Kako Apple Pay radi ispod haube

Koristite li Apple Pay? Jeste li se ikad zapitali kako prolazi transakcija Apple Paya? U ovom ćete postu saznati kako Apple Pay funkcionira od kraja do kraja.

Mobilna plaćanja postala su vrlo popularna zbog praktičnosti i sigurnosti koju nude. Nema više plastičnih kartica za nošenje i ne morate se brinuti hoćete li ih izgubiti (kakvo olakšanje!).

U ovom ću članku raspraviti kako Apple Pay općenito funkcionira i kako funkcionira kada se koristi na fizičkom POS terminalu, konkretno. Ukratko ću razgovarati i o sigurnosnim prednostima.

Prije ulaska, upoznajmo se s osnovnom terminologijom.

Sigurni element

Sigurni element (SE) nešto je što se spominje kada se govori o Apple Payu, pa moramo razumjeti što je to.

Prema Globalnoj platformi:

Sigurni element (SE) je platforma otporna na neovlašteno miješanje (obično mikrokontroler s jednim čipom) sposobna za sigurno hostiranje aplikacija i njihovih povjerljivih i kriptografskih podataka (npr. Upravljanje ključevima) u skladu s pravilima i sigurnosnim zahtjevima utvrđenim skupom dobro prepoznate pouzdane vlasti.

Apple Pay koristi SE za pohranu tajnih podataka povezanih s tokeniziranim karticama (o tome ćemo kasnije).

U iPhoneima nakon iPhonea 6 i u Apple Watchu, SE je ugrađen u čip komunikacije blizu polja (NFC) uređaja. To se koristi na terminalima za plaćanje za obavljanje transakcija putem NFC-a. SE oponaša platnu karticu tijekom transakcije Apple Payom.

Tokenizacija

Tokenizacija se kao proces sve više usvaja u industriji plaćanja. Ovdje ćemo pokušati razumjeti osnove tokenizacije.

Slijedi kratak opis Wikipedije o tehnologiji tokenizacije:

Tokenizacija , kada se primjenjuje na sigurnost podataka, postupak je zamjene osjetljivog podatkovnog elementa s neosjetljivim ekvivalentom, koji se naziva tokenom, koji nema nikakvo vanjsko ili iskoristivo značenje ili vrijednost. Token je referenca (tj. Identifikator) koja se natrag preslikava na osjetljive podatke kroz sustav tokenizacije. Mapiranje od izvornih podataka do tokena koristi metode koje tokene čine nemogućim preokrenuti u nedostatku sustava tokenizacije

U kontekstu kreditnih kartica i Apple Paya, tokenizacija se koristi za zamjenu broja primarnog računa (PAN ili broja kreditne kartice) žetonom. Token izgleda kao uobičajeni broj kreditne kartice, ali to nije izvorni PAN. Tokenizacija zaustavlja upotrebu izvornog broja kartice tijekom transakcija.

Žetoni sami po sebi nemaju nikakvo značenje i za zločince su bezvrijedni ako im se ukrade žeton. Ne postoji algoritam za izvođenje primarnog broja računa ako imate token. To onemogućava kriminalcima da izvrše obrnuti inženjering primarnog broja računa iz tokena.

Kliknite ovdje za članak Wikipedije o tokenizaciji ako želite saznati više.

Sljedeći dijagram opisuje tijek transakcija Apple Paya. O njima ćemo razgovarati korak po korak u sljedećim odjeljcima.

Dodavanje kartice u Apple Pay

Kartica se može dodati u Apple Pay skeniranjem kartice ili slanjem podataka o kartici. Zatim se ti podaci dostavljaju Appleovim poslužiteljima.

Apple šalje primljene podatke o kartici odgovarajućoj mreži kartica (Visa, MasterCard, AmericanExpress, Discover i tako dalje). Tada mreza kartica provjerava podatke o kartici kod banke izdavatelja.

Nakon provjere valjanosti mrežna kartica koja djeluje kao TSP (davatelj usluga Token) stvara žeton (koji se u kontekstu Apple Paya naziva DAN ili broj računa uređaja) i ključ tokena. Ovaj DAN generira se pomoću tokenizacije i nije stvarni broj kartice.

Nakon toga, ti se podaci vraćaju natrag na Appleove poslužitelje. Nakon što uređaj primi ove podatke s Appleovih poslužitelja, oni se spremaju u zaštićeni element uređaja (SE).

Iniciranje transakcije pomoću Apple Paya

Kada svoj Apple uređaj koristite na POS terminalu za plaćanje, uređaj komunicira s terminalom radi pokretanja transakcije. Apple Pay koristi EMVCO-ovu beskontaktnu specifikaciju za komunikaciju s terminalom. Ako terminal ne podržava EMV beskontaktno, Apple Pay vraća se u beskontaktni način MSD (podaci magnetske trake).

