Kép forrása: www.paymentsleader.com
A pénzforgalmi iparág gyors ütemben változik és mindez annak tudható be, hogy új technológiák jelennek meg és az egyes pénzügyi intézményeknek gyorsan kell reagálniuk a biztonsági kérdésekre. Ennek köszönhetően hatalmas mennyiségű idegen szó és mozaikszó szivárog be a köznyelvbe, ezért könnyű elveszni ebben a betűtengerben. Az alábbikban ismertetjük a mobil- és elektronikus fizetésekhez kapcsolódó terminológiákat, illetve mozaikszavakat, valamit hogy mit jelentenek és mire használhatóak, illetve hogy együtt mennyiben könnyítik meg és teszik biztonságosabbá a kártyás, ill. mobil fizetéseinket.
Tokenizálás, tokenesítés a kártyán lévő adatok védelmét jelenti oly módon, hogy a kártya Elsődleges Számla Számát (Primary Account Number (PAN)) egy egyedi, véletlenszerűen generált számok sorozatával helyettesítik. Ez a token a megfelelő feloldó kulccsal bármikor visszafordítható a neki megfelelő valódi PAN értékre. Különböző tokenek léteznek és különböző módokon lehet ezeket létrehozni. Egy token lehet kereskedő specifikus, egyszeri vagy többször használatos, lehet felhőben vagy ún. token vault-okban (token trezorokban) tárolni és miután a token létrejött hozzá lehet rendelni egy mentett kártyához, vagy egy egyszeri tranzakcióhoz vagy fizetési kártyához vagy eszközhöz. A véletlenszerű token kódsorozat a tényleges PAN helyettesítő értékeként szerepel és az adat a kibocsátó rendszerén belül marad. A tokenesítéssel elkerülhető, hogy a szenzitív fizetési kártya adatok a kereskedők, webáruházak és mobil pénztárca szolgáltatók hálózatán kerüljenek tárolásra. A fizetési tokenizáció lehetővé teszi, hogy a fogyasztó a fizetési kártyát egy mobilpénztárcában vagy egy webáruházban regisztrálja és a kártya tényleges számát az adott kereskedőre vagy pénztárcára vonatkozó fizetési token kóddal helyettesítse. A tokenizáció nem új jelenség, de a közelmúltban előforduló adatokkal kapcsolatos visszaélések rávilágítottak arra, hogy a fizetési számla adatokat fokozottan védeni kell.
Összefoglalva a tokenesítés valójában a tényleges fizetési kártyaszámla és az egyedi azonosító között létrehozott biztonságos kapcsolatot jelenti. Ez az egyedi azonosító lehet egy pszeudoszám - vagyis egy olyan szám, ami úgy néz ki mint a tényleges kártyaszám - azért, hogy kompatibilis legyen a meglévő eladási-, ill. feldolgozási pontokkal (POS terminálokkal) -, így valójában modell információkat, nem pedig a valós kártyaadatokat közvetíti. De van másféle token is. A legtöbb mobilpénztárca szolgáltató, mint pl. a Paydient, vagy a LevelUp tokenként kétdimenziós vonalkódokat használ (ún. QR kódot (gyors válasz kódot)) ami okostelefonnal leolvasható, így lehetővé téve a kizárólag mobilon végzett tranzakciókat. Más szolgáltatók azonban, mint pl. a PayPal tokenkét e-mail címet vagy mobil telefonszámot használ. Ez a kód kétrétű: először is védelmi vonalat képez a fizetési-forrás és a támadó között, másrészről a meglévő fizetési módszereket különböző kontextusokban engedi működtetni.
EMV (Europay, MasterCard® és Visa®) egy globális fizetési rendszer, ami egy mikroprocesszor chip elhelyezését jelenti a hitel-, vagy az előre fizetett kártyákon, vagy bankkártyákon, így azok kevésbé vannak kitéve a személyes tranzakciók során előforduló csalásoknak. Ezek a chip- vagy smart kártyák dinamikus adatokat generálnak minden egyes tranzakcióra, ami megakadályozza, hogy a tranzakciós adatokat csalárd módon újra felhasználják. Ezzel ellentétben a mágneskártya statikus, nem változó adatokat tárol. A chipkártya technológia három fő tranzakció fajtánál használható: érintős, érintés nélküli vagy mobiltranzakciókhoz. Az EMV chip kriptográfiai (rejtjelezett) kulcsokat használ, ami egyedi kódokat generál minden egyes tranzakcióra, így lehetetlen az adatokat klónozni vagy ellopni.
Az Ameriaki Egyesült Államokban 2015. október 1-től azoknál a kártyás csalásoknál, ahol a kártya fizikailag jelen van (card-present fraud) a felelősség azt a felet fogja terhelni, aki a csalásban érintett tranzakció esetében a legkevésbé EMV kompatibilis. (Bár az EU-ban a kártyák majdnem 100 %-a chipkártya, az USA-ban nagyon sok mágneskártyát használnak még.) Az a kereskedő viseli a csalás költségeit akinek az eladási terminálja (POS) nem felel meg az EMV-szerinti módosításoknak, vagy akiknek a terminálja nem fogadja el chipkártyát.
