TouchId si lokálně uloží do svého chrobáka jen hash otisku prstu. Aplikacím, kterým pak povolíte přístup, vrací jen binární informaci "Otisk přijat", "Otisk nepřijat". Nic víc to neumí. Zbytek obstarává aplikace. Ta si může heslo uložit lokálně například šifrovaně do keychainu. Změnu takového hesla pak obsará opět ta app. Systém, respektive TouchId s tím nemá nic do činění.