Ahogyan az Apple a szeptemberi iPhone eseményen is bejelentette, még ebben a hónapban elindul az Egyesült Államokban az új fizetési szolgáltatás, az Apple Pay, amely lehetővé teszi, hogy az iPhone 6, iPhone 6 Plus és Apple Watch készülékeinkkel egyetlen érintés által fizessünk a Visa, MasterCard és American Express elfogadóhelyeken.

Nem meglepő, hogy egyes cégek, mint például a PayPal, elkezdtek hitetlenkedni abban, hogy valóban jó ötlet-e az Apple-re bízni a bankkártyaadatainkat, hiszen alapesetben sajnos bizalmatlanul állunk minden újdonsághoz, főleg ha pénzről és banki adatokról van szó. Az igazság azonban az, hogy az Apple Pay egy rendkívüli biztonsággal rendelkező mobilfizetési platform.

Az Apple legfrissebb, biztonsággal kapcsolatos dokumentuma alapján valójában úgy tűnik, hogy az Apple Pay az eddigi legbiztonságosabb módja annak, hogy tranzakciókat hajtsunk végre a bankkártyánkkal.

A cikk alapjául a Yoni Heisler által írt részletes beszámoló szolgált, melynek különlegessége, hogy Heisler kapcsolatainak köszönhetően olyan emberekkel is tudott konzultálni, akik személyesen is részt vettek az Apple Pay megvalósításában és hajlandóak voltak néhány apró részletet megosztani vele.

Következzenek tehát az érvek, hogy miért is az Apple Pay a hamarosan elérhető legbiztonságosabb fizetési mód.

A hitelkártya adatok nem részei a műveletnek

Az Apple Pay használatakor semmilyen hitelkártya vagy bankkártya adata nem kerül tárolásra – még titkosított formában sem! – az iPhone készülékeken vagy az Apple szerverein. Hasonlóképpen a kereskedő szerverei felé sem kerül tárolásra vagy továbbításra semmilyen adat.

Abban a pillanatban, hogy a felhasználó először regisztrálja a kártyáját az Apple Pay rendszerében, legyen az akár az iTunes fizetések alkalmával használt kártya, vagy egy másik hitel- vagy bankkártya, az adatok titkosított formában azonnal az adott kártyát kibocsátó bankhoz kerülnek. Amint megerősítésre került, hogy az adott kártya érvényes, a bank egy tokent küld vissza a készülékünkre, ami az iPhone Secure Element alkatrészében kerül tárolásra. A Secure Element gyakorlatilag nem más, mint egy fizikailag elkülönített chip a készülékeinkben.

A későbbiekben ez a token lesz használatban a valós kártyaadatok helyett. Erre utal az Apple a különböző marketing anyagaiban úgy, mint egy egyedi Device Account Number számsor.

Mi is az a token?

Az Apple Pay által használt token önmagában egy véletlenszerűen generált, 16 számjegyből álló számsorozat, amely látszólag hasonlít egy valódi kártyaszámhoz, de önmagában ez a számsorozat teljes mértékig használhatatlan. A token tehát nem más, mint egy jegy vagy címke, amely a valódi kártyaadatokra mutat. Az egyetlen közös dolog, amiben megegyezik a token és a valódi bankkártyaszám, az az utolsó 4 számjegy. Ezt leszámítva teljesen eltérőek.

Még 2012-ben a First Data a következőképpen nyilatkozott a tokenek használatának előnyeiről:

“A tokeneket ugyanúgy lehet használni, mint az eredeti bankkártyaszámot, akár ismétlődő kifizetésekre is, azonban nem használható tisztességtelen, csaló tranzakció végrehajtásához a kereskedői környezeten kívül. A tokenek használatának célja, hogy kereskedővel folytatott tranzakciókból a lehető legnagyobb mértékben eltávolítsák a bankkártya adatokat a legrövidebb időn belül úgy, hogy közben fenntartsák a már meglévő üzleti tranzakciós folyamatokat.”

