Hogyan működik az NFC-alapú fizetés?

Az NFC-alapú fizetés lehetővé teszi, hogy érintésmentes bankkártyát, mobiltelefont vagy okosórát egy kompatibilis fizetési terminálhoz közel tartva fizessen. Az NFC biztosítja a rövid hatótávolságú vezeték nélküli kapcsolatot, míg a kártya chipje, a terminál, a fizetési hálózat és a bank végzi el a tényleges tranzakciót.

Egy érintés talán csak egy másodpercig tart, de ezalatt több lépés is lezajlik. A fizetési eszköz kapcsolatba lép a terminállal, létrehozza a tranzakcióhoz szükséges biztonsági adatokat, majd a banki hálózaton keresztül elküldi a fizetést jóváhagyásra.

Mi az az NFC-fizetés?

Az NFC (Near Field Communication) egy 13,56 MHz-es frekvencián működő, rövid hatótávolságú vezeték nélküli technológia. A fizetési folyamatok során lehetővé teszi, hogy egy fizetési kártya vagy mobil eszköz anélkül kommunikáljon az értékesítési pont termináljával, hogy azt be kellene helyezni az olvasóba.

Az EMV Contactless mind az érintésmentes chipkártyákkal, mind az NFC-kompatibilis mobil eszközökkel történő fizetéseket támogatja. A kártyát vagy az eszközt csupán nagyon közel kell tartani a terminálhoz.

A leggyakoribb NFC-alapú fizetési módok közé tartoznak az érintésmentes betéti és hitelkártyák, az Apple Pay, a Google Pay, valamint a fizetési funkcióval ellátott okosórák.

Maga az NFC-kapcsolat nem biztosít pénzátutalást a számlák között. Csak a fizetési eszköz és a terminál közötti helyi kommunikációs kapcsolatot biztosítja. A tranzakció többi része a szokásos fizetési infrastruktúrán keresztül zajlik.

Hogyan működik az NFC-alapú fizetés?

Egy tipikus érintésmentes kártyás tranzakció öt szakaszra osztható.

1. A terminál aktiválja a kártyát

Először a kereskedő adja meg vagy erősíti meg a vásárlási összeget. Ezután a fizetési terminál rádiófrekvenciás mezőt hoz létre az érintésmentes leolvasója körül.

A fizikai érintésmentes bankkártyának nincs szüksége saját elemre. Belső antennája a terminál mezőjéből nyeri az energiát, és elegendő áramot biztosít a chip működéséhez.

Ezért előfordulhat, hogy egy érintésmentes kártya évekig használat nélkül hever a pénztárcában, és mégis kommunikál a terminállal, amikor hozzáérintjük.

A mobiltelefonok és az okosórák abban különböznek egymástól, hogy saját áramforrással rendelkeznek, bár a fizetési terminállal való kommunikáció során ugyanazt a rövid hatótávolságú érintésmentes interfészt használják.

2. A kártya és a terminál kapcsolatot létesít

Amint a kártya belép a terminál mágneses mezőjébe, a terminál és a kártya között megkezdődik a kommunikáció.

Az érintésmentes fizetési kártyák általában az ISO/IEC 14443 szabványon alapuló technológiát alkalmaznak. Az EMV-specifikációk pedig meghatározzák, hogy a fizetési alkalmazás és a terminál hogyan cserélik ki a tranzakció feldolgozásához szükséges információkat.

A terminál felismeri az elérhető fizetési alkalmazást, és elindítja az EMV-tranzakciót. Ekkor a kártya nem csupán a tárolt kártyaszámot küldi el.

3. A kártya tranzakciós adatokat generál

A fizetési chip a fizetési kártyarendszer keretében kiadott hitelesítő adatokat és kriptográfiai információkat tárolja.

Egy tranzakció során ezeket a hitelesítő adatokat használja fel az adott fizetéshez tartozó biztonsági adatok generálásához. Az EMV ezt egyszeri biztonsági kódnak vagy kriptogramnak nevezi. Minden tranzakcióhoz új értéket generál, ahelyett, hogy minden alkalommal ugyanazt a rögzített biztonsági kódot használná.

A tranzakció tartalmazhatja a terminál által szolgáltatott információkat is, például a vásárlási összeget és egyéb tranzakciós paramétereket.

4. Az ügylet jóváhagyásra kerül továbbításra

A kártyával való kommunikációt követően a terminál továbbítja a fizetést a pénzügyi hálózatba.

Egy egyszerűsített útvonal így néz ki:

Kártya vagy telefon → POS-terminál → kereskedő bankja/fizetésfeldolgozója → kártyahálózat → kibocsátó bank

A kibocsátó bank az az bank vagy pénzügyi intézmény, amely az ügyfél kártyájáért felelős.

