Jak działają płatności NFC?

Płatności NFC umożliwiają dokonywanie płatności poprzez przyłożenie zbliżeniowej karty bankowej, telefonu lub smartwatcha do kompatybilnego terminala płatniczego. Technologia NFC zapewnia bezprzewodowe połączenie krótkiego zasięgu, natomiast chip karty, terminal, sieć płatnicza i bank obsługują samą transakcję.

Jedno dotknięcie może zająć zaledwie sekundę, ale w tym czasie ma miejsce kilka etapów. Urządzenie płatnicze komunikuje się z terminalem, generuje dane zabezpieczające transakcję i wysyła płatność przez sieć bankową w celu zatwierdzenia.

Czym są płatności NFC?

NFC, czyli Near Field Communication, to technologia bezprzewodowa krótkiego zasięgu działająca na częstotliwości 13,56 MHz. W przypadku płatności umożliwia ona komunikację karty płatniczej lub urządzenia mobilnego z terminalem płatniczym bez konieczności wkładania karty do czytnika.

Technologia EMV Contactless obsługuje płatności zarówno za pomocą bezstykowych kart chipowych, jak i urządzeń mobilnych wyposażonych w funkcję NFC. Wystarczy przyłożyć kartę lub urządzenie bardzo blisko terminala.

Do popularnych metod płatności NFC należą bezstykowe karty debetowe i kredytowe, Apple Pay, Google Pay oraz smartwatche z funkcją płatności.

Samo połączenie NFC nie powoduje przepływu środków między kontami. Zapewnia ono lokalne połączenie komunikacyjne między urządzeniem płatniczym a terminalem. Pozostała część transakcji przebiega za pośrednictwem standardowej infrastruktury płatniczej.

Jak działają płatności NFC?

Typową transakcję bezstykową można podzielić na pięć etapów.

1. Terminal aktywuje kartę

Sprzedawca najpierw wprowadza lub potwierdza kwotę zakupu. Następnie terminal płatniczy wytwarza pole o częstotliwości radiowej wokół swojego czytnika zbliżeniowego.

Fizyczna karta bankowa typu zbliżeniowego nie wymaga własnej baterii. Jej wewnętrzna antena pobiera energię z pola magnetycznego terminala i dostarcza jej wystarczająco dużo, by chip mógł działać.

Dlatego karta zbliżeniowa może czasem leżeć nieużywana w portfelu przez lata, a mimo to nawiązywać połączenie z terminalem po przyłożeniu jej do niego.

Telefony i smartwatche różnią się tym, że posiadają własne źródło zasilania, choć podczas komunikacji z terminalem płatniczym nadal korzystają z tego samego interfejsu bezstykowego o krótkim zasięgu.

2. Karta i terminal nawiązują połączenie

Gdy karta znajdzie się w zasięgu terminala, terminal i karta rozpoczynają komunikację.

Karty płatnicze zbliżeniowe zazwyczaj wykorzystują technologię opartą na normie ISO/IEC 14443. Specyfikacje EMV określają natomiast, w jaki sposób aplikacja płatnicza i terminal wymieniają informacje niezbędne do przetworzenia transakcji.

Terminal rozpoznaje dostępną aplikację płatniczą i rozpoczyna transakcję EMV. W tym momencie karta nie ogranicza się jedynie do wysłania zapisanego numeru karty.

3. Karta generuje dane dotyczące transakcji

Chip płatniczy zawiera dane uwierzytelniające oraz informacje kryptograficzne wydane w ramach systemu kart płatniczych.

Podczas transakcji wykorzystuje te dane uwierzytelniające do wygenerowania danych zabezpieczających specyficznych dla danej płatności. Standard EMV określa to jako jednorazowy kod zabezpieczający lub kryptogram. Dla każdej kolejnej transakcji generowana jest nowa wartość, zamiast za każdym razem używać tego samego, stałego kodu zabezpieczającego.

Transakcja może również zawierać informacje przekazane przez terminal, takie jak kwota zakupu i inne parametry transakcji.

4. Transakcja została przesłana do autoryzacji

Po nawiązaniu połączenia z kartą terminal przekazuje płatność do sieci finansowej.

Uproszczona trasa wygląda następująco:

Karta lub telefon → terminal POS → podmiot obsługujący transakcje akceptanta/podmiot przetwarzający płatności → sieć kartowa → bank wydający kartę

Bank wydający to bank lub instytucja finansowa odpowiedzialna za kartę klienta.

