Kako deluje plačevanje prek NFC?

Plačilo prek NFC vam omogoča plačilo tako, da brezstično bančno kartico, telefon ali pametno uro približate združljivemu plačilnemu terminalu. NFC skrbi za brezžično povezavo na kratko razdaljo, medtem ko čip na kartici, terminal, plačilno omrežje in banka poskrbijo za dejansko transakcijo.

Pritisk na čitalnik traja morda le sekundo, vendar se v tem času odvije več korakov. Plačilna naprava komunicira s terminalom, ustvari varnostne podatke za transakcijo in pošlje plačilo prek bančnega omrežja v odobritev.

Kaj je plačevanje prek NFC?

NFC (Near Field Communication) je brezžična tehnologija kratkega dosega, ki deluje na frekvenci 13,56 MHz. Pri plačilih omogoča, da se plačilna kartica ali mobilna naprava poveže s terminalom na prodajnem mestu, ne da bi jo bilo treba vstaviti v čitalnik.

Tehnologija EMV Contactless omogoča plačila tako s brezkontaktnimi čip karticami kot tudi z mobilnimi napravami, opremljenimi s tehnologijo NFC. Kartico ali napravo je treba le držati zelo blizu terminala.

Med pogoste načine plačevanja prek NFC spadajo brezkontaktne debetne in kreditne kartice, Apple Pay, Google Pay ter pametne ure z možnostjo plačevanja.

Sama povezava NFC ne omogoča prenosa denarja med računi. Zagotavlja lokalno komunikacijsko povezavo med plačilno napravo in terminalom. Preostali del transakcije poteka prek običajne plačilne infrastrukture.

Kako deluje plačevanje prek NFC?

Tipično transakcijo z brezkontaktno kartico lahko razdelimo na pet faz.

1. Terminal aktivira kartico

Trgovec najprej vnese ali potrdi znesek nakupa. Nato plačilni terminal ustvari radiofrekvenčno polje okoli svojega brezkontaktnega čitalnika.

Fizična brezkontaktna bančna kartica ne potrebuje lastne baterije. Njena notranja antena sprejema energijo iz polja terminala in zagotavlja dovolj energije za delovanje čipa.

Zato se lahko brezkontaktna kartica včasih več let neuporabljena leži v denarnici in se kljub temu poveže s terminalom, ko jo prislonite.

Mobilni telefoni in pametne ure se razlikujejo po tem, da imajo lasten vir napajanja, čeprav pri komunikaciji s plačilnim terminalom še vedno uporabljajo isti brezkontaktni vmesnik kratkega dosega.

2. Kartica in terminal vzpostavita povezavo

Takoj ko kartica vstopi v polje terminala, se med terminalom in kartico vzpostavi komunikacija.

Brezstične plačilne kartice običajno uporabljajo tehnologijo, ki temelji na standardu ISO/IEC 14443. Specifikacije EMV nato opredeljujejo, kako si plačilna aplikacija in terminal izmenjujeta podatke, potrebne za obdelavo transakcije.

Terminal prepozna razpoložljivo plačilno aplikacijo in začne transakcijo EMV. V tem trenutku kartica ne pošilja le shranjene številke kartice.

3. Kartica ustvarja podatke o transakcijah

Plačilni čip vsebuje poverilnice in kriptografske podatke, izdane v okviru sistema plačilnih kartic.

Med transakcijo te poverilnice uporabi za ustvarjanje varnostnih podatkov, ki so specifični za to plačilo. Standard EMV to opisuje kot enkratno varnostno kodo ali kriptogram. Za vsako novo transakcijo se ustvari nova vrednost, namesto da bi se vsakič uporabljala ista fiksna varnostna koda.

Transakcija lahko vključuje tudi podatke, ki jih posreduje terminal, kot so znesek nakupa in drugi parametri transakcije.

4. Transakcija je poslana v odobritev

Po vzpostavitvi povezave s kartico terminal pošlje plačilo v finančno omrežje.

Poenostavljena pot poteka takole:

Kartica ali telefon → POS-terminal → pridobitelj/obdelovalec plačil trgovca → kartično omrežje → banka izdajateljica

Izdajatelj kartice je banka ali finančna institucija, ki je odgovorna za kartico stranke.

