché costa. Il Pixel 4 aveva un proiettore a punti infrarossi, i modelli successivi sono tornati al 2D. Poi con Pixel 8 e 8 Pro Google ha abilitato lo sblocco col volto su pagamenti e app bancarie senza cambiare hardware, rifacendo la certificazione del sensore. La classe dipende dalla valutazione, non solo dal componente.
La strada del miglioramento software continua: lo sblocco col volto sui Pixel 11 funziona meglio anche con poca luce, ed è la prova che il modello conta quanto il sensore.
Iride, la tecnologia che sembrava il futuro
Il riconoscimento dell’iride usa una fotocamera infrarossa e un illuminatore. Scatta l’occhio, estrae il disegno dei solchi e lo confronta con il modello salvato. Funziona al buio, non chiede di togliere gli occhiali, ed è stato per anni il simbolo del telefono sicuro. Il Lumia 950 lo usava con Windows Hello, Samsung lo ha messo su Galaxy S8 e Galaxy S9.
Poi è sparito, per una ragione precisa. Nel 2017 il Chaos Computer Club ha aggirato lo scanner del Galaxy S8 con una foto dell’occhio e una lente a contatto. Bastava stampare l’iride in bianco e nero, appoggiare la lente sulla stampa e avvicinarla al sensore.
L’iride resta solida in teoria, ma ha un difetto pratico: la distanza di lavoro è corta, l’occhio va centrato e il sensore costa. Oggi nessun telefono di fascia alta la usa come metodo principale.
2D, 3D e iride a confronto
Messi in fila, i tre sistemi raccontano una storia semplice: la sicurezza non dipende dalla tecnologia ma da quanto è stato testata.
| Tecnologia | Come legge il volto | Classe tipica | Punto debole |
|---|---|---|---|
| 2D con fotocamera | Immagine RGB e modello software | 2 | Foto, video, maschera, poca luce |
| 3D strutturato | Punti infrarossi e mappa di profondità | 3 | Costo, componenti ingombranti |
| Iride | Fotocamera infrarossa sul pattern dell’occhio | Variabile | Copia con stampa e lente, distanza corta |
| Impronta a ultrasuoni | Onde sonore sullo strato corneo | 3 | Dita bagnate o sporche |
La riga che conta è la terza colonna. Un telefono può avere un sensore eccellente e una certificazione mediocre, o un sensore modesto e una certificazione seria, come è successo ai Pixel 8.
TIP. La tabella vale per il modello che avete in tasca, non per il marchio. Lo stesso produttore usa volto 2D sulla fascia media e impronta a ultrasuoni sulla fascia alta e spesso le due cose convivono sullo stesso telefono.
Quando il volto conviene e quando è un rischio
Il rischio di cui si parla meno non è l’hacker a distanza, è la coercizione. Un PIN lo sapete solo voi, la faccia è sempre lì, esposta e basta puntare il telefono. Chi vi ferma per strada o chi mette le mani sul telefono può ottenere dal vostro viso più di quanto otterreste voi dal suo.
Poi ci sono le condizioni d’uso. Il volto è comodo quando guidate, quando avete i guanti, quando il telefono è sul supporto e non volete digitare. È scomodo al buio, con la mascherina, con gli occhiali da sole e con il casco. L’impronta ha il problema opposto: dita bagnate, sporche o con un cerotto e il sensore non risponde.
La combinazione più sensata è a strati: impronta o volto per l’uso quotidiano, PIN come riserva, blocco app per le applicazioni che contano. Sui sensori sotto il display vale la pena capire la differenza tra sensore di impronta ottico e a ultrasuoni: il primo fotografa il dito, il secondo ne legge la profondità e solo il secondo lavora bene con le dita umide.
Se il telefono ha solo il volto 2D, mettete il PIN sulle app bancarie e non affidate al viso nulla che riguardi soldi. Per chiudere davvero le applicazioni sensibili c’è il blocco app di Android, che chiede il PIN o l’impronta anche a schermo già sbloccato.
Come verificare che tipo di sblocco avete
Non serve un’app di test. Bastano quattro controlli, in ordine di rapidità.
- Aprite Impostazioni > Sicurezza (su Samsung è Sicurezza e privacy, su Xiaomi Blocco schermo e sicurezza). Se il volto compare da solo, senza impronta accanto, siete quasi certamente in classe 2.
- Aggiungete una carta a Google Wallet e provate un pagamento in un negozio. Se il telefono chiede il PIN invece del volto, quel sensore non è di classe 3.
- Aprite un’app bancaria che usa l’autenticazione biometrica. Se tra le opzioni compare solo l’impronta, il volto è classe 2.
- Su iPhone andate in Impostazioni > Face ID e codice: la voce “Face ID con mascherina” indica un TrueDepth dal 12 in poi.
Il secondo controllo è il più affidabile, perché Wallet non può mentire: o il sensore è certificato per le chiavi, o il pagamento chiede il PIN.
Domande frequenti
Lo sblocco col volto si inganna con una foto?
Con un sensore 2D sì, ed è il motivo per cui la classe 2 accetta una SAR fino al 20%. Con un sistema 3D servono una maschera tridimensionale e una preparazione seria, non una stampa. Con l’iride è bastata una foto con una lente applicata sopra, almeno sul Galaxy S8.
Perché la mia banca non mi lascia usare il volto?
Perché l’app chiede un’autenticazione di classe 3 tramite BiometricPrompt e il vostro sensore è di classe 2. Non è una scelta del produttore del telefono: è il livello di garanzia richiesto dall’app.
Il volto funziona al buio?
Il 2D no, a meno che ci sia un illuminatore infrarosso accanto alla fotocamera. Face ID e i sistemi a iride sì, perché lavorano nell’infrarosso e non hanno bisogno di luce visibile.
E con la mascherina o gli occhiali?
Face ID dall’iPhone 12 in poi riconosce il volto con la mascherina. Gli sblocchi 2D di solito no. Gli occhiali da vista non sono un problema per nessuno dei tre sistemi, quelli da sole sì per il 2D.
Cosa succede dopo troppi tentativi falliti?
Un sensore di classe 2 chiede il PIN dopo 3 tentativi sbagliati o dopo 4 ore di inattività. Face ID concede cinque tentativi, poi chiede il codice. La classe 3 può restare attiva fino a 72 ore prima di pretendere il PIN.
Meglio volto o impronta?
Se il volto è 3D o certificato, è comodo e sicuro quanto una buona impronta. Se è 2D, l’impronta a ultrasuoni resta più solida. Averle entrambe è la scelta migliore: il volto per la velocità, l’impronta per le app che chiedono garanzie.