Otrzymuje informacje o transakcji i przeprowadza kontrole niezbędne do podjęcia decyzji, czy płatność powinna zostać zaakceptowana. Mogą one obejmować weryfikację danych autoryzacyjnych płatności i danych kryptograficznych oraz sprawdzenie stanu konta i transakcji.

5. Informacja o zatwierdzeniu lub odrzuceniu wraca do terminala

Emitent przekazuje swoją decyzję za pośrednictwem sieci płatniczej.

W przypadku zatwierdzenia płatności terminal POS potwierdza jej realizację. W przypadku odrzucenia płatności terminal otrzymuje odpowiednią informację zwrotną.

Cała transakcja często trwa zaledwie kilka sekund.

Rozliczenie środków między instytucjami finansowymi odbywa się oddzielnie. Dotykanie terminala służy głównie do uwierzytelniania i autoryzacji transakcji, a nie do natychmiastowego przelewania pieniędzy z jednego konta bankowego bezpośrednio na konto akceptanta.

Czy płatności NFC wymagają połączenia z Internetem?

Sama wymiana danych w technologii NFC o krótkim zasięgu nie wymaga połączenia komórkowego ani Wi-Fi w telefonie klienta. Jednak typowy terminal płatniczy akceptanta potrzebuje dostępu do podmiotu obsługującego transakcje lub podmiotu przetwarzającego płatności w celu uzyskania autoryzacji online. Niektóre środowiska płatnicze mogą obsługiwać ograniczone przetwarzanie w trybie offline, odroczonym lub typu „store-and-forward” zgodnie z określonymi zasadami.

Co znajduje się wewnątrz bezstykowej karty bankowej?

Bezkontaktowa karta debetowa lub kredytowa to specjalistyczna bezkontaktowa karta inteligentna.

Wewnątrz karty plastikowej znajdują się dwa ważne elementy: bezpieczny chip oraz antena. Antena zazwyczaj biegnie wzdłuż znacznej części karty, dzięki czemu może nawiązać połączenie z polem elektromagnetycznym wytwarzanym przez terminal.

Chip zawiera aplikację płatniczą oraz chronione informacje niezbędne do realizacji transakcji płatniczych. Może on wykonywać operacje kryptograficzne, a nie funkcjonować jedynie jako zwykła pamięć do odczytu.

To wyjaśnia również, dlaczego uszkodzenie anteny może uniemożliwić dokonywanie płatności zbliżeniowych, nawet jeśli widoczne styki chipa z przodu karty nadal działają. Płatności stykowe realizowane za pośrednictwem metalowych styków oraz płatności zbliżeniowe wykorzystują różne fizyczne interfejsy do komunikacji z chipem.

Czy zatem bezstykowa karta bankowa to Karta NFC?

W przypadku zwykłego użytkowania – tak: jest to karta obsługująca komunikację NFC/bezkontaktową o częstotliwości 13,56 MHz. Dokładniej rzecz biorąc, jest to bezpieczna karta płatnicza przeznaczona do bezkontaktowych transakcji w standardzie EMV, a nie uniwersalny tag NFC.

Jakie informacje są przekazywane podczas płatności NFC?

Czasami mówi się, że karty zbliżeniowe po prostu “przesyłają dane karty”. Taki opis pomija najważniejszą część tego procesu.

Podczas transakcji mogą być przekazywane pewne informacje dotyczące płatności. Na przykład firma Visa podaje, że jej karty zbliżeniowe mogą przesyłać numer konta, datę ważności oraz jednorazowy kod, który zmienia się przy każdej transakcji dokonywanej osobiście.

Istotne rozróżnienie dotyczy stosunkowo statycznych informacji o koncie oraz dynamicznych danych dotyczących bezpieczeństwa transakcji.

Informacje o rachunku służą do identyfikacji rachunku płatniczego. Dynamicznie generowana wartość kryptograficzna pomaga wystawcy ustalić, czy transakcja została zainicjowana przy użyciu prawidłowych danych uwierzytelniających do płatności oraz czy dane transakcji są prawidłowe.

Przechwycona transakcja zbliżeniowa nie dostarcza zatem innemu urządzeniu kryptogramu wielokrotnego użytku, który można by po prostu ponownie wykorzystać do przeprowadzenia nowej transakcji zbliżeniowej w standardzie EMV. Wartość zabezpieczenia jest powiązana z konkretną transakcją.

