Как платить телефоном: инструкция по настройке и использованию NFC

14443-a select

В начале обмена терминал устанавливает соединение с картой на канальном уровне. Для тех, кто знаком с сетями и моделью OSI, будет удобно представить это в качестве уровня L2, а UID (Unique Identifier) карты как MAC-адрес узла.

В терминологии стандарта ISO-14443:
PCD (proximity coupling device) — название считывателя, в нашем случае это POS-терминал
PICC (proximity integrated circuit card) — карта, в нашем случае эту роль выполняет телефон

Важное отличие обычной платежной карты от Apple Pay в том, что в карта всегда доступна для считывания и никак не позволяет управлять процессом считывания. Ее можно бесконтрольно считать через одежду, в то время как телефон, попадая в поле действия считывателя, предлагает пользователю активировать виртуальную карту. До подтверждения пользователя телефон не передает никакие данные, и считыватель даже не знает, что рядом находится виртуальная карта.

R{amp}gt;{amp}gt; 52 // WUPA (wake up)
R{amp}gt;{amp}gt; 52 // WUPA
R{amp}gt;{amp}gt; 52 // WUPA
R{amp}gt;{amp}gt; 52 // WUPA
R{amp}gt;{amp}gt; 52 // WUPA
R{amp}gt;{amp}gt; 52 // WUPA
R{amp}gt;{amp}gt; 52 // WUPA
T{amp}lt;{amp}lt; 04 00 // ATQA (Answer To Request type A) 
R{amp}gt;{amp}gt; 93 20 // Select cascade 1 (Anti Collision CL1 SEL)
T{amp}lt;{amp}lt; 08 fe e4 ec fe // UID (4 bytes)   BCC (Bit Count Check)
R{amp}gt;{amp}gt; 93 70 08 fe e4 ec fe dd 6e // SEL (select tag 0x9370)   UID   CRC16
T{amp}lt;{amp}lt; 20 fc 70  // SAK (Select Acknowledge 0x20)   CRC16 
R{amp}gt;{amp}gt; 50 00 57 cd // HALT (Disable communocaion 0x5000)   CRC16
R{amp}gt;{amp}gt; 26 // REQA
R{amp}gt;{amp}gt; 52 // WUPA
T{amp}lt;{amp}lt; 04 00 // ATQA
R{amp}gt;{amp}gt; 93 70 08 fe e4 ec fe dd 6e // SELECT
T{amp}lt;{amp}lt; 20 fc 70 // SAK
R{amp}gt;{amp}gt; e0 80 31 73 // RATS (Request Answer to Select 0xE080)   CRC16
T{amp}lt;{amp}lt; 05 78 80 70 02 a5 46 // ATS (Answer to select response)


Терминал постоянно передает команду

0x52

Wake-up (WUPA), и как только в поле действия появляется карта, она отвечает командой Answer To Request type A (ATQA), в нашем случае это

0x04 0x00

. Ответ ATQA может различаться в зависимости от производителей чипа.

Получив ответ ATQA, терминал начинает процедуру выявления коллизий, чтобы определить, есть ли в поле действия более одной карты. Команда 0x93 0x20 Select cascade level 1 (SEL CL1) запрашивает у всех карт в поле действия сообщить первую часть своих идентификаторов UID.

Карта отвечает 0x08 0xFE 0xE4 0xEC 0xFE, первые четыре байта — UID виртуальной карты Apple Pay и контрольная сумма 0xFE Bit Count Check (BCC) в конце.

Получив идентификаторы карт, считыватель обращается к конкретной карте командой 0x93 0x70 (SELECT). За командой следует UID карты 0x08 0xfe 0xe4 0xec 0xfe BCC 0xdd 0x6e CRC16.

Карта отвечает 0x20 Select Acknowledge (SAK) 0xfc 0x70 CRC16.

Если на этом шаге получено несколько ответов SAK, ридер может уменьшить длину UID в команде SELECT, пока не ответит единственная карта. Однако, как показано выше, некоторые POS-терминалы отказываются продолжать, если на этом этапе выявлены коллизии, то есть присутствие нескольких карт одновременно.

Длина UID может быть 4, 7 или 10 байт. У всех банковских карт, что я встречал, в том числе и в Apple Pay, UID был равен 4 байтам. Интересно, что Apple Pay генерирует разный UID на каждое считывание, в отличие от физических карт, где UID обычно постоянный. Уверен, что это сделано для того, чтобы айфоны не использовали в качестве примитивных карт доступа, так как системы СКУД на основе UID до сих пор очень популярны.


