С учетом популярности и распространенности платежных технологий на основе NFC и имитации магнитного сигнала - MST, мы в команде платежного провайдера Fondy , публикуем пост, в котором описан механизм работы этих решений: от точки А (взаимодействия с платежным терминалом) до точки Б (исполнения транзакции).

По результатам выдачи Яндекса, главным вопросом пользователей на тему NFC остается «Что такое NFC и как научиться им пользоваться?». Это сильно контрастирует с тем же Google, где вопрос уже другой. Что такое NFC, там уже знают - NFC там есть в каждом домохозяйстве. Вопрос - как применить то, что дано? Что можно делать, используя NFC? Что делать обычному непродвинутому пользователю с технологией ближнего поля?

Для начала вот список нескольких смарт-устройств, совместимых с NFC: Nexus 6 , Sony Xperia Z3 , iPhone 6 /7, Samsung Galaxy Note 4 , LG G3 , HTC One M9 . Для любителей изучения и сравнения девайсов, вот полный список .

Очень скоро чипы NFC будут встроены в смартфоны всех производителей, и даже фитнес-трекеры будут работать на основе NFC. Apple использует данную технологию в Apple Watch, и уже сейчас вы можете оплатить товары через Apple Pay взмахом руки.

Вот так выглядит считывание карты с чипом EMV:

Для чего был сделан экскурс в EMV? Чтобы наглядно показать, что с появлением NFC почти все предшествующие шаги (действия) должны были быть каким-то образом повторены, реплицированы, перенесены в телефон или другое бесконтактное устройство.

Дальше мы поговорим о том, что такое TSM и SecureElement, которые делают NFC транзакции более безопасными. Ведь если карту не эмулировать в телефоне при помощи HCE (HostCardEmulation), тогда данные нужно где-то хранить. SecureElement как раз занят решением этой задачи.

OTA - удаленное управление элементами безопасности.

TSM - TrustedServiceManager - уникальный посредник, который владеет ключами. Это аппаратно-программный комплекс, предоставляющий технологические отношения между операторами связи и поставщиками услуг.

Ключевые услуги доверенной третьей стороны включают защищенную загрузку и менеджмент контента элемента безопасности, выполняемый при взаимодействии с провайдерами мобильных сервисов. Это могут быть банки, транспортные компании, поставщики и агрегаторы услуг. Удаленное управление приложениями, обычно выполняемое с использованием технологий беспроводной сотовой связи (over-the-air, OTA), включает установку и персонализацию приложений в элементе безопасности мобильного телефона, а также дальнейшее обслуживание установленных приложений на всем протяжении их жизненного цикла, равно как и сервисную поддержку. Подробнее о роли и месте TSM в экосистеме NFC можно прочесть .

SecureElement - безопасный элемент в устройстве NFC - данные, размещенные в кошельке устройства. Это отдельный микропроцессор, отвечающий за безопасное хранение и работоспособность платежных приложений Mastercard Mobile PayPass/VisaPayWave. Либо его делают встроенным (установленным на материнской плате телефона), либо он размещен на отделяемом модуле: UICC SIM-карта/SD карта памяти.

Для более наглядного понимания ежедневного применения TSM-платформы процитируем отрывок из пресс-релиза МТС от 03 марта 2014 года:

«С появлением TSM-платформы снимается последнее инфраструктурное ограничение на пути массового развития в России NFC-сервисов - мы получим связующее звено в экосистеме NFC, единую «точку входа» для быстрого подключения широкого круга поставщиков услуг… Для пользователя наш новый технический комплекс дает возможность быстрой и безопасной загрузки «по воздуху» прямо на SIM-карту электронного образа банковских и транспортных карт, проездных билетов, карт лояльности, пропусков. Скоро абоненту МТС будет достаточно единожды получить в салоне МТС SIM-карту с поддержкой NFC, чтобы в дальнейшем оформлять дубликаты пластиковых банковских карт без визита в банк или покупать проездные билеты, получать скидочные купоны, не обращаясь в точки продаж. И все это уместится в одном смартфоне в окружении дружественного интерфейса с полной информацией обо всех доступных бесконтактных картах».