Nie oznacza to jednak, że dane dotyczące płatności należy traktować jako niewrażliwe. Oznacza to, że bezpieczeństwo technologii bezstykowej EMV nie opiera się wyłącznie na zachowaniu poufności numeru karty.

Jak działają płatności NFC w telefonach i smartwatchach

Telefon może komunikować się z terminalem do płatności zbliżeniowych tego samego typu, ale niekoniecznie przedstawia te same dane autoryzacyjne do płatności, co fizyczna karta przechowywana w portfelu.

W portfelach mobilnych powszechnie stosuje się tokenizację płatności.

Gdy na przykład do usługi Google Pay dodaje się kompatybilną kartę, na urządzeniu może zostać utworzony token urządzenia, zwany również DPAN lub wirtualnym numerem konta. Firma Google podaje, że podczas płatności NFC to właśnie ten token urządzenia jest przesyłany do terminala zamiast rzeczywistego głównego numeru konta karty.

Apple Pay stosuje podobne podejście oparte na konkretnym urządzeniu. Firma Apple podaje, że numer konta urządzenia jest przechowywany w module Secure Element urządzenia i wykorzystywany wraz z dynamicznymi danymi zabezpieczającymi przypisanymi do danej transakcji. Podczas transakcji realizowanej za pomocą Apple Pay urządzenie nie przesyła rzeczywistego numeru karty płatniczej.

Ogólny przebieg procesu płatności pozostaje ten sam:

Telefon → terminal płatniczy NFC → sieć płatnicza → wystawca karty

Zmienia się tylko certyfikat przedstawiany przez urządzenie.

Telefony i zegarki mogą również zapewniać weryfikację posiadacza karty na poziomie urządzenia. W zależności od urządzenia i portfela elektronicznego użytkownik może uwierzytelnić się za pomocą funkcji Face ID, odcisku palca, kodu dostępu lub innej zatwierdzonej metody przed wykorzystaniem danych do płatności.

Interfejs NFC stanowi zatem jedynie jeden z elementów systemu płatności mobilnych. Za nim kryją się bezpieczne urządzenia, generowanie tokenów, uwierzytelnianie użytkowników oraz przetwarzanie transakcji w sieci płatniczej.

Czy płatności zbliżeniowe zawsze wymagają podania kodu PIN?

Nie. To, czy wymagany jest kod PIN lub inna metoda weryfikacji posiadacza karty, zależy od takich czynników, jak kwota transakcji, zasady emitenta, konfiguracja terminala, zasady sieci płatniczej oraz lokalne przepisy. Transakcja bezstykowa kartą może czasami wymagać od klienta wprowadzenia kodu PIN. W przypadku telefonu lub smartwatcha pomyślna weryfikacja biometryczna lub za pomocą kodu dostępu może służyć jako metoda weryfikacji posiadacza karty za pomocą urządzenia konsumenckiego (ang. Consumer Device Cardholder Verification Method), powszechnie nazywana CDCVM.

Karty płatnicze NFC a standardowe tagi NFC

Karta bankowa zbliżeniowa i standardowa Znacznik NFC może wprawdzie obie nadają na częstotliwości 13,56 MHz, ale ich możliwości znacznie się różnią.

Standardowe chipy NFC, takie jak NTAG213, NTAG215 i NTAG216, są tagami typu 2 zgodnymi ze standardem NFC Forum. Dysponują one pamięcią użytkową przeznaczoną do takich zastosowań, jak inteligentna reklama, interakcja z produktem, uwierzytelnianie oraz inne funkcje NFC. Obsługują one struktury danych NDEF, które mogą odczytywać kompatybilne telefony.

Na przykład chip NTAG213 może zawierać adres URL w postaci:

https://example.com/pay/order123

Gdy klient dotknie tagu, w telefonie otworzy się ta strona i będzie mógł przejść do kasy internetowej.

Tag NFC pomógł zainicjować proces płatności, ale sam tag nie przeprowadził transakcji kartą bankową zgodną ze standardem EMV. Po prostu dostarczył dane, które przekierowały telefon do serwisu płatniczego.

To samo rozwiązanie można zastosować w restauracjach, w samoobsługowych kioskach, na opakowaniach produktów, w systemach obsługujących wydarzenia lub w innych zastosowaniach, w których wystarczy jedno dotknięcie, aby połączyć przedmiot fizyczny ze stroną płatności online.

