Hvordan fungerer NFC-betaling?

Med NFC-betaling kan du betale ved at holde et kontaktløst bankkort, en telefon eller et smartwatch tæt på en kompatibel betalingsterminal. NFC står for den trådløse forbindelse på kort afstand, mens kortchippen, terminalen, betalingsnetværket og banken står for selve transaktionen.

Et tryk tager måske kun et sekund, men i løbet af den tid foregår der flere trin. Betalingsenheden kommunikerer med terminalen, genererer sikkerhedsdata til transaktionen og sender betalingen via banknettet til godkendelse.

Hvad er NFC-betaling?

NFC, eller Near Field Communication, er en trådløs teknologi med kort rækkevidde, der fungerer ved 13,56 MHz. I forbindelse med betalinger gør den det muligt for et betalingskort eller en mobilenhed at kommunikere med en betalingsterminal uden at blive indsat i læseren.

EMV Contactless understøtter betalinger fra både kontaktløse chipkort og NFC-kompatible mobilenheder. Kortet eller enheden skal blot holdes helt tæt på terminalen.

Blandt de mest udbredte NFC-betalingsmetoder er kontaktløse betalingskort og kreditkort, Apple Pay, Google Pay samt smartwatches med betalingsfunktion.

Selve NFC-forbindelsen overfører ikke penge mellem konti. Den fungerer som den lokale kommunikationsforbindelse mellem betalingsenheden og terminalen. Resten af transaktionen foregår via den normale betalingsinfrastruktur.

Hvordan fungerer NFC-betaling?

En typisk kontaktløs korttransaktion kan inddeles i fem faser.

1. Terminalen aktiverer kortet

Forhandleren indtaster eller bekræfter først købsbeløbet. Betalingsterminalen opretter derefter et radiofrekvensfelt omkring sin kontaktløse læser.

Et fysisk kontaktløst bankkort behøver ikke sit eget batteri. Dets indbyggede antenne opfanger energi fra terminalens felt og leverer strøm nok til, at chippen kan fungere.

Derfor kan et kontaktløst kort nogle gange ligge ubrugt i en tegnebog i årevis og alligevel kommunikere med en terminal, når man holder det op mod den.

Mobiltelefoner og smarture adskiller sig fra hinanden, fordi de har deres egen strømkilde, selvom de stadig bruger den samme kontaktløse grænseflade med kort rækkevidde, når de kommunikerer med betalingsterminalen.

2. Kortet og terminalen etablerer forbindelse

Så snart kortet kommer inden for terminalens felt, begynder terminalen og kortet at kommunikere med hinanden.

Kontaktløse betalingskort anvender typisk teknologi baseret på ISO/IEC 14443. EMV-specifikationerne fastlægger derefter, hvordan betalingsapplikationen og terminalen udveksler de oplysninger, der er nødvendige for at gennemføre transaktionen.

Terminalen identificerer en tilgængelig betalingsapplikation og indleder EMV-transaktionen. På dette tidspunkt gør kortet mere end blot at sende et gemt kortnummer.

3. Kortet genererer transaktionsdata

Betalingschippen indeholder legitimationsoplysninger og kryptografiske oplysninger, der er udstedt som en del af betalingskortsystemet.

Under en transaktion bruger systemet disse legitimationsoplysninger til at generere sikkerhedsdata, der er specifikke for den pågældende betaling. EMV beskriver dette som en engangssikkerhedskode eller et kryptogram. Der genereres en ny værdi til hver ny transaktion i stedet for at anvende den samme faste sikkerhedskode hver gang.

Transaktionen kan også omfatte oplysninger fra terminalen, såsom købsbeløbet og andre transaktionsparametre.

4. Transaktionen sendes til godkendelse

Efter at have kommunikeret med kortet sender terminalen betalingen videre til det finansielle netværk.

En forenklet fremgangsmåde ser således ud:

Kort eller telefon → POS-terminal → forhandlerens indløser/betalingsformidler → kortnetværk → udstedende bank

Den udstedende bank er den bank eller det finansielle institut, der er ansvarlig for kundens kort.