A tokenek önmagukban használhatatlanok és nem lehet őket dekódolni sem

Ahogyan már korábban is említettem, a tokenek legfontosabb tulajdonsága tehát az, hogy önmagukban teljesen hasznavehetetlenek és nem alkalmasak semmiféle monetáris tranzakcióra. Ezen túlmenően az Apple Pay által használt tokenek nem egy bizonyos matematikai szabály szerint generáltak, így nem lehetséges őket dekódolni sem, hiszen a titkosítás nem része az egyenletnek. Más szavakkal tehát nem létezik olyan mesterkulcs, egyenlet, módszer, amelynek segítségével a tokenekből vissza lehet kapni az eredeti kártyaszámot. Amikor egy új kártyát hozzáadunk majd az Apple Pay rendszerhez, akkor a kártyaszám egy véletlenszerűen generált sorral lesz majd helyettesítve, amelyet egyedül a token kibocsátója, azaz jelen esetben a kártyát kibocsátó bank tud csak visszavezetni a kártya valódi adataihoz.

Akár a legtehetségesebb hackereknek és kódfejtőknek is odaadhatnánk egy több millió darab tokenből álló listát, semmire sem tudnák használni azokat.

Egy extra réteg biztonsági óvintézkedésként pedig, hogy minden egyes token egy adott készülékhez van rendelve úgy, hogy azokat egy másik készülékről lehetetlen használni.

Az Apple Pay tranzakciók működése

Amint elkezdődött a tranzakció, az iPhone elküldi a tokent a kereskedőnek, aki továbbítja azt az adott kártyának megfelelő bankhoz, ahol a token visszavezetődik az eredeti kártya adataihoz. Tehát a kártyát kibocsátó bank az a hely, ahol a token azonosítást kap és újra mellérendelődnek a valós kártyaadatok. Abban az esetben, ha a kártyával rendben van minden és a bank megerősíti, akkor egy üzenet formájában jelez a kereskedőnek, hogy a kártya rendben van és megkezdődhet a tranzakció.

Ez a folyamat valójában biztonságosabb, mint magának a hagyományos bankkártyának a használata, mivel ebben az esetben a kereskedő csak egy tokent kap és sosem rendelkezik a valós kártyaadatokkal.

Ezen módszerrel tehát az összes eddig bevett, a kártyaadatok ellopására kifejlesztett módszer idejétmúlttá válik, hiszen jelen esetben már nincs is mit ellopnia az illetőnek.

Ne feledjük azonban, hogy a tokenek használata még mindig csak egy a sok közül, ami az Apple Pay szolgáltatást az egyik legbiztonságosabbá teszi.

Touch ID és kriptogramok

Az EMV Payment Tokenisation Specification alapján ahhoz, hogy tokeneken alapuló tranzakciókat használhassunk, elengedhetetlen, hogy egy személyes azonosítás is történjen a tényleges tranzakció előtt. Ez az a pont, ahol bejön a képbe a Touch ID egyszerűsége és zsenialitása. Ahelyett, hogy egy bonyolult jelszót kéne minden egyes tranzakciónkkor megadnunk, a felhasználók egész egyszerűen azonosíthatják magukat az ujjlenyomatuk segítségével.

Azonban itt is sokkal több minden történik a felszín alatt, mint ami elsőre látszik. Még egy hozzáadott biztonsági szintként az Apple Pay funkcióval rendelkező iPhone készülékek esetén minden egyes tranzakció alkalmával küld egy dinamikusan generált CVV (card verification value) számot a készülék egy kriptogrammal együtt. A CVV normál esetben a kártya hátulján található utolsó három számjegyet jelenti, amely az Apple Pay használata esetén egy algoritmikusan generált dinamikus számsor, amely közvetlenül a tokenhez van rendelve. A kriptogram önmagában azonosítja az eszközt, amely a tokent készítette. Fontos megjegyeznünk, hogy ezen kriptogramnak a pontos részei még nem ismerhetőek és valószínű, hogy nem is lesznek azok a későbbiek során sem.

Amit viszont fontos tudnunk, hogy a kriptogram tehát egy egyszer használatos digitális aláírás, amely azonosítja, hogy az adott token melyik készülékről érkezett. Ráadásképpen a kriptogram olyan adatokat is tárol, hogy melyik kereskedő vont le összeget és pontosan mennyit.

A tokenek tehát nem használtatóak egy kísérő kriptogram nélkül, amely azt biztosítja, hogy az adott tokent csak az a készülék küldheti, amelyen eredetileg regisztrálva lett a kártya.

