Sådan fungerer Apple Pay under hætte

Bruger du Apple Pay? Har du nogensinde spekuleret på, hvordan en Apple Pay-transaktion gennemgår? I dette indlæg lærer du, hvordan Apple Pay fungerer fra ende til anden.

Mobilbetalinger er blevet meget populære på grund af den bekvemmelighed og sikkerhed, de tilbyder. Ikke flere plastkort at bære rundt, og du behøver ikke bekymre dig om at miste dem (hvilken lettelse!).

I denne artikel skal jeg diskutere, hvordan Apple Pay generelt fungerer, og hvordan det fungerer, når det bruges specifikt på en fysisk POS-terminal. Jeg vil også kort diskutere sikkerhedsfordelene.

Lad os blive fortrolige med nogle grundlæggende terminologier inden vi dykker ind.

Sikkert element

Et sikkert element (SE) er noget, der nævnes, når vi taler om Apple Pay, så vi er nødt til at forstå, hvad det er.

Ifølge Global Platform:

Et Secure Element (SE) er en manipulationsresistent platform (typisk en chip med en mikrocontroller), der er i stand til sikkert at hoste applikationer og deres fortrolige og kryptografiske data (f.eks. Nøglehåndtering) i overensstemmelse med de regler og sikkerhedskrav, der er angivet af et sæt velidentificerede pålidelige myndigheder.

Apple Pay bruger SE til at gemme hemmelige oplysninger tilknyttet tokeniserede kort (vi vil tale om dette senere).

I iPhones efter iPhone 6 og i Apple Watch er en SE indlejret i enhedens NFC-chip (nærfeltkommunikation). Dette bruges på betalingsterminaler til at udføre transaktioner via NFC. SE emulerer et betalingskort under en Apple Pay-transaktion.

Tokenisering

Tokenisering som en proces vedtages mere og mere i betalingsbranchen. Her vil vi prøve at forstå det grundlæggende i tokenisering.

Følgende er en kort beskrivelse fra Wikipedia om tokeniseringsteknologi:

Tokenisering , når det anvendes til datasikkerhed, er processen med at erstatte et følsomt dataelement med en ikke-følsom ækvivalent, der betegnes som et token, der ikke har nogen ekstern eller udnyttelig betydning eller værdi. Tokenet er en reference (dvs. identifikator), der kortlægges tilbage til de følsomme data gennem et tokeniseringssystem. Kortlægningen fra originale data til et token bruger metoder, der gør tokens umulige at vende i fravær af tokeniseringssystemet

I forbindelse med kreditkort og Apple Pay bruges tokenisering til at erstatte det primære kontonummer (PAN eller kreditkortnummeret) med et token. Et token ligner et normalt kreditkortnummer, men det er ikke det originale PAN. Tokenisering forhindrer det originale kortnummer i at blive brugt under transaktioner.

Tokens har ingen mening i sig selv og er værdiløse for kriminelle, hvis et symbol bliver stjålet. Der er ingen algoritme til at udlede det primære kontonummer, hvis du har et token. Dette gør det umuligt for kriminelle at reverse engineering af det primære kontonummer fra et token.

Klik her for Wikipedia-artiklen om tokenisering, hvis du vil lære mere.

Følgende diagram beskriver transaktionsflowet for Apple Pay. Vi vil diskutere disse trin for trin i de kommende afsnit.

Tilføjelse af et kort til Apple Pay

Et kort kan føjes til Apple Pay ved enten at scanne kortet eller ved at indsende kortoplysningerne. Derefter sendes disse oplysninger til Apple-servere.

Apple sender de modtagne kortoplysninger til det relevante kortnetværk (Visa, MasterCard, AmericanExpress, Discover osv.). Derefter validerer kortnetværket kortoplysningerne hos den udstedende bank.

Efter valideringen opretter kortnetværket, der fungerer som en TSP (Token Service Provider), et token (som kaldes et DAN- eller et enhedskontonummer i forbindelse med Apple Pay) og en tokenøgle. Denne DAN genereres ved hjælp af tokenisering og er ikke det faktiske kortnummer.

Derefter sendes disse oplysninger tilbage til Apple-servere. Når enheden modtager disse oplysninger fra Apple-servere, gemmes den i enhedens sikre element (SE).

Initiering af en transaktion ved hjælp af Apple Pay

Når du bruger din Apple-enhed på en POS-terminal til at foretage en betaling, kommunikerer enheden med terminalen for at igangsætte en transaktion. Apple Pay bruger EMVCOs kontaktløse specifikationer til at kommunikere med terminalen. Hvis terminalen ikke understøtter EMV-kontaktløs, falder Apple Pay tilbage til at bruge kontaktløs MSD-tilstand (magnetstripedata).