Сейчас можно сверить часы и посмотреть, насколько оправдались планы. Технологически очень даже оправдались. Воплотить удалось многое.

NFC-чипы уже настолько на слуху, что даже новость об их подкожном вживлении людям уже не новость.

До Евгения Черешнева (2 года назад россиянин вживил себе в руку NFC-биочип, «который позволит открывать двери, хранить данные, расплачиваться в кафе и многое другое») был Мартин Висмейер, известный как MrBitcoin. Он имплантировал два NFC-чипа, чтобы хранить криптовалюту. Московский инженер Влад Зайцев вшил себе чип от московской транспортной карты «Тройка»: теперь с помощью руки он оплачивает проезд в транспорте, а также открывает дверь офиса.

NFC-чипы на фото вшиты в кисти рук. Но есть и другие NFC-устройства, как, например, платежное кольцо: медицинский титан, вшитый чип (режим чтения, поддержка записи, передачи визитных карточек), брелок, стикер, наклеиваемый на гаджет, чехол для смартфонов, NFC-часы - все эти устройства будут поддерживать передачу данных при условии вшитого в них NFC-устройства, которое будет служить для передачи финансовых, либо других информационных данных.

Если раньше для защиты карты и транзакции опирались на шифрование данных на магнитной полосе карты, а потом все надежды были связаны с апплетами самого чипа, то сейчас безопасность платежных транзакций связана с токенизацией. Как NFС технология усилила и одновременно упростила метод передачи данных, так токенизация посредством NFC сильно усилила безопасность карточных транзакций.

Евгений Черешнев, побывавший на TED в Нью-Йорке, опубликовал свои на тему современных биочипов (а NFC-чип, вшитый подкожно, суть биочип) в Facebook.

Человек, успешно проживший с биочипом под кожей более двух лет исходя из своего опыта вводит новый термин «цифровой ДНК». На таком фоне не покажется ли нам уже привычный NFC пережитком и технологическим рудиментом? Впрочем, пока до этого далеко.

Пока важно продолжить работу над безопасностью в сфере финансовых транзакций, в том числе, NFC-транзакций. Токенизация тут незаменимый спутник NFC-транзакций.

Токенизация - это метод защиты данных вашей карты, при котором номер карты (PAN) заменяется на виртуальный (токен), уникальный и случайно сгенерированным набор чисел. Сами токены могут быть как одноразового, так и многоразового использования. Эта технология вытекает из технологии NFC.

Токенизация позволила пользователю привязывать свои карты к мобильным кошелькам, при этом не сообщая интернет-мерчантам реальный номер карты, а подменяя его токенизированным. Таким образом, отправлять транзакции с телефона или оплачивать покупку при помощи телефона, с применением токенизации становится безопасно.

Замена реквизитов платежных карт на случайно выбранные символы/цифры (токены), которые будут сохраняться в базе магазинов, где пользователь совершает оплату, удобна для дальнейших покупок - всего лишь одним нажатием пальца вы совершаете платеж. При этом для каждого интернет-магазина может формироваться свой набор символов. Например, сервис VISAToken сначала работал только на iOS-устройствах (первой платформой для экспериментов стала Apple Pay), однако в дальнейшем токенизация стала поддерживаться и на других NFC-устройствах.

Как происходит обмен данными при использовании токена?

Уже разработан токенизированный платежный шлюз, например, Rambus Bell ID. Он представляет собой софтверную платформу, которая управляет всеми транзакциями, совершенными посредством токенов (ключей), между эмитентами и «многоканальными» провайдерами токенизированных сервисов через единый платежный шлюз. На смену PSP (payment service providers) приходят TSP (tokenized service providers).

Платежная система VISA ввела сервис Visa Token Service для европейских банков. Основной платформой, на которой будет работать VTS, станет Apple Pay. Тем не менее, поддерживать эту систему смогут все устройства с чипом NFC. В 2015 году Mastercard запустила платформу Digital Enablement Express (Express), чтобы ускорить предоставление миллионам покупателей дополнительных возможностей при совершении безопасных электронных платежей. Сервис Express ускоряет процесс цифрового преобразования и токенизации по картам Mastercard через платформу Mastercard Digital Enablement Service (MDES). Эта технология позволит превратить любой аксессуар, гаджет или предмет бытовой техники, в устройство с функцией оплаты.