Prejme podatke o transakciji in opravi preverjanja, potrebna za odločitev, ali naj se plačilo sprejme. To lahko vključuje preverjanje veljavnosti plačilnih podatkov in kriptografskih podatkov ter preverjanje stanja računa in transakcije.

5. Odobritev ali zavrnitev se vrne na terminal

Izdajatelj svojo odločitev posreduje prek plačilnega omrežja.

Če je plačilo odobreno, POS-terminal potrdi plačilo. Če je zavrnjeno, terminal namesto tega prejme ustrezen odgovor.

Celoten postopek se pogosto zaključi v nekaj sekundah.

Poravnava denarja med finančnimi institucijami poteka ločeno. Dotik na terminalu služi predvsem za preverjanje veljavnosti in odobritev transakcije, ne pa za takojšen prenos denarja z enega bančnega računa neposredno na račun trgovca.

Ali je za plačevanje prek NFC potrebna internetna povezava?

Za izmenjavo podatkov prek tehnologije NFC na kratki razdalji na telefonu stranke ni potrebna mobilna ali Wi-Fi povezava. Vendar pa običajni plačilni terminal trgovca potrebuje dostop do pridobitelja ali ponudnika plačilnih storitev, da lahko zaprosi za spletno avtorizacijo. Nekatera plačilna okolja lahko v skladu z določenimi pravili podpirajo omejeno obdelavo brez internetne povezave, odloženo obdelavo ali obdelavo po načelu »shrani in posreduj«.

Kaj se nahaja v brezkontaktni bančni kartici?

Brezstična debetna ali kreditna kartica je posebna brezstična pametna kartica.

V notranjosti plastične kartice sta dva pomembna sestavna dela: varnostni čip in antena. Antena običajno poteka po večjem delu kartice, da se lahko poveže z elektromagnetnim poljem, ki ga ustvarja terminal.

Čip vsebuje plačilno aplikacijo in zaščitene podatke, potrebne za plačilne transakcije. Namesto da bi deloval kot preprost pomnilnik, ki ga je mogoče prebrati, lahko izvaja kriptografske operacije.

To pojasnjuje tudi, zakaj lahko poškodba antene onemogoči brezkontaktno plačevanje, čeprav vidni stiki čipa na sprednji strani kartice še vedno delujejo. Kontaktno plačevanje prek kovinskih stikov in brezkontaktno plačevanje uporabljata različna fizična vmesnika za komunikacijo s čipom.

Ali je torej brezkontaktna bančna kartica NFC-kartica?

Za običajno uporabo, da: gre za kartico, ki omogoča NFC/brezkontaktno komunikacijo na frekvenci 13,56 MHz. Natančneje, gre za varno plačilno pametno kartico, zasnovano za brezkontaktne transakcije po standardu EMV, in ne za splošno namensko NFC-oznako.

Katere podatke se izmenjujejo med plačilom prek NFC?

Včasih se reče, da brezkontaktne kartice preprosto “pošljejo podatke o vaši kartici”. Ta opis pa izpušča najpomembnejši del postopka.

Med transakcijo se lahko posredujejo nekateri podatki o plačilu. Visa na primer navaja, da njene brezkontaktne kartice lahko posredujejo številko računa, datum veljavnosti in enkratno kodo, ki se spreminja pri vsaki transakciji, opravljeni osebno.

Pomembna razlika je med relativno statičnimi podatki o računu in dinamičnimi varnostnimi podatki o transakcijah.

Podatki o računu identificirajo plačilni račun. Dinamično ustvarjena kriptografska vrednost izdajatelju pomaga ugotoviti, ali je transakcija izvirala iz veljavnih plačilnih poverilnic in ali so podatki o transakciji veljavni.

Zato prestrežena brezkontaktna transakcija drugi napravi ne zagotavlja ponovno uporabnega kriptograma, ki bi ga bilo mogoče preprosto ponovno predložiti za novo brezkontaktno transakcijo po standardu EMV. Varnostna vrednost je vezana na posamezno transakcijo.

To ne pomeni, da je treba podatke o plačilu obravnavati kot neobčutljive. Pomeni, da varnost brezkontaktnega plačevanja po standardu EMV ne temelji izključno na ohranjanju tajnosti številke kartice.

