Hur fungerar NFC-betalningar?

Med NFC-betalning kan du betala genom att hålla ett kontaktlöst bankkort, en telefon eller en smartklocka nära en kompatibel betalterminal. NFC sköter den trådlösa kortdistansförbindelsen, medan kortets chip, terminalen, betalningsnätverket och banken sköter själva transaktionen.

Ett kortdrag kan ta bara en sekund, men under den tiden sker flera steg. Betalningsenheten kommunicerar med terminalen, skapar säkerhetsdata för transaktionen och skickar betalningen via banknätverket för godkännande.

Vad är NFC-betalning?

NFC, eller Near Field Communication, är en trådlös teknik med kort räckvidd som arbetar på frekvensen 13,56 MHz. Vid betalningar gör den det möjligt för ett betalkort eller en mobil enhet att kommunicera med en betalterminal utan att behöva sättas in i läsaren.

EMV Contactless stöder betalningar både från kontaktlösa chipkort och NFC-kompatibla mobila enheter. Kortet eller enheten behöver bara hållas mycket nära terminalen.

Vanliga NFC-betalningsmetoder är bland annat kontaktlösa betalkort och kreditkort, Apple Pay, Google Pay samt smartklockor med betalningsfunktion.

NFC-anslutningen i sig överför inte pengar mellan konton. Den fungerar som en lokal kommunikationslänk mellan betalningsenheten och terminalen. Resten av transaktionen sker via den vanliga betalningsinfrastrukturen.

Hur fungerar NFC-betalningar?

En typisk kontaktlös korttransaktion kan delas upp i fem steg.

1. Terminalen aktiverar kortet

Först anger eller bekräftar handlaren köpbeloppet. Därefter skapar betalterminalen ett radiofrekvensfält runt sin kontaktlösa läsare.

Ett fysiskt kontaktlöst bankkort behöver inget eget batteri. Dess inbyggda antenn tar emot energi från terminalen och tillför tillräckligt med ström för att chipet ska kunna fungera.

Därför kan ett kontaktlöst kort ibland ligga oanvänt i plånboken i flera år och ändå kommunicera med en terminal när man trycker på det.

Mobiltelefoner och smartklockor skiljer sig åt eftersom de har en egen strömkälla, även om de fortfarande använder samma kontaktlösa gränssnitt med kort räckvidd när de kommunicerar med betalterminalen.

2. Kortet och terminalen upprättar en förbindelse

Så snart kortet kommer in i terminalens läsfält inleder terminalen och kortet kommunikation med varandra.

Kontaktlösa betalkort använder vanligtvis teknik som bygger på standarden ISO/IEC 14443. EMV-specifikationerna fastställer sedan hur betalningsapplikationen och terminalen utbyter den information som krävs för att genomföra transaktionen.

Terminalen identifierar en tillgänglig betalningsapp och inleder EMV-transaktionen. I detta skede gör kortet mer än att bara skicka ett lagrat kortnummer.

3. Kortet genererar transaktionsdata

Betalningschipet innehåller autentiseringsuppgifter och kryptografisk information som utfärdats inom ramen för betalkortsystemet.

Vid en transaktion används dessa autentiseringsuppgifter för att generera säkerhetsdata som är specifika för just den betalningen. EMV beskriver detta som en engångssäkerhetskod eller ett kryptogram. Ett nytt värde genereras för varje ny transaktion, istället för att samma fasta säkerhetskod används varje gång.

Transaktionen kan även innehålla uppgifter som tillhandahålls av terminalen, till exempel köpbeloppet och andra transaktionsparametrar.

4. Transaktionen skickas för godkännande

Efter att ha kommunicerat med kortet skickar terminalen betalningen vidare till det finansiella nätverket.

En förenklad väg ser ut så här:

Kort eller telefon → POS-terminal → handlarens inlösare/betalningsleverantör → kortnätverk → utfärdande bank

Den utfärdande banken är den bank eller det finansinstitut som ansvarar för kundens kort.

Den tar emot transaktionsinformationen och utför de kontroller som krävs för att avgöra om betalningen ska godkännas. Detta kan bland annat innebära att man verifierar betalningsuppgifterna och de kryptografiska uppgifterna samt kontrollerar kontots och transaktionens status.

5. Beslutet om godkännande eller avslag skickas tillbaka till terminalen

Utfärdaren meddelar sitt beslut via betalningsnätverket.

Om betalningen godkänns bekräftar POS-terminalen betalningen. Om den avslås får terminalen istället ett svar som visar detta.

Hela transaktionen är ofta avslutad inom några sekunder.

Avräkningen av pengarna mellan finansinstituten sker separat. När man trycker på terminalen hanteras främst transaktionens autentisering och auktorisering, snarare än att pengarna omedelbart överförs från ett bankkonto direkt till handlarens konto.

Kräver NFC-betalningar en internetanslutning?

