Cách thức hoạt động của Apple Pay

Bạn có sử dụng Apple Pay không? Bạn đã bao giờ tự hỏi một giao dịch Apple Pay diễn ra như thế nào chưa? Trong bài đăng này, bạn sẽ tìm hiểu cách hoạt động của Apple Pay từ đầu đến cuối.

Thanh toán di động đã trở nên rất phổ biến do sự tiện lợi và bảo mật mà chúng mang lại. Không còn thẻ nhựa để mang theo và bạn không phải lo lắng về việc mất chúng (thật nhẹ nhõm!).

Trong bài viết này, tôi sẽ thảo luận về cách thức hoạt động của Apple Pay nói chung và cách nó hoạt động khi nó được sử dụng tại một thiết bị đầu cuối POS vật lý, cụ thể là. Tôi cũng sẽ thảo luận ngắn gọn về các lợi ích bảo mật.

Trước khi đi sâu vào, chúng ta hãy làm quen với một số thuật ngữ cơ bản.

Yếu tố an toàn

Yếu tố an toàn (SE) là thứ được nhắc đến khi nói về Apple Pay, vì vậy chúng ta cần hiểu nó là gì.

Theo Global Platform:

Phần tử bảo mật (SE) là một nền tảng chống giả mạo (thường là bộ vi điều khiển bảo mật một chip) có khả năng lưu trữ an toàn các ứng dụng và dữ liệu mật và bí mật của chúng (ví dụ: quản lý khóa) theo các quy tắc và yêu cầu bảo mật được đặt ra bởi một bộ chính quyền đáng tin cậy được xác định rõ ràng.

Apple Pay sử dụng SE để lưu trữ thông tin bí mật liên quan đến thẻ được mã hóa (chúng ta sẽ nói về vấn đề này sau).

Trong các iPhone sau iPhone 6 và trong Apple Watch, một SE được nhúng vào chip giao tiếp trường gần (NFC) của thiết bị. Điều này được sử dụng tại các thiết bị đầu cuối thanh toán để thực hiện các giao dịch qua NFC. SE giả lập thẻ thanh toán trong giao dịch Apple Pay.

Mã hóa

Token hóa như một quy trình đang được áp dụng ngày càng nhiều trong ngành thanh toán. Ở đây, chúng tôi sẽ cố gắng hiểu những điều cơ bản về Tokenization.

Sau đây là mô tả ngắn gọn từ Wikipedia về công nghệ Tokenization:

Tokenization , khi được áp dụng cho bảo mật dữ liệu, là quá trình thay thế một phần tử dữ liệu nhạy cảm bằng phần tử dữ liệu tương đương không nhạy cảm, được gọi là mã thông báo, không có ý nghĩa hoặc giá trị bên ngoài hoặc có thể khai thác. Mã thông báo là một tham chiếu (tức là số nhận dạng) ánh xạ trở lại dữ liệu nhạy cảm thông qua hệ thống mã hóa. Ánh xạ từ dữ liệu ban đầu sang mã thông báo sử dụng các phương pháp khiến mã thông báo không thể đảo ngược khi không có hệ thống mã hóa

Trong ngữ cảnh của thẻ tín dụng và Apple Pay, mã hóa được sử dụng để thay thế Số tài khoản chính (PAN, hoặc số thẻ tín dụng) bằng mã thông báo. Mã thông báo trông giống như một số thẻ tín dụng bình thường, nhưng nó không phải là PAN ban đầu. Mã hóa ngăn chặn số thẻ ban đầu được sử dụng trong các giao dịch.

Bản thân token không có ý nghĩa gì và vô giá trị đối với bọn tội phạm nếu token bị đánh cắp. Không có thuật toán nào để lấy Số tài khoản chính nếu bạn có mã thông báo. Điều này khiến bọn tội phạm không thể thiết kế ngược lại Số tài khoản chính từ mã thông báo.

Bấm vào đây để xem bài viết trên Wikipedia về mã hóa nếu bạn muốn tìm hiểu thêm.