NFC, vagyis Near Field Communication (kis hatótávolságú kommunikáció) egy sztenderdizált vezeték nélküli kommunikációs technológia ami lehetővé teszi az adatáramlást olyan készülékek között, melyek csak pár centire vannak egymástól. Az NFC adatátvitel rövid hatótávolságú és biztonságosabb tranzakciókhoz használják - szemben a rádiófrekvencia vagy RFID típusú tranzakciókkal, melyek hosszú hatótávolságúak és csak minimálisan biztonságosak. Az NFC-re állított telefon egy fizetési applikációval és fizetési számla információval van ellátva. Ez az applikációs és számla információ titkosítva van és a telefon biztonsági részében kerül tárolásra. A telefon az NFC technológia segítségével a kereskedő érintésnélküli fizetést lehetővé tevő POS rendszerével kommunikál. A fizetés úgy történik meg, hogy a fogyasztó pár centire odatartja a telefonját az érintésnélküli fizetést lehetővé tevő POS rendszerhez és a tranzakció létrejön.
A napokban több angol lapban is megjelentek cikkek arról, hogy hogyan lehet a kártyaadatokat ellopni úgy, hogy a kártya még a tulajodnos zsebében van.
Ennek demonstrálására pont a fent említett RFID technológiát használták, ami 13.56 Mhz-el kommunikál a kártyával és az olvasóval. A hacker egy kisteljesítményű Linux számítógépet és egy könnyen hozzáférhető RFID olvasót használt a művelethez. A digitális zsebtolvajok az RFID app-ot a telefonjukra is letölthetik, nem kell hozzá külön eszközt vásárolni. Ha az olvasó, vagy az RFID-s app-os okostelefon elég közel kerül, akkor azokat a wireless jeleket, amiket a kártya akkor bocsát ki, amikor éppen vásárolnak vele, be tudja fogni. Azután ezeket az információkat csak egy olyan készülékbe kell tenni, amit online akár 300 dollárért is meg lehet vásárolni és a kártyát csak le kell másolni.
Szakértők szerint a kártya hátoldalán szereplő 3 jegyű kód (CVC) a megoldás, mert ezeket nem lehet leolvasni a fenti módszerrel. Viszont számos webáruházban ezt a 3 jegyű kódot nem is kérik, illetve a boltokban lehet olyan hamis kátyával is fizetni, ami nem tartalmazza a CVC kódot.
Sokak szerint megoldást jelenthet továbbá a kártya fóliáva történő lefedése is.
HCE, vagyis Host Card Emulation (Felhőből Elérhető Kártyák), ami lehetővé teszi, hogy az NFC eszközök érintésnélküli tranzakciókat bonyolítsanak le azzal, hogy a fizetést, az egyéb azonosítókat és a vonatkozó kártya applikációkat nem ott tárolják, ahol a biztonsági elemet (SE - Secure Element). A HCE az NFC vezérlő számára ezen felül olyan opciót nyújt, hogy az érintésnélküli olvasóból vagy a POS terminálból a kommunikáció egy Felhőből Elérhető Kártya szolgáltatóhoz kerül. A HCE-ben a fizetési applikáció a telefon operációs rendszerére települ és és közvetlenül komminikál a felhő-rendszerrel és az NFC vezérlővel. Nincs szükség arra, hogy a kártya kibocsátó SIM-et vagy más biztonsági elemet (SE) használjon annak érdekében hogy érintésnélküli NFC mobilfizetéseket bonyolítson.
MST vagy Mágneses Biztonsági Átvitel technológia. Ez a rendszer váltóáramot generál a változó mágneses mező induktív ciklusain keresztül. A eszköz által észlelt jel ugyanazt a mágneses mező változást utánozza mint a mágnescsíkos kártya amikor ugyanazon az olvasófejen keresztülhúzzák. MST az olvasófejtől számított 2,5-3 cm-es távolságon belül működik. Az MST-t a LoopPay mobil-pénztárca megoldás szabadalmaztatta ami lehetővé teszi, hogy a fogyasztók a mobiljaikkal fizethessenek. A LoopPay-t utóbb a Samsung felvásárolta. A tranzakció biztonsága érdekében az MST csak a továbbítási folyamatban működik.
Hogyan működnek együtt
A technológia keményen dolgozik azért hogy biztonságosabbá tegye a fogyasztók tranzakciót és ezek közül is sok technológia hasonlóságot mutat. A két legjobb példa az együttműködő technológiákra az Apple Pay és a Samsung Pay. Mind a kettő a tokenizációt használja arra, hogy a kártyaadatokat titkosítsa és NFC-t használnak az adattovábbításra. Azonban a Samsung elöl jár abban, hogy MST technológiát is ajánl , amely lehetővé teszi, hogy a fogyasztó olyan tranzakciókat bonyolítson, ahol a kereskedő csak mágneses kártyaolvasóval rendelkezik. A másik különbség a két pénztárca között az, hogy az Apple a tokenek és a fizetési azonosítók tárolására a biztonási elemet (SE) használja, míg a Samsung a HCE-t így az azonosítók a biztonsági elemen (SE) kívül tárolhatóak - egy operációs rendszerben vagy pl. felhőben. Bizonoys értelemben az Apple Pay és a Samsung Pay tranzakciók hasonlóak az EMV tranzakcióhoz abban, hogy megakadályozzák azt hogy alopott kártyaadatokat máshol felhasználják. Az egyedülálló eszköz felmiserő ami egy mobil tranzakció alkalmával létrejön ugyanazat a célt szolgálja, mint a mikochip az EMV kártyán azaz minden egyes tranzakció alkalmával egy dinamikus rejtjelet továbbít.