Själva NFC-överföringen på kort avstånd kräver inte någon mobil- eller Wi-Fi-anslutning på kundens telefon. En vanlig betalterminal hos en handlare behöver dock tillgång till inlösaren eller betalningsförmedlaren för att begära en onlineauktorisering. Vissa betalningsmiljöer kan stödja begränsad offlinebehandling, uppskjuten behandling eller ”store-and-forward”-behandling enligt specifika regler.

Vad finns inuti ett kontaktlöst bankkort?

Ett kontaktlöst betalkort eller kreditkort är ett specialiserat kontaktlöst smartkort.

Inuti plastkortet finns två viktiga komponenter: ett säkert chip och en antenn. Antennen löper normalt sett runt en stor del av kortet så att den kan kopplas ihop med det elektromagnetiska fält som terminalen alstrar.

Chipet innehåller betalningsapplikationen och den skyddade information som krävs för betalningstransaktioner. Det kan utföra kryptografiska operationer istället för att fungera som ett vanligt läsbart minne.

Detta förklarar också varför en skada på antennen kan förhindra kontaktlös betalning, även om de synliga chipkontakterna på kortets framsida fortfarande fungerar. Kontaktbetalning via metallkontakterna och kontaktlös betalning använder olika fysiska gränssnitt för att kommunicera med chipet.

Är alltså ett kontaktlöst bankkort ett NFC-kort?

Vid normal användning, ja: det är ett kort som stöder NFC/kontaktlös kommunikation på 13,56 MHz. Mer exakt är det ett säkert betalkort som är utformat för kontaktlösa EMV-transaktioner, snarare än en NFC-tagg för allmänt bruk.

Vilken information utbyts vid en NFC-betalning?

Det sägs ibland att kontaktlösa kort helt enkelt “skickar dina kortuppgifter”. Den beskrivningen utelämnar den viktigaste delen av processen.

Viss betalningsinformation kan överföras under transaktionen. Visa uppger till exempel att deras kontaktlösa kort kan överföra kontonummer, giltighetstid och en engångskod som ändras vid varje transaktion som genomförs i butik.

Den viktiga skillnaden ligger mellan relativt statisk kontoinformation och dynamiska säkerhetsuppgifter om transaktioner.

Kontoinformationen identifierar betalkontot. Det dynamiskt genererade kryptografiska värdet hjälper utfärdaren att avgöra om transaktionen härrör från giltiga betalningsuppgifter och om transaktionsuppgifterna är giltiga.

En avlyssnad kontaktlös transaktion förser därför inte en annan enhet med ett återanvändbart kryptogram som enkelt kan användas på nytt för en ny kontaktlös EMV-transaktion. Säkerhetsvärdet är knutet till den enskilda transaktionen.

Det betyder inte att betalningsuppgifter ska betraktas som icke-känsliga. Det innebär att säkerheten i kontaktlösa EMV-betalningar inte enbart bygger på att kortnumret hålls hemligt.

Så här fungerar NFC-betalningar på mobiltelefoner och smartklockor

En telefon kan kommunicera med samma typ av kontaktlös betalningsterminal, men den visar inte nödvändigtvis samma betalningsuppgifter som det fysiska kortet som du har i plånboken.

Mobila plånböcker använder ofta tokenisering vid betalningar.

När ett kompatibelt kort läggs till i Google Pay kan till exempel en enhetstoken – även kallad DPAN eller virtuellt kontonummer – tilldelas enheten. Google uppger att denna enhetstoken skickas till terminalen istället för kortets faktiska primära kontonummer vid en NFC-betalning.

Apple Pay använder en liknande enhetsspecifik metod. Apple uppger att ett enhetskontonummer lagras i enhetens Secure Element och används tillsammans med transaktionsspecifika dynamiska säkerhetsuppgifter. Det faktiska betalkortsnumret skickas inte av enheten under en Apple Pay-transaktion.

Den allmänna betalningsvägen är fortfarande välbekant:

Telefon → NFC-betalningsterminal → betalningsnätverk → kortutgivare

Det som förändras är den autentiseringsuppgift som enheten presenterar.

Mobiltelefoner och klockor kan också erbjuda verifiering av kortinnehavaren på enhetsnivå. Beroende på enhet och plånbok kan användaren autentisera sig med Face ID, ett fingeravtryck, en kod eller någon annan godkänd metod innan betalningsuppgifterna används.

NFC-gränssnittet utgör därför endast en del av mobilbetalningen. Bakom detta sker säker hårdvara, tilldelning av token, användarautentisering och hantering i betalningsnätverket.

Krävs det alltid en PIN-kod vid kontaktlös betalning?

Nej. Huruvida en PIN-kod eller någon annan metod för verifiering av kortinnehavaren krävs beror på faktorer som transaktionsbelopp, utfärdarens regler, terminalens konfiguration, betalningsnätverkets regler och lokala bestämmelser. En kontaktlös korttransaktion kan ibland kräva att kunden anger en PIN-kod. På en telefon eller smartklocka kan en lyckad biometrisk verifiering eller verifiering med lösenord fungera som en verifieringsmetod för kortinnehavare via konsumentens enhet, vanligtvis kallad CDCVM.