Den modtager transaktionsoplysningerne og foretager de nødvendige kontroller for at afgøre, om betalingen skal godkendes. Dette kan blandt andet omfatte validering af betalingsoplysningerne og de kryptografiske data samt kontrol af konto- og transaktionsstatus.

5. Godkendelsen eller afvisningen sendes tilbage til terminalen

Udstederen sender sin afgørelse tilbage via betalingsnetværket.

Hvis betalingen godkendes, bekræfter POS-terminalen betalingen. Hvis den afvises, modtager terminalen i stedet det tilhørende svar.

Hele transaktionen er ofte afsluttet på få sekunder.

Afregningen af pengene mellem de finansielle institutioner foregår separat. Når man trykker på terminalen, handler det primært om at godkende og autorisere transaktionen, snarere end at overføre penge øjeblikkeligt fra en bankkonto direkte til forhandlerens konto.

Kræver NFC-betaling en internetforbindelse?

Selve NFC-udvekslingen på kort afstand kræver ikke en mobil- eller Wi-Fi-forbindelse på kundens telefon. En typisk betalingsterminal hos en forhandler skal dog have adgang til indløseren eller betalingsformidleren for at kunne anmode om online-godkendelse. Visse betalingsmiljøer understøtter muligvis i begrænset omfang offline-, udskudt eller »store-and-forward«-behandling i henhold til specifikke regler.

Hvad findes der inde i et kontaktløst bankkort?

Et kontaktløst betalings- eller kreditkort er et specielt kontaktløst smartkort.

Inde i plastkortet findes der to vigtige komponenter: en sikker chip og en antenne. Antennen løber normalt rundt om en stor del af kortet, så den kan opfange det elektromagnetiske felt, der genereres af terminalen.

Chippen indeholder betalingsapplikationen og de beskyttede oplysninger, der er nødvendige for betalingstransaktioner. Den kan udføre kryptografiske operationer i stedet for blot at fungere som en simpel, læsbar hukommelse.

Dette forklarer også, hvorfor en beskadiget antenne kan forhindre kontaktløs betaling, selvom de synlige chipkontakter på forsiden af kortet stadig fungerer. Kontaktbetaling via metalkontakterne og kontaktløs betaling bruger forskellige fysiske grænseflader til at kommunikere med chippen.

Er et kontaktløst bankkort så et NFC-kort?

Til almindelig brug, ja: Det er et kort, der understøtter NFC/kontaktløs kommunikation ved 13,56 MHz. Mere præcist er det et sikkert betalings-smartkort, der er udviklet til kontaktløse EMV-transaktioner, og ikke et NFC-tag til generelle formål.

Hvilke oplysninger udveksles under en NFC-betaling?

Man hører nogle gange, at kontaktløse kort blot “sender dine kortoplysninger”. Den beskrivelse udelader den vigtigste del af processen.

Visse betalingsoplysninger kan overføres under transaktionen. Visa oplyser for eksempel, at deres kontaktløse kort kan overføre kontonummeret, udløbsdatoen og en engangskode, der ændres ved hver transaktion, der foretages i butikken.

Den vigtige skelnen går mellem relativt statiske kontooplysninger og dynamiske sikkerhedsdata vedrørende transaktioner.

Kontooplysningerne identificerer betalingskontoen. Den dynamisk genererede kryptografiske værdi hjælper udstederen med at afgøre, om transaktionen stammer fra gyldige betalingsoplysninger, og om transaktionsdataene er gyldige.

En opfanget kontaktløs transaktion giver derfor ikke en anden enhed adgang til et kryptogram, der kan genbruges og blot fremvises igen i forbindelse med en ny kontaktløs EMV-transaktion. Sikkerhedsværdien er knyttet til den enkelte transaktion.

