Как функционира плащането чрез NFC?

Плащането чрез NFC ви позволява да плащате, като доближите безконтактна банкова карта, телефон или смартчасовник до съвместим терминал за плащане. NFC осигурява безжичната връзка на късо разстояние, докато чипът на картата, терминалът, платежната мрежа и банката се занимават с самата транзакция.

Едно докосване може да отнеме само секунда, но през това време се извършват няколко стъпки. Платежното устройство установява връзка с терминала, генерира данни за сигурност за транзакцията и изпраща плащането през банковата мрежа за одобрение.

Какво представлява плащането чрез NFC?

NFC (Near Field Communication) е безжична технология с малък обхват, която работи на честота 13,56 MHz. При плащанията тя позволява на платежната карта или мобилното устройство да комуникира с терминала на търговския обект, без да се налага да се поставя в четеца.

EMV Contactless поддържа плащания както с безконтактни чип-карти, така и с мобилни устройства с NFC. Картата или устройството трябва само да се доближат много близо до терминала.

Сред най-разпространените начини за плащане чрез NFC са безконтактните дебитни и кредитни карти, Apple Pay, Google Pay и смартчасовници с функция за плащане.

Самата NFC връзка не осъществява прехвърляне на средства между сметки. Тя осигурява локална комуникационна връзка между платежното устройство и терминала. Останалата част от транзакцията преминава през обичайната платежна инфраструктура.

Как функционира плащането чрез NFC?

Типичната транзакция с безконтактна карта може да бъде разделена на пет етапа.

1. Терминалът активира картата

Първо търговецът въвежда или потвърждава сумата на покупката. След това платежният терминал създава радиочестотно поле около безконтактния си четец.

Физическата безконтактна банкова карта не се нуждае от собствена батерия. Вътрешната ѝ антена улавя енергия от полето на терминала и осигурява достатъчно енергия за работата на чипа.

Ето защо безконтактната карта понякога може да стои неизползвана в портфейла в продължение на години и все пак да осъществи връзка с терминала, когато я докоснете до него.

Телефоните и умните часовници се различават по това, че разполагат със собствен източник на енергия, въпреки че при комуникацията с терминала за плащане все пак използват един и същ безконтактен интерфейс с малък обхват.

2. Картата и терминалът установяват връзка

Веднага щом картата попадне в обхвата на терминала, терминалът и картата започват да комуникират помежду си.

Безконтактните разплащателни карти обикновено използват технология, базирана на стандарта ISO/IEC 14443. Спецификациите на EMV определят как приложението за разплащане и терминалът обменят информацията, необходима за обработката на транзакцията.

Терминалът разпознава налично приложение за плащане и започва EMV транзакцията. В този момент картата прави нещо повече от просто изпращане на запаметения номер на картата.

3. Картата генерира данни за транзакциите

Чипът за плащане съдържа идентификационни данни и криптографска информация, издадени в рамките на системата за разплащателни карти.

По време на транзакция системата използва тези идентификационни данни, за да генерира данни за сигурност, специфични за съответното плащане. Стандартът EMV описва това като еднократен код за сигурност или криптограма. За всяка нова транзакция се генерира нова стойност, вместо да се използва един и същ фиксиран код за сигурност всеки път.

Транзакцията може да включва и информация, предоставена от терминала, като например сумата на покупката и други параметри на транзакцията.

4. Транзакцията се изпраща за одобрение

След като установи връзка с картата, терминалът изпраща плащането във финансовата мрежа.

Опростеният маршрут изглежда така:

Карта или телефон → POS терминал → придобиващ оператор/процесор на плащанията на търговеца → картови мрежи → банка-издател

Банката-издател е банката или финансовата институция, отговорна за картата на клиента.

Той получава информацията за транзакцията и извършва необходимите проверки, за да реши дали плащането трябва да бъде прието. Те могат да включват проверка на валидността на данните за плащане и криптографските данни, както и проверка на състоянието на сметката и транзакцията.

5. Одобрението или отхвърлянето се връща към терминала

Емитентът изпраща своето решение чрез платежната мрежа.

Ако плащането бъде одобрено, POS терминалът потвърждава плащането. Ако бъде отхвърлено, терминалът получава съответния отговор.

Цялата транзакция често приключва в рамките на няколко секунди.

Разплащането между финансовите институции се извършва отделно. Докосването на терминала служи предимно за удостоверяване и оторизиране на транзакцията, а не за незабавно прехвърляне на пари от една банкова сметка директно в сметката на търговеца.

Необходима ли е интернет връзка за плащане чрез NFC?