Sơ đồ sau đây mô tả luồng giao dịch của Apple Pay. Chúng ta sẽ thảo luận từng bước về những điều này trong các phần tới.

Thêm thẻ vào Apple Pay

Có thể thêm thẻ vào Apple Pay bằng cách quét thẻ hoặc gửi thông tin thẻ. Sau đó, thông tin này được gửi đến máy chủ của Apple.

Apple gửi thông tin thẻ đã nhận đến mạng thẻ liên quan (Visa, MasterCard, AmericanExpress, Discover, v.v.). Sau đó mạng thẻ xác thực thông tin thẻ với ngân hàng phát hành.

Sau khi xác thực, mạng thẻ hoạt động như một TSP (Nhà cung cấp dịch vụ mã thông báo) tạo mã thông báo (được gọi là DAN hoặc Số tài khoản thiết bị trong ngữ cảnh của Apple Pay) và khóa mã thông báo. DAN này được tạo bằng mã hóa và không phải là số thẻ thực.

Sau đó, thông tin này được gửi trở lại máy chủ của Apple. Sau khi thiết bị nhận được thông tin này từ máy chủ của Apple, thông tin này sẽ được lưu trong phần tử bảo mật của thiết bị (SE).

Thực hiện giao dịch bằng Apple Pay

Khi bạn sử dụng thiết bị Apple của mình tại thiết bị đầu cuối POS để thanh toán, thiết bị sẽ giao tiếp với thiết bị đầu cuối để bắt đầu giao dịch. Apple Pay sử dụng thông số kỹ thuật không tiếp xúc của EMVCO để giao tiếp với thiết bị đầu cuối. Nếu thiết bị đầu cuối không hỗ trợ EMV không tiếp xúc, Apple Pay sẽ chuyển sang sử dụng chế độ MSD (dữ liệu dải từ) không tiếp xúc.

Chế độ không tiếp xúc EMV

Khi sử dụng chế độ không tiếp xúc EMV, thiết bị Apple sẽ giao tiếp với thiết bị đầu cuối theo thông số kỹ thuật không tiếp xúc EMV. Phần tử bảo mật trên thiết bị tạo một biểu đồ mật mã động cho mỗi giao dịch bằng cách sử dụng mã thông báo, khóa mã thông báo, số tiền và các thông tin khác liên quan đến giao dịch. Sau đó, mật mã động này sẽ được gửi đến bộ xử lý thanh toán cùng với mã thông báo (DAN), số tiền giao dịch và các thông tin cần thiết khác để xử lý giao dịch.

Chế độ MSD không tiếp xúc

MSD không tiếp xúc tồn tại để hỗ trợ các thiết bị đầu cuối vẫn không thể xử lý bằng chế độ không tiếp xúc EMV. Hầu hết các thiết bị đầu cuối vẫn đang hoạt động bằng chế độ MSD không tiếp xúc. Hãy cùng tìm hiểu sâu hơn về cách một giao dịch diễn ra bằng chế độ MSD không tiếp xúc.

MSD, hoặc Dữ liệu Dải Từ tính, là cách các thẻ cũ lưu trữ thông tin chi tiết về thẻ. Dữ liệu được lưu trữ dưới dạng bản nhạc trong thẻ từ. Thẻ sọc từ có thể có tối đa 3 rãnh và mỗi rãnh (track1, track2, track3) có một định dạng khác nhau. Vui lòng nhấp vào đây để biết thêm thông tin về dữ liệu theo dõi.

Trong chế độ MSD không tiếp xúc của Apple Pay, định dạng dữ liệu track2 được sử dụng để chuyển dữ liệu thẻ đến bộ xử lý thanh toán, sau đó sẽ giao tiếp với mạng thẻ.

Hãy xem một số dữ liệu theo dõi ví dụ được gửi từ thiết bị đầu cuối đến bộ xử lý cho giao dịch Apple Pay.

370295292756481 = 220672716078290600047

Trên đây là ví dụ về dữ liệu theo dõi nhận được từ một thiết bị đầu cuối được thu thập tại một cổng thanh toán.

