配备触控 ID 的妙控键盘

配备触控 ID 的妙控键盘（以及配备触控 ID 和数字小键盘的妙控键盘）在可与任何搭载 Apple 芯片的 Mac 配合使用的外接键盘中提供了触控 ID 传感器。配备触控 ID 的妙控键盘担当生物识别传感器的角色；其不会储存生物识别模板、执行生物识别匹配或强制实施安全性策略（例如，在 48 小时内未解锁后必须输入密码）。配备触控 ID 的妙控键盘中的触控 ID 传感器在可使用前必须与 Mac 上的安全隔区安全配对，然后安全隔区会以与对待内建触控 ID 传感器相同的方式来执行注册和匹配操作以及强制实施安全性策略。Apple 会在出厂前对 Mac 附带的配备触控 ID 的妙控键盘执行配对过程。配对还可由用户按需执行。一个配备触控 ID 的妙控键盘一次仅可与一台 Mac 安全配对，但一台 Mac 最多可与五个不同的配备触控 ID 的妙控键盘保持安全配对。

配备触控 ID 的妙控键盘与内建触控 ID 传感器相兼容。如果已在 Mac 内建触控 ID 传感器上注册的指纹出现在配备触控 ID 的妙控键盘上，则 Mac 中的安全隔区会成功通过匹配，反之亦然。

为支持 Mac 安全隔区与配备触控 ID 的妙控键盘安全配对和通信，键盘配备了公钥加速器 (PKA) 硬件块以提供证明，并配备了基于硬件的密钥以执行必要的加密过程。

安全配对

在可用于触控 ID 操作前，配备触控 ID 的妙控键盘需要与 Mac 安全配对。为了配对，Mac 上的安全隔区与配备触控 ID 的妙控键盘中的 PKA 块交换公钥（植根于受信任的 Apple CA），然后它们使用由硬件持有的证明密钥和临时 ECDH 来安全证明其身份。在 Mac 上，此数据受安全隔区保护；在配备触控 ID 的妙控键盘上，此数据受 PKA 块保护。安全配对后，Mac 与配备触控 ID 的妙控键盘之间交换的所有触控 ID 数据都会使用 AES-GCM 加密（密钥长度为 256 位），并且临时 ECDH 密钥使用基于已储存身份的 NIST P-256 曲线。有关以无线模式使用键盘的更多信息，请参阅蓝牙安全性。

配对的安全意图

若要首次执行某些触控 ID 操作，如注册新指纹，用户必须手动确认其要将配备触控 ID 的妙控键盘和 Mac 搭配使用的意图。若要手动确认意图，可在用户界面提示时按下两次 Mac 电源键，或使用之前已通过 Mac 注册的指纹成功匹配。有关更多信息，请参阅安全意图和与安全隔区的连接。

Apple Pay 交易可通过触控 ID 匹配进行认证，还可以通过输入 macOS 用户密码和以及在配备触控 ID 的妙控键盘上按下两次触控 ID 按钮进行认证。后者可让用户手动确认意图，甚至无需触控 ID 匹配。