EMV-kontaktløs tilstand

Når der bruges EMV-kontaktløs tilstand, kommunikerer Apple-enheden med terminalen i henhold til EMV-kontaktløs specifikation. Det sikre element på enheden genererer et dynamisk kryptogram for hver transaktion ved hjælp af token, tokenøgle, beløb og anden information relateret til transaktionen. Dette dynamiske kryptogram sendes derefter til betalingsprocessoren sammen med tokenet (DAN), transaktionsbeløbet og anden krævet information for at behandle transaktionen.

Kontaktløs MSD-tilstand

Kontaktløs MSD findes for at understøtte terminaler, der stadig ikke er i stand til at behandle ved hjælp af EMV-kontaktløs tilstand. De fleste terminaler fungerer stadig ved hjælp af kontaktløs MSD-tilstand. Lad os se nærmere på, hvordan en transaktion gennemgår ved hjælp af kontaktløs MSD-tilstand.

MSD eller Magnetic Stripe Data er, hvordan ældre kort gemmer kortoplysninger. Data lagres som spor i magnetiske stribekort. Magnetstribe-kort kan have op til 3 spor, og hvert spor (track1, track2, track3) har et andet format. Klik her for at få yderligere oplysninger om spordata.

I Apple Pay-kontaktløs MSD-tilstand bruges track2-dataformatet til at overføre kortdataene til betalingsprocessoren, som derefter kommunikerer med kortnetværket.

Lad os se på nogle eksempler på spordata sendt fra en terminal til processoren til en Apple Pay-transaktion.

370295292756481 = 220672716078290600047

Ovenfor er et eksempel på spordata modtaget fra en terminal, der blev fanget i en betalingsgateway.

Lad os forstå dette datasegment efter segment,

  • Fremhævet med gult - Dette er enhedens kontonummer eller DAN (eksemplet DAN her kommer fra et AmericanExpress-kort. Du kan validere bankidentifikationsnummeret (BIN) eller indledende 6 cifre i kreditkortnummeret her).
  • Fremhævet med blåt - Dette er kreditkortets udløb år og måned (åå / mm)
  • Fremhævet med lyserødt - Dette er servicekoden. Klik her for at forstå mere om dette.
  • Fremhævet i lilla - Denne del af data er skønsmæssigt for kortnetværket. I tilfælde af Apple Pay bruges dette som en dynamisk kortverifikationsværdi (CVV).

Vi lærte, at der i EMV-tilstand genereres et dynamisk kryptogram . Her spiller den dynamiske CVV rollen som kryptogram. Dette genereres ved hjælp af tokenøglen og andre transaktionsrelaterede data (svarende til genereringen af ​​et dynamisk kryptogram ).

Spordataene vist ovenfor sendes til erhververen sammen med transaktionsbeløbet. Indløseren videresender disse oplysninger til det relevante kortnetværk (Visa, MasterCard osv.) Baseret på BIN.

Afslutning af en Apple Pay Transaktion

Når kortnetværket modtager transaktionsanmodningen, identificerer det, om det er et faktisk kortnummer eller et tokeniseret kortnummer. Hvis det er tokeniseret (hvilket er tilfældet for Apple Pay-transaktioner), validerer kortnetværket kryptogrammet (eller dynamisk CVV) ved hjælp af deres kopi af tokenøglen (kortnetværket fungerer her som en TSP).

Efter nogle andre yderligere valideringer aftegner kortnetværket DAN og opnår det originale PAN (primære kontonummer).

Denne transaktionsanmodning sendes til udstederen (banken eller den finansielle institution, der udstedte kreditkortet) sammen med den originale PAN. Udstederen godkender transaktionen og sender svaret tilbage, som til sidst når POS-terminalen.

Yay! Transaktionen er gennemført!

Afspilning af transaktionsanmodninger igen

Et af de største problemer med de traditionelle korttransaktioner er evnen til at afspille tidligere transaktionsanmodninger (replay-angreb). Hvis du sender den samme transaktionsanmodning igen, udføres en anden transaktion med de samme data.

Med Apple Pay sker dette ikke (også når du bruger EMV-kort direkte på terminalen også). Hver transaktionsanmodning kan kun bruges én gang. Det dynamiske kryptogram (dynamisk CVV i MSD-tilstand) sikrer dette. For hver transaktion genereres et nyt kryptogram, som kun kan bruges én gang (og kun er gyldigt i en bestemt periode).

Konklusion

I denne artikel har vi gennemgået en oversigt over Apple Pay-transaktionsflowet. Jeg vil diskutere Google Pay i en kommende artikel.

Referencer

  • //www.gmarwaha.com/blog/2015/01/03/apple-pay-an-attempt-to-demystify-take-2/
  • //www.emvco.com/emv-technologies/contactless/
  • //msrtron.com/blog-headlines/blog-card-data
  • //www.slideshare.net/bellidcom/what-is-a-token-service-provider-52887269

Før du går!

Hvis du har nydt denne artikel, er klapper velkomne!