Ридер посылает команду

0x50 0x00

HALT

0x57 0xcd

CRC16. Это команда завершения связи.

Дальше процедура повторяется заново, ридер снова пробуждает карту (WUPA), но уже без проверки коллизий, сразу выполняется SELECT. Зачем так сделано — не знаю, возможно, это какой-то более надежный способ определения коллизий.

Читайте ещё про NFC:  Индекс гугл плей как правильно заполнять

Во второй раз ридер уже посылает команду 0xE0 0x80 Request Answer to Select (RATS) 0x31 0x73 CRC16.

Карта отвечает 0x05 0x78 0x80 0x70 0x02 Answer to select response (ATS) 0xA5 0x46 CRC16.

Answer to select — ответ аналогичный Answer To Reset (ATR) для контактных карт. В нем содержится информация о максимальном размере кадра и параметрах канального уровня.

На этом этапе «канальный» уровень завершен, далее начинается обмен на более высокоуровневом протоколе, в зависимости от приложения, содержащегося на карте. Операция SELECT одинакова для всех бесконтактных карт стандарта ISO 14443A, в том числе NFC-меток, билетов на общественный транспорт, и т.д.

Как выбрать для своей деятельности терминал эквайринга?

Самое дорогое оборудование для эквайринга ─ переносной POS-терминал. Если приобретать и его, и онлайн-кассу, получится затратно. Терминалы можно не использовать в тех случаях, когда при расчетах с покупателями не нужна онлайн-касса ─ виды деятельности, для которых касса не обязательна, перечислены в ст.2 54-ФЗ.

Использование мобильного POS-терминала будет удобно в тех случаях, когда у принимающего оплату картой есть номер телефона или электронная почта покупателя. Это, например, могут быть курьеры интернет-магазинов, таксисты. Но покупателя нужно предупредить, что платежный чек он получит только в электронном виде.

Если пытаться принимать безналичную оплату с помощью мобильных POS-терминалов в ситуациях, когда телефон или почта покупателя неизвестны, например, в обычном магазине или кафе, могут быть проблемы: не все захотят при оплате покупки оставлять свои координаты.

Когда после приема оплаты нужно выдать еще и кассовый чек, не обойтись без онлайн-кассы.


Если эквайринг проводится с помощью мобильного POS-терминала, то для выдачи кассового чека могут быть использованы:

  • онлайн-касса (мобильные терминалы) на аккумуляторах;
  • смартфон (планшет) с установленной кассовой программой, к которому подключен фискальный регистратор, зарегистрированный в налоговой.

Более удобный и близкий по стоимости к мобильному POS-терминалу вариант ─ интегрированный пин-пад, подключенный к мобильной онлайн-кассе.

Плюсы использования терминалов ─ пин-падов при эквайринге:

  • такие терминалы подходят для разных видов деятельности, поскольку для выдачи чека не нужны контакты покупателя. Документ, подтверждающий оплату, печатается через кассу;
  • банки берут комиссию при расчетах через подобный терминал как за торговый эквайринг;
  • для работы терминала ─ пин-пада не нужны смартфон или планшет;
  • такие терминалы не надо заправлять кассовой лентой;
  • сумма, которую нужно списать с карты, передается в пин-пад из кассы, что исключает ошибки продавца по невнимательности.

Единственное неудобство совместного использования онлайн-кассы и пин-пада в «походных» условиях ─ нужно заряжать и носить с собой хоть и компактных, но два устройства.

С точки зрения компактности самым удобным мобильным вариантом для расчетов будет онлайн-касса со встроенным эквайрингом. Такую кассу можно использовать для любых видов деятельности: от торговли до услуг. Но ее цена будет выше, чем у комплекта: пин-пад касса.

Какие есть виды эквайринга?

      Стационарный ─ оплата товаров (услуг) в магазинах и точках продаж. Обычно используются терминалы, которые подключены к электрической сети и стационарному интернету.
      Мобильный ─ прием безналичной оплаты вне торговых точек, например, курьерами, таксистами, кондукторами в общественном и рейсовом транспорте, при развозной или разносной торговле. Также такой эквайринг из-за компактного оборудования можно использовать в магазинах или местах оказания услуг с небольшой площадью.
      Интернет-эквайринг ─ оплата товаров и услуг через интернет. Терминалы для такого приема платежей не нужны, все данные карты покупатель вводит на сайте.