Det betyder ikke, at betalingsoplysninger skal betragtes som ikke-følsomme. Det betyder, at sikkerheden ved kontaktløs EMV-betaling ikke udelukkende bygger på, at kortnummeret holdes hemmeligt.

Sådan fungerer NFC-betalinger på mobiltelefoner og smartwatches

En telefon kan kommunikere med den samme type kontaktløs betalingsterminal, men den fremviser ikke nødvendigvis de samme betalingsoplysninger som det fysiske kort, der ligger i din tegnebog.

Mobile tegnebøger benytter sig ofte af tokenisering af betalinger.

Når et kompatibelt kort f.eks. tilføjes til Google Pay, kan der tildeles et enhedstoken – også kaldet et DPAN eller et virtuelt kontonummer – til enheden. Google oplyser, at dette enhedstoken sendes til terminalen i stedet for kortets egentlige primære kontonummer under en NFC-betaling.

Apple Pay anvender en lignende enhedsspecifik tilgang. Apple oplyser, at et enhedskontonummer gemmes i enhedens Secure Element og anvendes sammen med transaktionsspecifikke dynamiske sikkerhedsdata. Det egentlige betalingskortnummer sendes ikke fra enheden under en Apple Pay-transaktion.

Den generelle betalingsvej er stadig den samme:

Telefon → NFC-betalingsterminal → betalingsnetværk → kortudsteder

Det, der ændrer sig, er den legitimation, som enheden fremlægger.

Mobiltelefoner og ure kan også tilbyde verifikation af kortindehaveren på enhedsniveau. Afhængigt af enheden og den digitale tegnebog kan brugeren godkende sig selv med Face ID, et fingeraftryk, en adgangskode eller en anden godkendt metode, inden betalingsoplysningerne anvendes.

NFC-grænsefladen udgør derfor kun en del af mobilbetalingen. Bagved ligger sikker hardware, udstedelse af tokens, brugergodkendelse og behandling i betalingsnetværket.

Kræver kontaktløs betaling altid en PIN-kode?

Nej. Om der kræves en PIN-kode eller en anden metode til verifikation af kortindehaveren, afhænger af faktorer såsom transaktionsbeløbet, udstederens regler, terminalens konfiguration, betalingsnetværkets regler og lokale bestemmelser. En kontaktløs korttransaktion kan i nogle tilfælde kræve, at kunden indtaster en PIN-kode. På en telefon eller et smartwatch kan en vellykket biometrisk verifikation eller verifikation via adgangskode fungere som en verifikationsmetode for kortindehaveren via forbrugerenhed (Consumer Device Cardholder Verification Method, ofte kaldet CDCVM).

NFC-betalingskort kontra almindelige NFC-tags

Et kontaktløst bankkort og et standardkort NFC tag De kommunikerer måske begge på 13,56 MHz, men deres funktioner er meget forskellige.

Standard-NFC-chips som f.eks. NTAG213, NTAG215 og NTAG216 er NFC Forum Type 2-tags. De har brugerhukommelse til applikationer som f.eks. smart reklame, produktinteraktion, autentificering og andre NFC-oplevelser. De understøtter NDEF-datastrukturer, som kompatible telefoner kan læse.

En NTAG213 kan for eksempel indeholde en URL som f.eks.:

https://example.com/pay/order123

Når en kunde trykker på mærket, åbner telefonen den pågældende side, og kunden kan fortsætte til onlinekassen.

NFC-tagget har været med til at igangsætte betalingsprocessen, men selve tagget har ikke gennemført en EMV-bankkorttransaktion. Det har blot leveret de data, der har dirigeret telefonen til betalingstjenesten.

Den samme idé kan anvendes i restauranter, ubemandede kiosker, produktemballage, eventsystemer eller andre anvendelsesområder, hvor et tryk skal forbinde et fysisk objekt med en online betalingsside.