Платежная система Apple Pay использует NFC. Samsung, выстраивая свою платежную систему, опирается как на технологию NFC, так и на технологию MST (Magnetic Secure Transmission) - магнитно-безопасную передачу. Если в первой принимающие устройства должны быть оснащены NFC-приемником, то MST имитирует передаваемое магнитное поле при помощи индукционной петли, встроенной в устройство, что и создает магнитное поле, легко считываемое MAG - терминалом, как если бы была совершена обыкновенная карточная транзакция.

По информации рынка, обе технологии страдают от невнимания пользователей. Если NFC-транзакции страдают от того, что только 10% терминалов оснащены одноименным приемником, то с MST картина хоть и лучше, но тоже странная: вероятно, что до 10% принимающих устройств не смогут считывать MST-транзакции. Между тем, как первая, так и вторая технологии вполне надежны: обе используют токенизацию и берегут номер карты от чужих глаз, обе поддерживают NFC для передачи информации по карте. Samsung сделал шаг на опережение, предложив MST, но пользователь слишком ленив и консервативен, чтобы оценить это сейчас по достоинству. Добавить метки

Вы наверняка что-то слышали о бесконтактных платежных системах, с помощью которых можно пользоваться смартфоном вместо банковской карты. А еще вам могут быть известны увлекательные рассказы о том, как грабители, вооруженные терминалами оплаты, ловко уводят деньги буквально из карманов зазевавшегося пользователя. Мы вместе с экспертами AlfaLab решили ответить на самые частые вопросы по этой теме, а заодно разобраться, помогает ли обертка из фольги уберечь деньги от карманников.

Раньше я проводил магнитной полоской, потом совал ее внутрь, теперь вот достаточно коснуться. В чем разница вообще?

Разница в технологии передачи данных. Когда вы проводите картой, терминал считывает информацию с магнитной полосы. Это такой «односторонний» вариант общения карты с терминалом, поэтому всю работу по проверке данных, шифрованию и прочим прелестям терминал берет на себя. Если карту надо вставить в терминал, значит, она работает как флешка, то есть в ней есть чип (по сути, маленький компьютер).

Он уже активно вовлечен в «диалог» с терминалом, и его при желании можно даже перепрограммировать (теоретически можно даже записать одновременно и приложение Visa , и MasterCard ). Наконец, бесконтактная карта тоже содержит чип, только считывается он уже не как флешка, а при помощи технологий RFID (radio-frequency identification ) и ее разновидности NFC (near-field communication ). Вкратце эта технология основана на взаимодействии двух индукционных катушек, то есть на ближнем магнитном поле. Чтобы ей нормально функционировать, карта и терминал должны быть очень близко друг от друга, обычно в пределах пяти сантиметров.

NFC из всех беспроводных технологий считается одной из самых устойчивых к «подслушиванию», уж больно близко надо подкрасться. Сравнить можно с альтернативами вроде Wi-Fi и Bluetooth, которые работают на существенно бóльших расстояниях и довольно легко подвергаются прослушиванию, если канал не зашифровать. Именно поэтому банки, да и вообще многие сервисы так старательно рекомендуют вам не вводить пароли и другую важную информацию вроде данных кредитки, если вы подключились к открытой сети.

Скажу как эксперт, что за годы работы ни разу не сталкивался со случаями краж денег с карт через NFC. Мне вообще кажется, что все эти люди в метро с терминалами просто везут эти терминалы заказчикам. Важно понимать, что терминал нельзя так просто взять - он должен быть зарегистрирован, подключен, ловить сеть, на него должен быть открыт счет, а организация, на которую открыт счет, должна пройти проверку службы безопасности банка. И это все затем, чтобы ходить по метро, прислоняться и снимать суммы меньше 1000 рублей. Можно прикинуть, что такой инновационный цифровой способ кражи по всем параметрам - издержки, риски, эффективность - проигрывает аналоговым карманным кражам.

Я подношу телефон, а деньги списываются с карты. Как так?