A rendszer fogadja a tranzakciós adatokat, és elvégzi azokat az ellenőrzéseket, amelyek alapján eldönthető, hogy a fizetést elfogadják-e. Ezek közé tartozhat a fizetési hitelesítő adatok és a kriptográfiai adatok érvényességének ellenőrzése, valamint a számla és a tranzakció állapotának ellenőrzése.

5. A jóváhagyás vagy elutasítás visszakerül a terminálra

A kibocsátó a fizetési hálózaton keresztül közli döntését.

Jóváhagyás esetén a POS-terminál megerősíti a fizetést. Elutasítás esetén a terminál a megfelelő válaszüzenetet kapja.

Az egész tranzakció gyakran néhány másodpercen belül lezárul.

A pénzügyi intézmények közötti pénzelszámolás külön történik. A terminálon történő érintés elsősorban a tranzakció hitelesítését és engedélyezését szolgálja, nem pedig azt, hogy a pénzt azonnal átutalják az egyik bankszámláról közvetlenül a kereskedő számlájára.

Az NFC-alapú fizetéshez szükséges az internetkapcsolat?

Maga a rövid hatótávolságú NFC-adatcsere nem igényel mobil- vagy Wi-Fi-kapcsolatot az ügyfél telefonján. Egy tipikus kereskedői fizetési terminálnak azonban hozzáférésre van szüksége az akvirálóhoz vagy a fizetésfeldolgozóhoz az online engedélyezés kérése érdekében. Egyes fizetési környezetek meghatározott szabályok szerint korlátozott mértékben támogathatják az offline, halasztott vagy „store-and-forward” feldolgozást.

Mi található egy érintésmentes bankkártyában?

Az érintésmentes betéti vagy hitelkártya egy speciális érintésmentes intelligens kártya.

A műanyag kártyában két fontos alkatrész található: egy biztonsági chip és egy antenna. Az antenna általában a kártya nagy részét körbefutja, hogy kapcsolódni tudjon a terminál által generált elektromágneses mezőhöz.

A chip tartalmazza a fizetési alkalmazást és a fizetési tranzakciókhoz szükséges védett információkat. Nem csupán egyszerű, olvasható memóriaként működik, hanem kriptográfiai műveleteket is végrehajthat.

Ez magyarázza azt is, hogy miért állhat le az érintésmentes fizetés az antenna megrongálódása miatt, még akkor is, ha a kártya elülső oldalán látható chip-érintkezők továbbra is működnek. Az érintéses fizetés a fémérintkezőkön keresztül, az érintésmentes fizetés pedig más fizikai interfészeken keresztül kommunikál a chippel.

Tehát az érintésmentes bankkártya egy NFC-kártya?

Normál használat esetén igen: ez egy olyan kártya, amely 13,56 MHz-es frekvencián vesz részt az NFC/érintésmentes kommunikációban. Pontosabban: ez egy biztonságos fizetési intelligens kártya, amelyet kifejezetten EMV-kompatibilis érintésmentes tranzakciókhoz fejlesztettek ki, nem pedig általános célú NFC-címke.

Milyen információk cserélődnek egy NFC-fizetés során?

Néha azt hallani, hogy az érintésmentes kártyák egyszerűen “elküldik a kártyaadataidat”. Ez a leírás azonban kihagyja a folyamat legfontosabb részét.

A tranzakció során bizonyos fizetési adatok továbbíthatók. A Visa például kijelenti, hogy érintésmentes kártyái továbbíthatják a számlaszámot, a lejárati dátumot, valamint egy egyszeri kódot, amely minden személyes tranzakció során változik.

A fontos különbség a viszonylag statikus számlainformációk és a dinamikus tranzakciós biztonsági adatok között van.

A számlaadatok azonosítják a fizetési számlát. A dinamikusan generált kriptográfiai érték segítségével a kibocsátó megállapíthatja, hogy a tranzakció érvényes fizetési hitelesítő adatokból származik-e, valamint hogy a tranzakciós adatok érvényesek-e.

Egy lehallgatott érintésmentes tranzakció tehát nem biztosít egy másik eszköz számára olyan újrafelhasználható kriptogramot, amelyet egyszerűen újra fel lehetne használni egy új EMV érintésmentes tranzakcióhoz. A biztonsági érték az adott tranzakcióhoz kötődik.

Ez nem jelenti azt, hogy a fizetési adatokat nem kellene érzékeny adatként kezelni. Azt jelenti, hogy az EMV érintésmentes biztonsági rendszer nem kizárólag a kártyaszám titokban tartásán alapul.

