Los certificados de cliente son su mejor opción: permiten que el iPad demuestre su identidad sin transmitir la parte confidencial (la clave privada). Incluso si se toca la red, se rompe HTTPS o se compromete el servidor de destino, el atacante no podrá robar la clave. También es transparente y ni siquiera se ve la autenticación, todo sucede en segundo plano durante la negociación de TLS.
Las tarjetas inteligentes serían una buena idea para proteger aún más la clave privada (si el iPad está comprometido, la clave aún podría filtrarse) pero iOS no tiene soporte para ellas actualmente.
Puedes agregar autenticación de dos factores además de TOTP para mayor seguridad si tu amenaza modelo lo requiere.
La biometría agrega poca seguridad, ya que no se puede cambiar si está comprometida (y dado que dejamos nuestras huellas dactilares en todas partes, es bueno suponer que realmente están comprometidas), por no mencionar que es bastante difícil de lograr en iOS, ya que no hay soporte incorporado para él (Touch ID solo puede ser utilizado por aplicaciones, no sitios web, y solo autentica al usuario en el iPad; no habría forma de enviar los datos de las huellas dactilares al servidor para su verificación).