Во-первых, если вы можете так делать, значит, в вашем телефоне тоже есть NFC-устройство. Во-вторых, работа связки «телефон-карта» осуществляется благодаря крутым системам ApplePay и SamsungPay , позволяющим заменить реальный номер вашей карты на некий аналог под названием Device Account Number . Почему мы считаем, что это круто? Допустим, вы очень бережно храните свою карту, нигде ее не светите, и банк, разумеется, еще бережнее следит за вашими данными. А вот промежуточное звено - продавец - делает вас уязвимым, так как продавцов много и за всех ни вы, ни банк ручаться не можете. Если вы платите картой с магнитной полосой, то ваши данные остаются у продавца (на случай возврата, например), что не есть хорошо. В случае с оплатой по телефону продавец получает только Device Account Number , с которым без вашего телефона он при всем желании сделать ничего не сможет.

Вот что говорит по этому поводу наш эксперт Егор Салтыков, аналитик департамента аудита защищенности Digital Security : «С точки зрения банковских продуктов, бесконтактные карты менее предпочтительны, чем смартфоны, поскольку они постоянно являются рабочими, а не задействуют свой функционал по требованию клиента. Касательно NFC-карт в целом, подобную технологию можно считать вполне безопасной, так как последние ревизии бесконтактных карт используют более надежные методы шифрования и хранения данных. Однако не стоит забывать, что если, как в случае с метрополитеном, необходимо поддерживать более старые версии карт, в которых еще существуют уязвимые к атакам протоколы, то лучше задуматься о своевременном обновлении «карточного парка», чтобы предотвратить возможные инциденты».

Кстати, если вы вдруг переживали из-за того, что, подключая карту к смартфону, могли по неосторожности слить свои данные, то имейте в виду, что в Apple ничего про вашу карту не знают: после того как вы авторизовали ее в ApplePay , компании остается лишь получить у банка Device Account Number , привязать его к вашей карте и передать на ваш телефон. После этого все транзакции включают только вас, платежную систему (Visa , MasterCard ) и банк, а Apple достается только статистика. С Samsung все обстоит похожим образом, так что не переживайте.

А если списывают деньги, то могут еще чего-то своровать? Фотки например?

Если коротко, то нет, не могут, но есть нюанс. Конечно, существуют технологии передачи фотографий, ссылок и прочего на основе NFC: Android Beam и S-Beam для устройств Samsung . Они очень надежные, так как, опять же, в отличие от Bluetooth и Wi-Fi , которые народ у нас любит оставлять открытыми и включенными, NFC еще и требует близкого контакта двух устройств. Но эти технологии обмена данными никак не связаны с платежной системой. Так что в итоге - нет, если кто-то и попытается украсть ваши финансы, ухватить «заодно» еще и фотографии у него не получится.

Гипотетически, я могу придумать единственный способ, как NFC может быть опасно. Кто-то должен собрать устройство, которое считает данные с чипа - это будет номер карты, срок действия и специальный CVV (он отличается от CVV карты, это специальный код, только для бесконтактных операций). Дальше человеку придется изготовить карту, причем это будет карта с магнитной лентой, потому что чипированные карты так просто не сделать. С этой картой надо ехать либо в Азию, либо в США (там распространены карты с лентами), где можно попытаться с помощью этой карты что-то купить или снять деньги. Это при том, что любой нормальный банк такую операцию заблокирует - в запросе будет не тот CVV. Еще есть опция купить что-то в интернете, где не требуются ни CVV, ни SMS-код, но такие операция легко оспариваются у банка. В общем, не очень понятно.

Алексей Голенищев, директор дирекции мониторинга электронного бизнеса Альфа-Банка

Вот несу я карту в кармане, а тут раз - и кто-то провел терминалом. И все, денежки тю-тю?

Скажем так, возможность взлома в принципе существует . Но это не значит, что вот так просто, потерев терминал о ваш карман, можно украсть деньги. Даже бабушки, когда подносят сумки к терминалам, чтобы заплатить за проезд, должны поднести к считывающему устройству конкретное место сумки, прислонить и некоторое время подержать. То есть не все так просто.