Kako delujejo plačila prek NFC na mobilnih telefonih in pametnih urah

Telefon lahko komunicira z istim tipom terminala za brezkontaktno plačevanje, vendar to ne pomeni nujno, da predloži enake plačilne podatke kot fizična kartica, ki jo imate v denarnici.

Mobilne denarnice pogosto uporabljajo tokenizacijo plačil.

Ko se v Google Pay doda združljiva kartica, se na napravo lahko dodeli napravični žeton, imenovan tudi DPAN ali virtualna številka računa. Google navaja, da se ta napravični žeton med plačilom prek NFC pošlje terminalu namesto dejanske primarne številke računa kartice.

Apple Pay uporablja podoben pristop, prilagojen posamezni napravi. Apple navaja, da je številka računa naprave shranjena v varnostnem elementu naprave in se uporablja skupaj z dinamičnimi varnostnimi podatki, specifičnimi za posamezno transakcijo. Naprava med transakcijo prek Apple Pay dejanske številke plačilne kartice ne pošilja.

Splošni potek plačila je še vedno znan:

Telefon → plačilni terminal NFC → plačilno omrežje → izdajatelj

Kar se spremeni, je poverilnica, ki jo predloži naprava.

Tudi mobilni telefoni in ure lahko omogočajo preverjanje identitete imetnika kartice na ravni naprave. Glede na napravo in digitalno denarnico se lahko uporabnik pred uporabo plačilnih podatkov avtentificira s funkcijo Face ID, prstnim odtisom, geslom ali drugo odobreno metodo.

Vmesnik NFC tako ostaja le en del mobilnega plačevanja. V ozadju delujejo varna strojna oprema, dodeljevanje žetonov, avtentifikacija uporabnikov in obdelava v plačilnem omrežju.

Ali je za brezkontaktno plačilo vedno potrebna PIN-koda?

Ne. Ali je potrebna PIN-koda ali druga metoda preverjanja imetnika kartice, je odvisno od dejavnikov, kot so znesek transakcije, pravila izdajatelja, konfiguracija terminala, pravila plačilnega omrežja in lokalni predpisi. Pri brezkontaktni transakciji s kartico je včasih potrebno, da stranka vnese PIN. Na telefonu ali pametni uri lahko uspešna biometrična identifikacija ali preverjanje z geslom služi kot metoda preverjanja imetnika kartice prek potrošniške naprave (Consumer Device Cardholder Verification Method – CDCVM).

Plačilne kartice NFC v primerjavi s standardnimi NFC-oznakami

Brezstična bančna kartica in standardna NFC oznaka oba sicer delujeta na frekvenci 13,56 MHz, vendar se njune zmogljivosti zelo razlikujejo.

Standardni čipi NFC, kot so NTAG213, NTAG215 in NTAG216, so oznake tipa 2 po standardu NFC Forum. Omogočajo uporabniški pomnilnik za aplikacije, kot so pametno oglaševanje, interakcija z izdelki, avtentifikacija in druge funkcije NFC. Podpirajo podatkovne strukture NDEF, ki jih lahko berejo združljivi telefoni.

Na primer, NTAG213 bi lahko vseboval URL, kot je:

https://example.com/pay/order123

Ko stranka pritisne na oznako, se na telefonu odpre ta stran in stranka lahko nadaljuje z nakupom prek spleta.

NFC-oznaka je pomagala sprožiti plačilni postopek, vendar sama oznaka ni izvedla transakcije z bančno kartico po standardu EMV. Preprosto je posredovala podatke, ki so usmerili telefon k plačilni storitvi.

Enako načelo se lahko uporabi v restavracijah, samopostrežnih kioskih, pri pakiranju izdelkov, v sistemih za prireditve ali drugih primerih, kjer je treba s tapom povezati fizični predmet s spletno stranjo za plačilo.

Nekatere organizacije uporabljajo brezkontaktne kartice ali naprave tudi v sistemih z zaprtim krogom, kjer identifikacijski podatek identificira račun znotraj lastne platforme te organizacije. Prevozne kartice, kampusni sistemi, sistemi s predplačilom in podobne aplikacije lahko uporabljajo zmogljivejše in varnejše brezkontaktne čipe. Te sisteme pa še vedno ne smemo zamenjati z izdajo običajne bančne kartice, ki deluje v omrežjih Visa, Mastercard ali drugih odprtih plačilnih omrežjih.