Для установления комиссии банки разделяют эквайринг в зависимости от используемого оборудования. Применяется ставка торгового эквайринга, когда расчеты проводятся через:

  • POS-терминалы, которые могут считать данные карты и связаться с банком для ее идентификации и запроса остатка на счете. У таких терминалов есть принтер для печати платежного чека. К POS-терминалам иногда подключают выносную клавиатуру для того, чтобы покупателю было удобно вводить пин-код;
  • интегрированные пин-пады, они могут считывать данные карты, но для того чтобы они через интернет могли запросить у банка информацию о карте и остатке на счете, их нужно подключать к онлайн-кассе. Платежный чек тоже печатается через кассу.
Читайте ещё про NFC:  Зенфон nfc

Мобильный эквайринг, с точки зрения банковской комиссии ─ это расчеты, при которых используются мобильные POS-терминалы (MPOS или ридеры). Ридер ─ это устройство, которое может считать данные карты. Но для доступа в интернет и связи с банком его нужно подключить через Bluetooth к смартфону или планшету (потребуется установка специального мобильного приложения), или вставить в разъем для наушников.

Мобильный POS-терминал не может печатать чеки, он только передает их в электронном виде на email или телефон покупателя. При использовании такого оборудования комиссия банков выше, чем за торговый эквайринг.

На интернет-эквайринг банки устанавливают самые высокие тарифы. Это связано с тем, что для оплаты покупатели вводят данные своей карты в интернете на сайтах через специальные интерфейсы. А это требует дополнительных затрат на защиту данных при платежах.

Кстати: подключить эквайринг в любом банке можно только если у вас есть расчетный счет. А он открывается только для юридических лиц. Для физических лиц открытие расчетного счета не разрешено законом. Поэтому для того, чтобы пользоваться эквайрингом и принимать платежи, вы должны зарегистрироваться как предприниматель (ИП, ООО и т.д.).

Заказать

Оффлайн vs онлайн транзакции

В устрашающих сюжетах новостей рассказывают о мошенниках с POS-терминалами в вагонах метро, которые прямо в пути списывают у вас из карманов деньги. В этих сюжетах не упоминается, откуда у мошенника мобильный интернет в вагоне метро. Возможно, его терминал поддерживает оффлайн-транзакции?

Спецификации EMV допускают оффлайн-транзакции. В таком режиме списание происходит без онлайн-подтверждения со стороны банка-эмитента. Это работает, например, в общественном транспорте в Москве и Санкт-Петербурге. Чтобы не занимать очередь на входе в автобус, пока терминал выполнит онлайн-подтверждение, вас пропускают сразу, не проверяя, достаточно ли у вас денег на счету для оплаты проезда.

В конце дня, когда на терминале появляется интернет, подписанные транзакции отправляются в банк-эмитент. Если окажется, что в этот момент у вас нет денег на оплату проезда, карта будет добавлена в стоп-лист на всех терминалах в городе. Долг можно погасить через личный кабинет по номеру карты. Подробнее об оплате проезда в автобуса Санкт-Петербурга.

Лично мне не удалось получить POS-терминал, поддерживающий такую функцию, поэтому в сценарии с обычным «гражданским» POS-терминалом мы не будем рассматривать возможность оффлайн-списаний. Это ничего не меняет, кроме того, что атакующему потребуется наличие интернета на терминале, поэтому атака, например, в метро, значительно усложняется.

Существуют модели терминалов, поддерживающие WiFi, и в теории наш мошенник мог бы использовать WiFi в метро, предварительно позаботившись о покупке доступа без рекламы для MAC-адреса своего POS-терминала, чтобы не нужно было выполнять аутентификацию через captive portal, так как на POS-терминале это сделать нельзя.

Плюсы и минусы бесконтактной оплаты

Здесь просто подведем итог всему вышесказанному. Какие преимущества дает бесконтактная оплата:

  1. Не надо носить с собой пластиковые карточки банков и магазинов. Например, у меня в сумке есть отдельный аксессуар – визитница, которая под завязку забита разными скидочными картами и, конечно же, банковскими платежными средствами.
  2. Высокая скорость оплаты – пара секунд и готово.
  3. Безопасность выше, чем при оплате банковскими карточками.
  4. Много карточек – много ПИН-кодов от них. В телефоне один пароль дает доступ ко всем платежным средствам.
  5. Это модно. Технология не имеет еще широкого распространения, особенно в небольших городах. Поэтому на человека, который подносит к терминалу телефон, смотрят пока с удивлением и любопытством.
  6. Бесплатное приложение и отсутствие комиссий за операции оплаты.
Читайте ещё про NFC:  Как настроить NFC для оплаты картой Сбербанка: оплата с помощью НФС в телефоне и приложение для бесконтактной оплаты, и как работает метка?