Одна из теоретических возможностей - это атака посредника . Делается это так: один из злоумышленников (Вася) должен с передатчиком в руке дежурить у терминала, который принимает бесконтактные карты (у автомата с шоколадками, например), а другой (Петя) - дежурить с устройством для считывания RFID-меток возле вашего кармана. Напомним, что дистанция считывания для таких карт даже в лабораторных условиях составляет ну от силы сантиметров десять.

Весь процесс будет напоминать эстафету: Вася должен получить запрос от автомата с шоколадками, быстро передать его по интернету Пете, который в этот момент должен передать сигнал вашей карте (которая в кармане, как мы помним), а потом все в обратном порядке, и так до тех пор, пока транзакция не подтвердится. Так что, заметив в десяти сантиметрах от своего кармана с картой таинственного незнакомца со считывающим устройством, поинтересуйтесь, что он покупает - «Марс» или «Сникерс». Кстати, на что-то более дорогое злоумышленнику лучше не рассчитывать, потому что для покупки свыше определенной суммы (около 1000 рублей) ему придется ввести PIN.

Помогает ли защитить карту фольга? В шапочки из фольги я, если что, не верю.

Как ни странно - да, помогает. Если вы беспокоитесь за кражу по «шоколадному» сценарию, то оборачивание в фольгу, специальные кошельки и кейсы действительно полностью заблокируют вашу карту от внешнего считывания.

А нельзя собрать какую-нибудь электромагнитную пушку, чтобы деньги с метрового расстояния воровать?

Для NFC-девайсов (телефона и банковских карт) нельзя, так как они работают на эффекте ближнего поля : на больших расстояниях поле катушки слишком быстро затухает. Тем не менее, с небольшого расстояния считать информацию вполне можно, через карман или конверт, например. Поэтому первое поколение бесконтактных карт, в чипы которых закладывалось много незашифрованной информации (имя владельца в том числе) признали уязвимым и быстро исправили, добавив в числе прочего шифрование. В самом крайнем случае, даже если вашу карту украли, ее не получится использовать для нескольких покупок, так как для каждой операции создается уникальный код. Ну и не забывайте, что для больших покупок все еще требуется PIN.

Если телефон и карточку носить вместе - она не размагнитится?

Нет, вот тут точно можно не переживать. Бесконтактные карты работают не на магнитной полосе, а на встроенном чипе. Он активируется только в тот момент, когда его считывают таким же NFC-совместимым устройством. Все остальное время это просто очень маленькая флешка.

Что лучше - карта или телефон?

На вкус и цвет, конечно, но в целом смартфон лучше. Безопаснее - точно, так как, во-первых, вы нигде не светите данные своей карты, а во-вторых, оплата с помощью смартфона требует дополнительного шага авторизации - отпечатка пальца. Мы попросили нашего эксперта прокомментировать, насколько эта мера важна, да и где вообще проходит грань между удобством и безопасностью:

«Нет смысла запрашивать PIN или подпись (если речь идет о карте) при покупке продуктов в супермаркете, когда банк знает, что это происходит каждый день приблизительно в одно и то же время. С другой стороны, впервые совершенная оплата в ресторане Парижа должна насторожить банк и быть проведена с максимальным «недоверием» к клиенту, чтобы убедиться, что ее осуществляет владелец карточного счета.

С точки зрения бесконтактной оплаты, карта или телефон равнозначны, оба способа удобны, в обоих способах есть лимиты на оплату по картам. Однако, карта активна все время и для оплаты покупок ниже уровня лимита PIN-код не требуется, чем теоретически могут воспользоваться мошенники (например, в транспорте, прикладывая PoS-терминалы к сумкам и карманам пассажиров). Таким образом, безопаснее использовать дополнительные средства проверки пользователя, который оплачивает покупку, в частности, с помощью считывателя пальца в смартфоне».

А от себя добавим, что главное, если уж вы решите заворачивать что-то в фольгу, то пусть это лучше будет карта, а не голова.

Тарас Молотилин

NFC карты – интересное новшество, позволяющее расплачиваться за осуществленную покупку без контакта платежной карточки с терминалом. Необходимо только поднести карту на расстояние 2-5 см от терминала и оплата за приобретенный товар либо услугу поступит на нужный счет.