Hogyan működnek az NFC-alapú fizetések a telefonokon és az okosórákon?

Egy mobiltelefon ugyanazzal a típusú érintésmentes fizetési terminállal tud kommunikálni, de nem feltétlenül ugyanazt a fizetési azonosítót mutatja be, mint a pénztárcádban tárolt fizikai kártya.

A mobil pénztárcák általában a fizetési tokenizációt alkalmazzák.

Amikor például egy kompatibilis kártyát hozzáadnak a Google Pay-hez, az eszközhöz hozzárendelhető egy eszköztoken – más néven DPAN vagy virtuális számlaszám. A Google közlése szerint NFC-fizetés során a kártya tényleges elsődleges számlaszáma helyett ezt az eszköztokent küldik el a terminálnak.

Az Apple Pay hasonló, eszközspecifikus megközelítést alkalmaz. Az Apple közlése szerint az eszköz biztonsági elemében (Secure Element) egy eszközszámot tárolnak, amelyet tranzakció-specifikus dinamikus biztonsági adatokkal együtt használnak. Az Apple Pay-tranzakció során az eszköz nem továbbítja a fizetési kártya tényleges számát.

Az általános fizetési folyamat továbbra is ismerős:

Telefon → NFC-fizetési terminál → fizetési hálózat → kibocsátó

Ami változik, az az eszköz által bemutatott hitelesítő adat.

A telefonok és az okosórák is támogatják a kártyatulajdonos eszközszintű azonosítását. Az eszköztől és a digitális pénztárcától függően a felhasználó a fizetési adatok felhasználása előtt Face ID-vel, ujjlenyomattal, jelszóval vagy más jóváhagyott módszerrel hitelesítheti magát.

Az NFC-interfész tehát csupán a mobilfizetés egyik eleme. Mögötte biztonságos hardver, token-kiadás, felhasználói hitelesítés és a fizetési hálózat feldolgozása zajlik.

Az érintésmentes fizetéshez mindig szükség van PIN-kódra?

Nem. Az, hogy PIN-kódra vagy más kártyatulajdonos-azonosítási módszerre van-e szükség, olyan tényezőktől függ, mint a tranzakció összege, a kibocsátó szabályai, a terminál beállításai, a fizetési hálózat szabályai és a helyi jogszabályok. Egy érintésmentes kártyás tranzakció során előfordulhat, hogy az ügyfélnek PIN-kódot kell megadnia. Okostelefonon vagy okosórán a sikeres biometrikus vagy jelszavas azonosítás szolgálhat fogyasztói eszközön történő kártyabirtokos-azonosítási módszerként, amelyet általában CDCVM-nek neveznek.

NFC-fizetési kártyák és hagyományos NFC-címkék összehasonlítása

Egy érintésmentes bankkártya és egy hagyományos NFC címke Lehet, hogy mindkettő 13,56 MHz-en kommunikál, de képességeik nagyon eltérőek.

Az olyan szabványos NFC-chipek, mint az NTAG213, az NTAG215 és az NTAG216, az NFC Forum 2. típusú címkéi. Felhasználói memóriát biztosítanak olyan alkalmazásokhoz, mint az intelligens reklámozás, a termékekkel való interakció, a hitelesítés és egyéb NFC-alapú élmények. Támogatják az NDEF adatstruktúrákat, amelyeket a kompatibilis telefonok el tudnak olvasni.

Például egy NTAG213 tartalmazhat egy olyan URL-címet, mint például:

https://example.com/pay/order123

Amikor az ügyfél megérinti a címkét, a telefon megnyitja az adott oldalt, és az ügyfél folytathatja a vásárlást az online pénztárnál.

Az NFC-címke elősegítette a fizetési folyamat elindítását, de maga a címke nem hajtott végre EMV bankkártyás tranzakciót. Csak azokat az adatokat szolgáltatta, amelyek a telefont a fizetési szolgáltatáshoz irányították.

Ugyanez az elv alkalmazható éttermekben, önkiszolgáló kioszkokban, termékcsomagolásokon, rendezvényi rendszerekben vagy más olyan alkalmazásokban, ahol egy érintéssel kell összekapcsolni egy fizikai tárgyat egy online fizetési oldallal.

Egyes szervezetek érintésmentes kártyákat vagy eszközöket is használnak zárt rendszerű megoldásokban, ahol a hitelesítő adat a szervezet saját platformján belüli fiókot azonosít. A tömegközlekedési kártyák, az egyetemi rendszerek, az előre feltöltött kártyák és hasonló alkalmazások esetében nagyobb teljesítményű, biztonságos érintésmentes chipeket is használhatnak. Ezeket a rendszereket azonban nem szabad összetéveszteni a hagyományos bankkártyák kibocsátásával, amelyek a Visa, a Mastercard vagy más nyílt fizetési hálózatokon keresztül működnek.