Nogle organisationer bruger også kontaktløse kort eller enheder i lukkede systemer, hvor adgangsoplysningerne identificerer en konto inden for organisationens egen platform. Rejsekort, campussystemer, forudbetalte systemer og lignende anvendelser kan benytte mere avancerede, sikre kontaktløse chips. Disse systemer bør dog ikke forveksles med udstedelse af et almindeligt bankkort, der fungerer på tværs af Visa, Mastercard eller et andet åbent betalingsnetværk.

Hvordan sikres NFC-betalinger?

Sikkerheden ved kontaktløse betalinger bygger på betalingsoplysningerne og den kryptografiske udveksling, ikke blot på NFC’s korte læseafstand.

Transaktionsspecifikke kryptogrammer

EMV-chiptransaktioner genererer sikkerhedsdata for de enkelte transaktioner. EMVCo beskriver kryptogrammet som en engangsværdi, der hjælper udstederen og terminalen med at autentificere transaktionen.

Hvis nogen registrerer én gyldig transaktion, kan den pågældende kryptografiske værdi ikke blot genbruges som det gyldige kryptogram for en anden transaktion.

Beskyttede kryptografiske nøgler

De nøgler, der bruges til at generere gyldige betalingskryptogrammer, er beskyttet i betalingsoplysningerne og overføres ikke i klartekst, hver gang kortet læses.

Udstederen eller betalingsnetværket kan anvende de relevante oplysninger til at verificere kryptogrammet under transaktionsbehandlingen.

Tokenisering på mobile enheder

Mobiltegnebøger tilføjer et ekstra sikkerhedslag ved at erstatte det fysiske korts primære kontonummer med et enhedsspecifikt betalingstoken.

Både Apple Pay og Google Pay bruger enhedsspecifikke betalingsoplysninger til understøttede kontaktløse betalinger. Hvis man mister enhedens betalingsoplysninger, er det derfor ikke nødvendigt at afsløre det oprindelige kortnummer, der blev brugt til at oplade kontoen.

Det er netop denne kombination af sikre legitimationsoplysninger, dynamiske transaktionsdata og udstederverifikation, der gør, at NFC-betaling ikke bør opfattes som, at en læser blot scanner et bankkort og stoler blindt på det nummer, den modtager.

Hvor anvendes NFC-betaling?

Den samme grundlæggende proces for kontaktløs betaling kan anvendes overalt, hvor der findes en kompatibel betalingsterminal og betalingsinfrastruktur.

Butikker og restauranter er de mest kendte eksempler. Kontaktløse terminaler er også udbredt i salgsautomater, parkeringssystemer, selvbetjeningskiosker og andre ubemandede betalingssteder.

Offentlig transport er et andet vigtigt anvendelsesområde. Nogle systemer accepterer almindelige kontaktløse bankkort eller mobile betalingsløsninger direkte ved indgangen. Disse kaldes ofte »open-loop-systemer«, fordi der anvendes eksisterende betalingsoplysninger udstedt af banker.

Andre systemer inden for transport, universitetsområder, hotel- og restaurationsbranchen samt arrangementssteder udsteder deres egne kort eller adgangskort. Disse er lukket kredsløb systemer, hvor operatøren administrerer adgangsoplysningerne og den tilhørende konto.

Begge kan anvende kontaktløs teknologi, men det er det finansielle system bag den pågældende betaling, der afgør, hvad kortet eller enheden rent faktisk kan.

Konklusion

NFC sørger for den trådløse forbindelse, der gør det muligt for et kort, en telefon eller et smartur at kommunikere med en betalingsterminal. Betalingschippen eller den mobile tegnebog leverer de sikre legitimationsoplysninger, terminalen videresender transaktionen til det finansielle netværk, og udstederen beslutter, om den skal godkendes.

Denne rollefordeling er også vigtig, når man skal vælge NFC-teknologi til et projekt. Et programmerbart NFC-tag kan omdirigere en kunde til en betalingsside eller en anden digital tjeneste, mens direkte betaling med bankkort kræver sikre loginoplysninger og infrastrukturen i et dedikeret betalingssystem.