Но ходят слухи, что бесконтактные платежи помогают не только с удобством тратить деньги, но и без труда их зарабатывать. Стоит только поднести сканер к карте Paypass человека, находящегося в непосредственной близости к вам и неплохой заработок гарантирован. Вот только не может ли ваш приятель тем же способом вернуть свои деньги с процентами? Конечно, нет! Где взять такой сканер обычному человеку?

Когда речь идет о том, насколько безопасны бесконтактные карты PayWave сегодня, представители банков России всегда говорят о том, что случаев, когда средства со счета были украдены, еще не наблюдалось. Это действительно так. Но связана ли такая утешительная статистика с высоким уровнем безопасности бесконтактных карт, или же с тем, что пока бесконтактные способы оплаты не слишком распространены для мошенников не слишком выгодно подвергаться риску и прибегать к помощи дорогостоящих технологий? Попробуем разобраться в этом вопросе.

Как защитить деньги на бесконтактной карте

Услуга бесконтактной оплаты минимизирует контакт денежных средств либо карты с продавцами и прочими людьми, благодаря чему денежные средства с карты NFC невозможно украсть стандартными способами. Некоторые специалисты в области финансов и компьютерных технологий сегодня смело называют карточки для безналичного расчета самым безопасным способом хранения денежных средств и оплаты услуг.

Карта NFC защищена на нескольких уровнях. Для безопасности финансов используются:

1. Микрочип, который, как говорят, невозможно воссоздать вне производственных условий.
2. Смена номера транзакции при каждой оплате, что не дает возможности программистам-мошенникам настроиться на нужную волну для осуществления кражи.
3. Лимит на снятие средств в 1000 рублей. Если же вы желаете приобрести более дорогой товар, нужно будет по старинке, контактным способом ввести защитных код и оставить свою подпись на чеке.
4. Защитный чехол, который обезопасит вашу карту от случайных незапланированных произведений платежей. Если сравнивать все перечисленные методы защиты и учитывать даже те факторы, о которых мы будем еще говорить, то чехол – самый идеальный вариант, позволяющий свести риск потери денег к нулю (при условии, что рядом не окажется человека готового его снять). Специальные чехлы, которые выдаются в банках вместе с картой, закрывают собой микрочип для произведения оплат. Вот и весь секрет успеха.

Также среди методов защиты называют тот фактор, что оплатить услугу с помощью бесконтактной карты можно только на очень близком расстоянии, но я не стала вносить этот аргумент в общий список защитных средств в силу его сомнительности. Существуют сведения о том, что гении технологий уже разработали сканер, который считывает средства с бесконтактных карт на расстоянии 80 сантиметров, то есть обычной социальной зоны. Стоит только человеку забыть один раз положить свою карту в защитный чехол и он уже рискует потерять до 999 рублей (т.к. лимит большей суммы не пропустит) честно заработанных денег во время обычной прогулки либо поездки в метро. Чтобы избежать таких эксцессов, сотрудники банков рекомендуют подключать услугу мобильного банкинга, чтобы быть предупрежденным о всякой операции начисления и снятия денег со счета. Но вот только как поможет смс с уведомлением о снятии денег в переполненном вагоне метро?

Также интересным является способ кражи через мобильное приложение. В качестве вируса на телефон может быть загружена программа, позволяющая соединить ваш смартфон с устройством злоумышленника, и как только карта окажется с непосредственной близости от телефона, мошеннику останется лишь поднести свое устройство к терминалу для оплаты. Представители банков утверждают, что такие операции очень легко отслеживаются, а потому глупо со стороны вора будет идти на такой риск.

Удачным ли окажется применение бесконтактных банковских карт на практике покажет только время. Но уже сегодня можно сказать, что технологии развиваются довольно быстро. Так, к примеру, пользователи айподов и смартфонов уже могут расплачиваться с помощью телефона и систем Apple Pay и Samsung Pay. Также представители некоторых банков говорят о возможности выпуска специальных украшений и наручных часов, которыми можно будет осуществлять платежные операции. А бесконтактные карты – это уже почти вчерашний день…

---