Недостатки тоже есть:

  1. Не все терминалы оснащены бесконтактной технологией, особенно в небольших торговых точках. Поэтому совсем без денег выходить из дома не стоит.
  2. Технологию поддерживают современные смартфоны, не у всех они есть.
  3. Опасения, что при простом касании снимется больше, чем нужно, еще слишком живучи в сознании некоторых людей. Лучше уж понажимать кучу кнопок, 10 раз расписаться где-нибудь. Тогда уж точно все получится как надо.
  4. Если смартфон разрядился, то никакие танцы с бубнами у платежного терминала не помогут совершить платеж.

Популярные мифы об apple pay

  • Карта копируется в телефон
    Это не так, в микропроцессорной карте содержится защищенная область памяти с криптографической информацией, которая после выпуска карты не может быть извлечена. Из-за этого чипованную карту нельзя скопировать, никак, вообще. Справедливости ради нужно сказать, что подобные атаки возможны, но стоимость их превышает суммарное количество денег, которые потратят за всю жизнь большинство читателей этой статьи.
  • Телефон каждый раз подключается к интернету во время оплаты
    Google Pay/Apple Pay не подключаются к интернету во время оплаты через POS-терминал. Вся нужная информация хранится локально в телефоне.
  • На каждую оплату генерируется новый номер карты (PAN)
    Так может показаться, если читать пресс-релизы Apple о технологии Apple Pay. Но это ошибочное трактование понятия токена. На самом деле, реквизиты виртуальной карты остаются неизменными достаточно долго, вы можете это проверить по последним цифрам номера карты в слипе (банковском чеке) при оплате покупок.
  • При оплате через Apple Pay/Google Pay взымается дополнительная комиссия
    Это не так, вы заплатите ровно столько, сколько указано на ценнике, и согласно условиям вашего договора с банком-эмитентом, чью карту вы привязали.
  • Деньги могут списаться два раза
    Этот миф касается не только Google Pay/Apple Pay, но и обычных банковских карт. Полагаю, что он появился из-за систем оплаты общественного транспорта, в которых терминал списывает деньги с проездного билета каждый раз при поднесении, так что можно списать средства два или более раз, если неаккуратно поднести карту. В случае с POS-терминалами этого риска не существует, так как терминал прекращает обмен с картой, как только получил нужные данные.

Как платить телефоном: инструкция по настройке и использованию NFC
Связывание физической карты с «токеном» в телефоне

Системы, подобные Apple Pay, работают на основе EMV Payment Tokenisation Specification. Процедура связывания физической карты и телефона с Apple Pay не описана публично, поэтому разберем процесс на основе известных данных:

  1. Поставщик (Google, Apple, Samsung) получает информацию о карте;
  2. Через МПС поставщик запрашивает, поддерживает ли данная карта (данный банк-эмитент) работу с EMV Tokenisation;
  3. На стороне МПС генерируется виртуальная карта (токен), который загружается в защищенное хранилище в телефоне. Мне неизвестно, где именно генерируется приватный ключ от виртуальной карты, передается ли он по интернету или генерируется локально на телефоне, в данном случае это не имеет значения.
  4. В телефоне появляется сгенерированная виртуальная карта-токен, операции по которой банк-эмитент интерпретирует как операции по первой физической карте. В случае блокировки физической карты, токен тоже блокируется.

Apple Pay позволяет считать реквизиты виртуальной карты. PAN номер и expire date отличаются от привязанной карты российского Альфа-Банка. По BIN виртуальной карты (480099) определяется MBNA AMERICA BANK.

При оплате телефоном, POS-терминал видит обычную карту VISA или MasterCard, и общается с ней точно так же, как и с физической картой. Виртуальная карта-токен содержит все атрибуты обычной карты: PAN-номер, срок действия и прочее. При этом номер виртуальной карты и срок действия отличаются от привязанной оригинальной карты.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Adblock
detector