Самият обмен чрез NFC на късо разстояние не изисква мобилна или Wi-Fi връзка на телефона на клиента. Обикновено обаче терминалът за плащания на търговеца се нуждае от достъп до придобиващия оператор или платежния процесор, за да поиска онлайн оторизация. Някои платежни среди могат да поддържат ограничена офлайн обработка, отложена обработка или обработка от типа „съхранение и препращане“ съгласно конкретни правила.

Какво се съдържа в една безконтактна банкова карта?

Безконтактната дебитна или кредитна карта е специален вид безконтактна смарткарта.

Вътре в пластмасовата карта се намират два важни компонента: защитен чип и антена. Антената обикновено обхваща голяма част от картата, за да може да се свърже с електромагнитното поле, генерирано от терминала.

Чипът съдържа платежното приложение и защитената информация, необходима за извършването на платежни транзакции. Той може да извършва криптографски операции, вместо да функционира като обикновена памет, която може да се чете.

Това обяснява и защо повреждането на антената може да прекъсне безконтактното плащане, дори когато видимите контакти на чипа от предната страна на картата все още функционират. Контактното плащане чрез металните контакти и безконтактното плащане използват различни физически интерфейси за комуникация с чипа.

Така че безконтактната банкова карта е ли NFC карта?

При нормална употреба, да: това е карта, която поддържа NFC/безконтактна комуникация на честота 13,56 MHz. По-точно казано, това е защитена смарткарта за плащания, предназначена за безконтактни транзакции по стандарта EMV, а не обикновен NFC-таг за общо предназначение.

Каква информация се обменя при плащане чрез NFC?

Понякога се казва, че безконтактните карти просто “изпращат данните на картата ви”. Това описание пропуска най-важната част от процеса.

По време на транзакцията може да бъде предадена определена информация за плащането. Например, Visa посочва, че безконтактните ѝ карти могат да предават номера на сметката, датата на валидност и еднократен код, който се променя при всяка транзакция, извършвана на място.

Важното разграничение е между относително статичната информация за сметката и динамичните данни за сигурността на транзакциите.

Информацията за сметката идентифицира платежната сметка. Динамично генерираната криптографска стойност помага на издателя да определи дали транзакцията е извършена с валидни платежни данни за достъп и дали данните за транзакцията са валидни.

Следователно, прихванат безконтактен обмен не предоставя на друго устройство криптограма за многократна употреба, която може просто да бъде представена отново за нова безконтактна транзакция по стандарта EMV. Сигурността е свързана с конкретната транзакция.

Това не означава, че информацията за плащанията трябва да се третира като нечувствителна. Означава, че сигурността на безконтактните EMV плащания не се основава единствено на запазването в тайна на номера на картата.

Как функционират NFC плащанията на телефони и смартчасовници

Телефонът може да осъществи връзка със същия тип терминал за безконтактно плащане, но това не означава непременно, че той предоставя същите данни за плащане като физическата карта, която носите в портфейла си.

Мобилните портфейли често използват токенизация на плащанията.

Когато към Google Pay се добави съвместима карта, например, на устройството може да бъде предоставен токен на устройството, наричан още DPAN или виртуален номер на сметка. Google посочва, че при плащане чрез NFC този токен на устройството се изпраща към терминала вместо действителния основен номер на сметката на картата.

Apple Pay използва подобен подход, специфичен за всяко устройство. Apple посочва, че номерът на акаунта на устройството се съхранява в Secure Element на устройството и се използва заедно с динамични данни за сигурност, специфични за всяка транзакция. Самият номер на платежната карта не се изпраща от устройството по време на транзакция чрез Apple Pay.

Общият начин на плащане все още е познат:

Телефон → NFC терминал за плащане → платежна мрежа → емитент

Това, което се променя, е удостоверението, представяно от устройството.

Телефоните и часовниците също могат да осигуряват проверка на притежателя на картата на ниво устройство. В зависимост от устройството и електронния портфейл, потребителят може да се идентифицира чрез Face ID, пръстов отпечатък, парола или друг одобрен метод, преди да бъдат използвани данните за плащане.

Следователно NFC интерфейсът остава само една част от мобилните плащания. Зад него стоят защитен хардуер, издаване на токени, удостоверяване на потребителя и обработка от платежната мрежа.

За безконтактното плащане винаги ли се изисква ПИН код?

Не. Това дали се изисква ПИН код или друг метод за удостоверяване на титуляра на картата зависи от фактори като сумата на транзакцията, правилата на издателя, конфигурацията на терминала, правилата на платежната мрежа и местните нормативни изисквания. При безконтактна транзакция с карта понякога може да се наложи клиентът да въведе ПИН код. На телефон или смартчасовник успешната биометрична проверка или проверка с парола може да служи като метод за удостоверяване на титуляра на картата чрез потребителско устройство (Consumer Device Cardholder Verification Method), обикновено наричан CDCVM.