Steve Mott, a MasterCard volt menedzsere a következőképp nyilatkozott a fent tárgyalt módszerről:

“Miután a hálózat kibogozta a kriptogramot, azután a tranzakció információit továbbítja a kibocsátónak jóváhagyásra. A lényeg, hogy a kereskedő nem lát semmilyen számlainformációt, kivéve az utolsó 4 számjegyét a PAN (CC szám) számnak, amelyet mint a számla azonosítóját használat arra, hogy nyomon kövesse a mennyiséget és az aktivitást számlánként. A folyamat egyetlen dinamikus része a kriptogram, amely tranzakcióként generálódik, a többi adat azonban mind statikus, mely szinte teljes mértékben használhatatlanok a kriptogram nélkül.”

“The network ‘unravels’ the cryptogram, then ships the transaction information to the issuer for authorization. The key is the merchant sees NO account information but has the final four digits of the PAN [CC number] as an account identifier to use as a mechanism for tracking volume/activity per account. The only dynamic part of the token is the cryptogram, generated per transaction; the rest is static token data, but largely worthless without the cryptogram.”

Az Apple Pay egy új szintre emeli a mobilfizetési rendszereket

Tom Noyes, egy volt hitelkártyákkal foglalkozó vezető a következőt nyilatkozta közvetlenül az Apple Pay bejelentése után:

“Az Apple valósította meg elsőként az új EMVCo tokenekre vonatkozó előírásait. Az én véleményem szerint ez egy hatalmas ugrás az EMV chipen és PIN kódon túlmenően és jelenleg ez a legbiztonságosabb fizetési mód az egész bolygón.”

Noyes állítása felvet egy új nézőpontot is, miszerint az Apple Pay-t nem Cupertinóban álmodták meg és találták ki, hanem eredetileg egy frissen készülő mobilfizetési rendszer elveit valósította meg, melynek célja, hogy még biztonságosabbá tegye a tranzakciókat, ezáltal visszaszorítva a különféle csalásokat és visszaéléseket. Végeredményben az Apple pont jókor szállt be a mobilfizetések piacára és bár nem ők találták fel eredetileg a rendszert, ők voltak azok, akik elsőként implementálták az elméletben kigondolt megoldásokat.

Az egyik munkatárs, aki részt vett az Apple Pay megvalósításában, a következőképpen nyilatkozott:

“Ahogyan az Apple megvalósította a tokeneken alapuló tranzakciókat, egy teljesen új és magasabb szintre emelte az elektronikus fizetések biztonságát. Az a mennyiségű biztonság, amelyet ezen rendszerbe beleépítettünk, véleményem szerint igencsak vissza fogja szorítani a különféle csalásokat.”

Mit jelent mindez a felhasználóknak?

Végül, de nem utolsó sorban elérkeztünk tehát a legfontosabb kérdéshez, azaz, hogy mit jelent mindez nekünk, a felhasználóknak?

Bár az még kétséges, hogy a felhasználók milyen gyakran fogják használni az Apple Pay szolgáltatást, az viszont kétségtelen, hogy jelenleg az egyik legbiztonságosabb elektronikus fizetési formáról beszélhetünk. Egyrészt sem a kereskedő nem fér hozzá a tranzakció során a kártyaadatainkhoz, másrészt pedig kizárólag csak a mi készülékünk által küldött tokent kezeli a rendszer, így minden más készülékről indított fizetést kizár az Apple Pay a kriptogramnak köszönhetően.

Egy esetleges készüléklopás esetén az iPhone felhasználók azonnal felfüggeszthetik vagy szüneteltethetik a készülékhez rendelt tokent, így az Apple Pay nem használható az eltulajdonított készülékekkel.

Összességében tehát míg a felhasználói oldalról végtelenül egyszerű az Apple Pay használata, addig láthatjuk, hogy a felszín alatt jóval több minden történik, mint amire először gondolni mernénk. Csodálatos belegondolni, hogy mindaz a folyamat, amit a cikkben tárgyaltunk, csupán néhány másodperc alatt történik, egyetlen érintés hatására. Én már alig várom, hogy végre élesben is kipróbálhassam az Apple Pay működését és most már legalább tudom, hogy a biztonsággal nem lesz probléma. 😉