Leggere i materiali biometrici degli utenti e archiviarli in un database SQLite sembra un uso sospetto della biometria su Android. Normalmente un bel po' di misure di sicurezza vengono utilizzate per raccogliere il materiale biometrico di un utente su Android. Sui dispositivi Android approvati, nessuna app di terze parti può leggere il materiale biometrico di un utente. Il modo in cui funziona è che l'app di terze parti ottiene la conferma dal Framework che effettivamente l'utente registrato sul dispositivo è lo stesso utente che si è appena autenticato.
Normalmente funziona così:
-
L'utente ha registrato i propri materiali biometrici con il dispositivo di solito tramite le Impostazioni del dispositivo:questo è gestito in modo sicuro dall'implementazione del dispositivo/OEM.
-
Qualche tempo dopo, un'app di terze parti desidera che un utente si autentichi utilizzando i dati biometrici.
-
L'app trasmette il desiderio dell'utente al Framework.
-
Il framework gestisce l'autenticazione. L'utente, nel caso della biometria delle impronte digitali, tocca la propria impronta digitale sul sensore e il sensore verifica se la nuova impronta digitale corrisponde a un modello preregistrato.
-
Il framework dice all'app di terze parti che l'impronta digitale corrisponde al modello che è stato registrato con il dispositivo oppure no, questa impronta digitale non viene riconosciuta. Ma in nessun momento il materiale biometrico di un utente stesso viene condiviso con un'app di terze parti o autorizzato a lasciare il dispositivo.
Quindi... sì, il tuo caso d'uso sembra sospetto.
Puoi trovare maggiori informazioni sull'implementazione consigliata qui.