NFC-betalkort jämfört med vanliga NFC-taggar

Ett kontaktlöst bankkort och ett vanligt NFC-tagg De kan båda sända på 13,56 MHz, men deras prestanda skiljer sig avsevärt åt.

Standard-NFC-chip som NTAG213, NTAG215 och NTAG216 är NFC Forum Type 2-taggar. De erbjuder användarminne för tillämpningar som smart reklam, produktinteraktion, autentisering och andra NFC-upplevelser. De stöder NDEF-datastrukturer som kompatibla telefoner kan läsa.

En NTAG213 kan till exempel innehålla en URL som:

https://example.com/pay/order123

När en kund trycker på taggen öppnar telefonen den sidan och kunden kan gå vidare till kassan online.

NFC-taggen har bidragit till att inleda betalningsprocessen, men taggen i sig har inte genomfört någon EMV-transaktion med bankkort. Den har helt enkelt tillhandahållit de uppgifter som ledde telefonen till betaltjänsten.

Samma princip kan användas på restauranger, obemannade kiosker, produktförpackningar, evenemangssystem eller andra tillämpningar där en tryckning ska koppla samman ett fysiskt föremål med en betalningssida på nätet.

Vissa organisationer använder även kontaktlösa kort eller enheter i slutna system, där autentiseringsuppgifterna identifierar ett konto inom organisationens egen plattform. Kort för kollektivtrafik, campussystem, förbetalda kort och liknande tillämpningar kan använda mer avancerade och säkra kontaktlösa chip. Dessa system ska dock inte förväxlas med utfärdandet av ett vanligt bankkort som fungerar i Visa, Mastercard eller ett annat öppet betalningsnätverk.

Hur skyddas NFC-betalningar?

Säkerheten vid kontaktlösa betalningar bygger på betalningsuppgifterna och den kryptografiska kommunikationen, inte enbart på NFC:s korta läsavstånd.

Transaktionsspecifika kryptogram

EMV-chiptransaktioner genererar säkerhetsdata för enskilda transaktioner. EMVCo beskriver kryptogrammet som ett engångsvärde som hjälper kortutfärdaren och terminalen att verifiera transaktionen.

Om någon registrerar en giltig transaktion kan det kryptografiska värdet inte utan vidare återanvändas som giltigt kryptogram för en annan transaktion.

Skyddade kryptografiska nycklar

De nycklar som används för att generera giltiga betalningskrypogram skyddas inom betalningsuppgifterna istället för att överföras öppet varje gång kortet läses av.

Utfärdaren eller betalningsnätverket kan använda motsvarande information för att verifiera kryptogrammet under transaktionshanteringen.

Tokenisering på mobila enheter

Mobila plånböcker lägger till ytterligare ett säkerhetslager genom att ersätta det fysiska kortets huvudkontonummer med en enhetsspecifik betalningstoken.

Både Apple Pay och Google Pay använder enhetsspecifika betalningsuppgifter för kontaktlösa betalningar som stöds. Om enhetens betalningsuppgifter går förlorade behöver man därför inte avslöja det ursprungliga kortnumret som användes för att ladda kontot.

Denna kombination av säkra autentiseringsuppgifter, dynamiska transaktionsdata och verifiering av utfärdaren är anledningen till att NFC-betalningar inte bör uppfattas som att en läsare bara skannar ett bankkort och litar på vilket nummer den än får.

Var används NFC-betalningar?

Samma grundläggande process för kontaktlös betalning kan användas överallt där det finns en kompatibel betalterminal och betalningsinfrastruktur.

Butiker och restauranger är de mest välkända exemplen. Kontaktlösa terminaler är också vanliga i varuautomater, parkeringssystem, självbetjäningskiosker och andra obemannade betalningsställen.

Kollektivtrafiken är ett annat viktigt användningsområde. Vissa system accepterar vanliga kontaktlösa bankkort eller mobila plånböcker direkt vid spärren. Dessa kallas ofta för ”open-loop”-system eftersom man använder befintliga betalningsuppgifter utfärdade av banker.

Andra system inom transport, campus, hotell- och restaurangbranschen samt evenemangssektorn utfärdar egna kort eller behörighetsbevis. Dessa är sluten slinga system där operatören hanterar inloggningsuppgifterna och det tillhörande kontot.

Båda kan använda kontaktlös teknik, men det är det finansiella systemet bakom ”tap”-funktionen som avgör vad kortet eller enheten faktiskt kan göra.

Slutsats

NFC möjliggör den trådlösa anslutningen som gör att ett kort, en telefon eller en smartklocka kan kommunicera med en betalterminal. Betalchippet eller den mobila plånboken tillhandahåller de säkra inloggningsuppgifterna, terminalen vidarebefordrar transaktionen till det finansiella nätverket och kortutgivaren avgör om den ska godkännas.

Denna rollfördelning är också viktig när man väljer NFC-teknik för ett projekt. En programmerbar NFC-tagg kan leda en kund till en betalningssida eller annan digital tjänst, medan direktbetalning med bankkort kräver säkra inloggningsuppgifter och infrastrukturen hos ett särskilt betalningssystem.