Kako so zavarovana plačila prek NFC?

Varnost brezkontaktnega plačevanja temelji na plačilnih podatkih in kriptografski izmenjavi, ne pa zgolj na kratki razdalji branja tehnologije NFC.

Kriptogrami, specifični za posamezne transakcije

Transakcije s čipom EMV ustvarjajo varnostne podatke za posamezne transakcije. EMVCo opisuje kriptogram kot enkratno vrednost, ki izdajatelju in terminalu pomaga pri avtentifikaciji transakcije.

Če nekdo zabeleži eno veljavno transakcijo, te kriptografske vrednosti ni mogoče preprosto ponovno uporabiti kot veljavnega kriptograma za drugo transakcijo.

Zaščiteni kriptografski ključi

Ključi, ki se uporabljajo za ustvarjanje veljavnih plačilnih kriptogramov, so zaščiteni znotraj plačilnih poverilnic in se ne prenašajo v odprti obliki ob vsakem branju kartice.

Izdajatelj ali plačilno omrežje lahko uporabi ustrezne podatke za preverjanje kriptograma med obdelavo transakcije.

Tokenizacija na mobilnih napravah

Mobilne denarnice dodajajo še eno raven varnosti, saj glavno številko računa fizične kartice nadomestijo s plačilnim žetonom, ki je specifičen za posamezno napravo.

Tako Apple Pay kot Google Pay za podprta brezkontaktna plačila uporabljata plačilne podatke, ki so specifični za posamezno napravo. Zato v primeru izgube podatkov o napravi ni treba razkriti prvotne številke kartice, ki je bila uporabljena za polnjenje računa.

Prav ta kombinacija varnih avtentifikacijskih podatkov, dinamičnih podatkov o transakcijah in preverjanja izdajatelja je razlog, zakaj plačevanja prek NFC ne smemo razumeti kot preprosto skeniranje bančne kartice s čitalnikom in zaupanje v katero koli številko, ki jo ta prejme.

Kje se uporablja plačevanje prek NFC?

Enak osnovni postopek brezkontaktnega plačevanja se lahko uporablja povsod, kjer sta na voljo združljiv plačilni terminal in plačilna infrastruktura.

Najbolj znani primeri so trgovine na drobno in restavracije. Brezstični terminali so pogosti tudi v avtomatih, parkirnih sistemih, samopostrežnih kioskih in drugih plačilnih točkah brez osebja.

Javni prevoz je še ena pomembna področje uporabe. Nekateri sistemi sprejemajo običajne brezkontaktne bančne kartice ali mobilne denarnice neposredno na vstopni zapori. Te sisteme pogosto imenujemo sistemi z odprto zanko, saj se pri njih uporabljajo obstoječa plačilna pooblastila, ki jih izdajo banke.

Drugi sistemi na področju prometa, kampusa, gostinstva in prireditvenih prostorov izdajajo svoje lastne kartice ali izkaznice. To so zaprti krog sistemi, v katerih operater upravlja s poverilnico in z njo povezanim računom.

Čeprav obe uporabljata brezkontaktno tehnologijo, je prav finančni sistem, ki stoji za tem dotikom, tisti, ki določa, kaj lahko kartica ali naprava dejansko počne.

Zaključek

Tehnologija NFC omogoča brezžično povezavo, prek katere lahko kartica, telefon ali pametna ura komunicira s plačilnim terminalom. Plačilni čip ali mobilna denarnica zagotovi varne pristojnostne podatke, terminal posreduje transakcijo v finančno omrežje, izdajatelj pa odloči, ali jo bo odobril.

Ta razdelitev vlog je pomembna tudi pri izbiri tehnologije NFC za posamezen projekt. Programirljiva oznaka NFC lahko stranko poveže s plačilno stranjo ali drugo digitalno storitvijo, medtem ko neposredno plačilo s bančno kartico zahteva varna pooblastila in infrastrukturo namenske plačilne sisteme.