Niektóre organizacje wykorzystują również karty lub urządzenia zbliżeniowe w systemach zamkniętych, w których dane uwierzytelniające identyfikują konto w ramach platformy należącej do tej organizacji. W kartach komunikacyjnych, systemach kampusowych, systemach przedpłaconych i podobnych zastosowaniach mogą być wykorzystywane bardziej zaawansowane, bezpieczne chipy bezstykowe. Systemów tych nie należy jednak mylić z wydawaniem zwykłych kart bankowych, które działają w sieciach Visa, Mastercard lub innych otwartych sieciach płatniczych.

W jaki sposób zabezpieczane są płatności NFC?

Bezpieczeństwo płatności zbliżeniowych opiera się na danych uwierzytelniających oraz wymianie danych kryptograficznych, a nie wyłącznie na niewielkiej odległości odczytu technologii NFC.

Kryptogramy dotyczące konkretnych transakcji

Transakcje z wykorzystaniem chipów EMV generują dane zabezpieczające dla poszczególnych transakcji. EMVCo opisuje kryptogram jako wartość jednorazową, która pomaga emitentowi i terminalowi w uwierzytelnieniu transakcji.

Jeśli ktoś zarejestruje jedną prawidłową transakcję, tej wartości kryptograficznej nie można po prostu ponownie wykorzystać jako prawidłowego kryptogramu dla innej transakcji.

Zabezpieczone klucze kryptograficzne

Klucze służące do generowania prawidłowych kryptogramów płatności są zabezpieczone w ramach danych uwierzytelniających płatności, a nie przesyłane w postaci jawnej przy każdym odczycie karty.

Emitent lub sieć płatnicza mogą wykorzystać odpowiednie informacje do weryfikacji kryptogramu podczas przetwarzania transakcji.

Tokenizacja na urządzeniach mobilnych

Portfele mobilne zapewniają dodatkową warstwę bezpieczeństwa, zastępując główny numer konta fizycznej karty tokenem płatniczym przypisanym do konkretnego urządzenia.

Zarówno Apple Pay, jak i Google Pay wykorzystują dane uwierzytelniające związane z konkretnym urządzeniem do obsługi obsługiwanych płatności zbliżeniowych. W związku z tym utrata danych uwierzytelniających urządzenia nie wymaga ujawnienia oryginalnego numeru karty, która posłużyła do zasilenia konta.

To właśnie połączenie bezpiecznych danych uwierzytelniających, dynamicznych danych transakcyjnych oraz weryfikacji przez wystawcę sprawia, że płatności NFC nie należy postrzegać jako zwykłego zeskanowania karty bankowej przez czytnik i zaufania do otrzymanego numeru.

Gdzie stosuje się płatności NFC?

Ten sam podstawowy proces płatności zbliżeniowych można wykorzystać wszędzie tam, gdzie dostępny jest kompatybilny terminal płatniczy oraz odpowiednia infrastruktura płatnicza.

Najbardziej znanymi przykładami są sklepy detaliczne i restauracje. Terminale zbliżeniowe są również powszechnie stosowane w automatach sprzedających, systemach parkingowych, kioskach samoobsługowych i innych punktach płatności bezobsługowych.

Kolejnym ważnym obszarem zastosowań jest transport publiczny. Niektóre systemy akceptują zwykłe bezstykowe karty bankowe lub portfele mobilne bezpośrednio przy bramce. Systemy te często nazywane są systemami typu „open-loop”, ponieważ wykorzystują istniejące dane autoryzacyjne wydane przez banki.

Inne systemy związane z transportem, kampusem, hotelarstwem i obiektami wydają własne karty lub identyfikatory. Są to: w pętli zamkniętej systemy, w których operator zarządza danymi uwierzytelniającymi oraz powiązanym z nimi kontem.

Oba mogą wykorzystywać technologię zbliżeniową, ale to system finansowy stojący za tą funkcją decyduje o tym, do czego faktycznie służy dana karta lub urządzenie.

Wniosek

Technologia NFC zapewnia bezprzewodowe połączenie, które umożliwia komunikację karty, telefonu lub smartwatcha z terminalem płatniczym. Chip płatniczy lub portfel mobilny dostarcza bezpieczne dane uwierzytelniające, terminal przekazuje transakcję do sieci finansowej, a wydawca decyduje o jej autoryzacji.

Ten podział ról ma również znaczenie przy wyborze technologii NFC do danego projektu. Programowalny tag NFC może przekierować klienta na stronę płatności lub do innej usługi cyfrowej, podczas gdy bezpośrednia płatność kartą bankową wymaga bezpiecznych danych uwierzytelniających oraz infrastruktury dedykowanego systemu płatniczego.