Hogyan biztosítják az NFC-alapú fizetések biztonságát?

Az érintésmentes fizetés biztonsága a fizetési hitelesítő adatokon és a kriptográfiai adatcserén alapul, nem pedig pusztán az NFC rövid olvasási távolságán.

Tranzakció-specifikus kriptogramok

Az EMV-chipes tranzakciók az egyes tranzakciókra vonatkozó biztonsági adatokat generálnak. Az EMVCo a kriptogramot olyan egyszeri értéknek írja le, amely segít a kibocsátónak és a terminálnak a tranzakció hitelesítésében.

Ha valaki egy érvényes tranzakciót rögzít, akkor azt a kriptográfiai értéket nem lehet egyszerűen újra felhasználni egy másik tranzakció érvényes kriptogramjaként.

Védett kriptográfiai kulcsok

Az érvényes fizetési kriptogramok generálásához használt kulcsokat a fizetési hitelesítő adatokon belül tárolják, és nem továbbítják nyíltan a kártya minden egyes leolvasásakor.

A kibocsátó vagy a fizetési hálózat a tranzakció feldolgozása során a megfelelő információk segítségével ellenőrizheti a kriptogramot.

Tokenizálás mobil eszközökön

A mobil pénztárcák egy további biztonsági réteget biztosítanak azzal, hogy a fizikai kártya fő számlaszámát egy eszközspecifikus fizetési tokennel helyettesítik.

Az Apple Pay és a Google Pay egyaránt eszközspecifikus fizetési hitelesítő adatokat használ a támogatott érintésmentes fizetésekhez. Az eszköz hitelesítő adatainak elvesztése ezért nem teszi szükségessé az eszköz feltöltéséhez használt eredeti kártyaszám közlését.

A biztonságos hitelesítő adatok, a dinamikus tranzakciós adatok és a kibocsátó ellenőrzésének ez a kombinációja miatt az NFC-alapú fizetést nem szabad úgy értelmezni, hogy az olvasó egyszerűen csak beolvassa a bankkártyát, és megbízik bármelyik számban, amit kap.

Hol alkalmazzák az NFC-alapú fizetést?

Ugyanez az alapvető érintésmentes fizetési folyamat bárhol alkalmazható, ahol kompatibilis fizetési terminál és fizetési infrastruktúra áll rendelkezésre.

A legismertebb példák a kiskereskedelmi üzletek és az éttermek. Az érintésmentes terminálok az automatákban, a parkolási rendszerekben, az önkiszolgáló kioszkokban és más felügyelet nélküli fizetési pontokon is elterjedtek.

A tömegközlekedés egy másik fontos felhasználási terület. Egyes rendszerek közvetlenül a kapunál elfogadják a hagyományos érintésmentes bankkártyákat vagy mobil pénztárcákat. Ezeket gyakran „nyitott hurokú rendszereknek” nevezik, mivel a bankok által kibocsátott meglévő fizetési azonosítókat használják.

Egyéb közlekedési, egyetemi, vendéglátóipari és rendezvényhelyszíni rendszerek saját kártyákat vagy belépési igazolványokat bocsátanak ki. Ezek a következők: zárt hurkú olyan rendszerek, ahol a rendszergazda kezeli a hitelesítő adatokat és az azokhoz tartozó fiókot.

Mindkettő érintésmentes technológiát használhat, de a „tap” mögött álló pénzügyi rendszer határozza meg, hogy a kártya vagy az eszköz valójában mire képes.

Következtetés

Az NFC biztosítja azt a vezeték nélküli kapcsolatot, amely lehetővé teszi, hogy egy kártya, telefon vagy okosóra kommunikáljon egy fizetési terminállal. A fizetési chip vagy a mobil pénztárca biztosítja a biztonságos hitelesítő adatokat, a terminál továbbítja a tranzakciót a pénzügyi hálózatba, és a kibocsátó dönti el, hogy engedélyezi-e azt.

Ez a szerepkörök megosztása szintén fontos szempont egy projekt számára az NFC-technológia kiválasztásakor. Egy programozható NFC-címke az ügyfelet egy fizetési oldalra vagy más digitális szolgáltatásra irányíthatja, míg a közvetlen bankkártyás fizetéshez egy dedikált fizetési rendszer biztonságos hitelesítő adataira és infrastruktúrájára van szükség.