EMV beskontaktni način

Kada se koristi beskontaktni način EMV, Apple uređaj komunicira s terminalom prema beskontaktnoj specifikaciji EMV. Sigurni element na uređaju generira dinamički kriptogram za svaku transakciju pomoću tokena, ključa tokena, iznosa i ostalih informacija povezanih s transakcijom. Taj se dinamički kriptogram zatim šalje obrađivaču plaćanja zajedno s tokenom (DAN), iznosom transakcije i ostalim potrebnim informacijama za obradu transakcije.

Beskontaktni MSD način

Beskontaktni MSD postoji za podršku terminalima koji još uvijek nisu u mogućnosti obraditi u beskontaktnom načinu EMV. Većina terminala i dalje radi u beskontaktnom MSD načinu. Pogledajmo dublje kako prolazi transakcija pomoću beskontaktnog MSD načina.

MSD ili Magnetic Stripe Data je način na koji starije kartice pohranjuju detalje o karticama. Podaci se pohranjuju kao tragovi na karticama s magnetskim trakama. Kartice s magnetskom trakom mogu imati do 3 pjesme, a svaka pjesma (track1, track2, track3) ima drugačiji format. Kliknite ovdje za dodatne informacije o podacima staze.

U beskontaktnom MSD načinu rada Apple Pay, format podataka track2 koristi se za prijenos podataka kartice u procesor plaćanja koji zatim komunicira s mrežom kartice.

Pogledajmo neke primjere podataka zapisa koji se šalju s terminala procesoru za transakciju Apple Paya.

370295292756481 = 220672716078290600047

Iznad je primjer podataka o stazama primljenih s terminala koji su zarobljeni na gatewayu za plaćanje.

Razumijemo ovaj segment podataka po segmentima,

  • Označeno žutom bojom - ovo je broj računa uređaja ili DAN (ovdje je primjer DAN-a s kartice AmericanExpress. Ovdje možete potvrditi identifikacijski broj banke (BIN) ili početnih 6 znamenki na broju kreditne kartice).
  • Označeno plavom bojom - ovo je godina i mjesec isteka kreditne kartice (yy / mm)
  • Istaknuto ružičastom bojom - ovo je šifra usluge. Kliknite ovdje da biste saznali više o tome.
  • Označeno ljubičastom bojom - ovaj je dio podataka diskrecijski za mrežu kartica. U slučaju Apple Paya, ovo se koristi kao vrijednost za provjeru dinamičke kartice (CVV).

Saznali smo da se u načinu EMV generira dinamički kriptogram . Ovdje dinamički CVV igra ulogu kriptograma. To se generira pomoću ključa tokena i ostalih podataka povezanih s transakcijama (slično generiranju dinamičkog kriptograma ).

Gore navedeni podaci o tragovima šalju se stjecatelju zajedno s iznosom transakcije. Stjecatelj prosljeđuje ove podatke relevantnoj mreži kartica (Visa, MasterCard i tako dalje) na temelju BIN-a.

Završetak transakcije Apple Pay

Kad mrežna kartica primi zahtjev za transakcijom, utvrđuje je li to stvarni broj kartice ili tokenizirani broj kartice. Ako je tokeniziran (što je slučaj za transakcije Apple Paya), mrežna kartica provjerava kriptogram (ili dinamički CVV) pomoću njihove kopije ključa tokena (mrežna kartica ovdje djeluje kao TSP).

Nakon nekih dodatnih provjera, mrežna kartica de-tokenizira DAN i dobiva izvorni PAN (primarni broj računa).

Ovaj zahtjev za transakcijom šalje se izdavatelju (banci ili financijskoj instituciji koja je izdala kreditnu karticu) zajedno s izvornim PAN-om. Izdavatelj autorizira transakciju i šalje odgovor koji na kraju stiže do POS terminala.

Yay! Transakcija dovršena!

Ponovno prikazivanje zahtjeva za transakcijom

Jedan od najvećih problema s tradicionalnim transakcijama karticama je sposobnost ponovne reprodukcije prošlih zahtjeva za transakcijama (napad ponovne reprodukcije). Ako ponovo pošaljete isti zahtjev za transakcijom, izvršila bi se druga transakcija s istim podacima.

Kod Apple Paya to se ne događa (također kada se EMV kartice koriste izravno na terminalu). Svaki zahtjev za transakcijom može se koristiti samo jednom. Dinamički kriptogram (dinamički CVV u MSD načinu) to osigurava. Za svaku transakciju generira se novi kriptogram koji se može koristiti samo jednom (i vrijedi samo za određeno vremensko razdoblje).

Zaključak

U ovom smo članku prošli pregled toka transakcija Apple Paya. O Google Payu raspravljat ću u sljedećem članku.

Reference

  • //www.gmarwaha.com/blog/2015/01/03/apple-pay-an-attempt-to-demystify-take-2/
  • //www.emvco.com/emv-technologies/contactless/
  • //msrtron.com/blog-headlines/blog-card-data
  • //www.slideshare.net/bellidcom/what-is-a-token-service-provider-52887269

Prije nego što odeš!

Ako ste uživali u ovom članku, pljeskanje je dobrodošlo!