Hãy hiểu phân đoạn dữ liệu này theo phân đoạn,

  • Được đánh dấu bằng màu vàng - Đây là Số Tài khoản Thiết bị hoặc DAN (Ví dụ DAN ở đây là từ thẻ AmericanExpress. Bạn có thể xác thực số nhận dạng ngân hàng (BIN) hoặc 6 chữ số đầu tiên trong số thẻ tín dụng, tại đây).
  • Được tô sáng bằng màu xanh lam - Đây là năm và tháng hết hạn của thẻ tín dụng (yy / mm)
  • Được tô màu hồng - Đây là mã dịch vụ. Nhấn vào đây để hiểu thêm về điều này.
  • Đánh dấu bằng màu tím - Phần dữ liệu này tùy thuộc vào mạng thẻ. Trong trường hợp của Apple Pay, giá trị này được sử dụng làm giá trị xác minh thẻ động (CVV).

Chúng tôi đã biết rằng trong chế độ EMV, một biểu đồ mật mã động được tạo ra. Ở đây CVV động đóng vai trò của mật mã. Điều này được tạo bằng cách sử dụng khóa mã thông báo và các dữ liệu liên quan đến giao dịch khác (tương tự như tạo biểu đồ mật mã động ).

Dữ liệu theo dõi hiển thị ở trên được gửi đến bên mua cùng với số tiền giao dịch. Bên mua chuyển tiếp thông tin này đến mạng thẻ liên quan (Visa, MasterCard, v.v.) dựa trên BIN.

Hoàn thành giao dịch Apple Pay

Khi mạng thẻ nhận được yêu cầu giao dịch, nó sẽ xác định đó là số thẻ thực tế hay số thẻ được mã hóa. Nếu nó được mã hóa (trường hợp cho các giao dịch Apple Pay), mạng thẻ sẽ xác thực biểu đồ mật mã (hoặc CVV động) bằng cách sử dụng bản sao của khóa mã thông báo (mạng thẻ đang hoạt động như một TSP ở đây).

Sau một số xác nhận bổ sung khác, mạng thẻ loại bỏ mã hóa DAN và lấy PAN ban đầu (số tài khoản chính).

Yêu cầu giao dịch này được gửi đến tổ chức phát hành (ngân hàng hoặc tổ chức tài chính đã phát hành thẻ tín dụng) cùng với PAN ban đầu. Nhà phát hành cho phép giao dịch và gửi lại phản hồi mà cuối cùng sẽ đến thiết bị đầu cuối POS.

Yay! Giao dịch hoàn tất!

Phát lại các yêu cầu giao dịch

Một trong những vấn đề lớn nhất với các giao dịch thẻ truyền thống là khả năng phát lại các yêu cầu giao dịch trong quá khứ (tấn công phát lại). Nếu bạn gửi lại cùng một yêu cầu giao dịch, một giao dịch khác sẽ được thực hiện với cùng một dữ liệu.

Với Apple Pay, điều này không xảy ra (cả khi sử dụng thẻ EMV trực tiếp trên thiết bị đầu cuối). Mỗi yêu cầu giao dịch chỉ có thể được sử dụng một lần. Biểu đồ mật mã động (CVV động trong chế độ MSD) đảm bảo điều này. Đối với mỗi giao dịch, một mật mã mới được tạo chỉ có thể được sử dụng một lần (và chỉ có giá trị trong một khoảng thời gian nhất định).

Phần kết luận

Trong bài viết này, chúng ta đã tìm hiểu tổng quan về luồng giao dịch Apple Pay. Tôi sẽ thảo luận về Google Pay trong một bài viết tới.

Người giới thiệu

  • //www.gmarwaha.com/blog/2015/01/03/apple-pay-an-attempt-to-demystify-take-2/
  • //www.emvco.com/emv-technologies/contactless/
  • //msrtron.com/blog-headlines/blog-card-data
  • //www.slideshare.net/bellidcom/what-is-a-token-service-provider-52887269

Trước khi bạn đi!

Nếu bạn thích bài viết này, hoan nghênh các bạn vỗ tay!