Платежни карти с NFC срещу стандартни NFC етикети

Безконтактна банкова карта и стандартна NFC етикет и двете може да работят на честота 13,56 MHz, но възможностите им са много различни.

Стандартните NFC чипове, като NTAG213, NTAG215 и NTAG216, са етикети от тип 2 според стандарта на NFC Forum. Те разполагат с потребителска памет за приложения като интелигентна реклама, взаимодействие с продукти, удостоверяване на автентичност и други NFC функции. Те поддържат NDEF структури на данни, които съвместимите телефони могат да четат.

Например, NTAG213 може да съдържа URL адрес като:

https://example.com/pay/order123

Когато клиентът докосне етикета, телефонът отваря съответната страница и клиентът може да премине към онлайн плащане.

NFC етикетът спомогна за стартирането на процеса на плащане, но самият етикет не е извършил транзакция с банкова карта по стандарта EMV. Той просто предостави данните, които насочиха телефона към платежната услуга.

Същата идея може да се приложи в ресторанти, автомати за самообслужване, опаковки на продукти, системи за събития или други приложения, при които едно докосване трябва да свърже физически обект със страница за онлайн плащане.

Някои организации използват безконтактни карти или устройства и в системи със затворен цикъл, при които идентификационните данни идентифицират акаунт в рамките на собствената платформа на съответната организация. Картите за обществен транспорт, системите в университетските кампуси, системите с предплатени средства и подобни приложения могат да използват по-мощни и сигурни безконтактни чипове. Тези системи обаче не трябва да се бъркат с издаването на обикновена банкова карта, която работи в мрежите на Visa, Mastercard или друга отворена платежна мрежа.

Как се осигурява сигурността на NFC плащанията?

Сигурността при безконтактните плащания се основава на платежните данни за идентификация и криптографския обмен, а не просто на краткото разстояние на четене на NFC.

Криптограми, специфични за дадена транзакция

Транзакциите с EMV чип генерират данни за сигурност за отделните транзакции. EMVCo описва криптограмата като еднократна стойност, която помага на издателя и терминала да удостоверят автентичността на транзакцията.

Ако някой запише една валидна транзакция, тази криптографска стойност не може просто да бъде използвана повторно като валиден криптограм за друга транзакция.

Защитени криптографски ключове

Ключовете, използвани за генериране на валидни криптограми за плащане, са защитени в рамките на данните за достъп за плащане, вместо да се предават открито при всяко четене на картата.

Емитентът или платежната мрежа могат да използват съответната информация, за да проверят криптограмата по време на обработката на транзакцията.

Токенизация на мобилни устройства

Мобилните портфейли добавят още едно ниво на сигурност, като заменят основния номер на сметката на физическата карта с токен за плащане, специфичен за съответното устройство.

И Apple Pay, и Google Pay използват специфични за устройството данни за достъп за поддържаните безконтактни плащания. Затова загубата на данните за достъп на устройството не налага разкриването на оригиналния номер на картата, използвана за зареждане на сметката.

Именно тази комбинация от надеждни идентификационни данни, динамични данни за транзакциите и проверка от страна на издателя е причината, поради която плащанията чрез NFC не трябва да се разглеждат като процес, при който четецът просто сканира банкова карта и се доверява на всеки получен номер.

Къде се използва плащането чрез NFC?

Същият основен процес на безконтактно плащане може да се използва навсякъде, където има съвместим терминал за плащане и съответната инфраструктура за плащания.

Търговските обекти и ресторантите са най-познатите примери. Безконтактните терминали се използват често и в автомати за продажби, паркинг системи, киоски за самообслужване и други точки за плащане без персонал.

Общественият транспорт е друга основна област на приложение. Някои системи приемат обикновени безконтактни банкови карти или мобилни портфейли директно на входа. Те често се наричат системи с „отворена верига“, тъй като се използват съществуващи платежни данни, издадени от банките.

Други системи в областта на транспорта, университетските кампуси, хотелиерството и събитията издават свои собствени карти или удостоверения. Те са затворен цикъл системи, при които операторът управлява удостоверението и свързания с него акаунт.

И двете могат да използват безконтактна технология, но финансовата система, която стои зад това докосване, определя какво всъщност може да прави картата или устройството.

Заключение

NFC осигурява безжичната връзка, която позволява на карта, телефон или смартчасовник да комуникират с терминал за плащания. Чипът за плащания или мобилният портфейл предоставя сигурните идентификационни данни, терминалът предава транзакцията към финансовата мрежа, а издателят решава дали да я одобри.

Това разпределение на ролите е важно и при избора на NFC-технология за даден проект. Програмируемият NFC-таг може да пренасочи клиента към страница за плащане или друга цифрова услуга, докато директното плащане с банкова карта изисква сигурни идентификационни данни и инфраструктурата на специализирана платежна система.