Welche Norm gilt für eine kontaktlose Bankkarte?
Die Funkschicht ist ISO/IEC 14443, dieselbe, die NFC-Tags nutzen, weshalb Ihr Telefon die Karte überhaupt bemerkt. Darüber sitzt eine von EMVCo festgelegte Zahlungsanwendung, und sie zu bedienen verlangt, ein Zahlungsterminal zu sein, mit allen Beziehungen, die das mit sich bringt.
Zwei Schichten, zwei Eigentümer
Darunter ist eine kontaktlose Karte ein Gerät nach ISO/IEC 14443. Sie wird vom Feld des Lesegeräts versorgt, sie antwortet durch Lastmodulation, und sie führt das Übertragungsprotokoll aus, das Android als ISO-DEP offenlegt. All das teilt sie mit gewöhnlichen NFC-Tags.
Darüber sitzt eine Zahlungsanwendung, festgelegt von EMVCo, dem Gremium, das den großen Kartensystemen gehört. Auf dieser Schicht geschieht alles Bedeutsame, und sie unterliegt Regeln, die mit dem NFC Forum nichts zu tun haben.
Was eine gewöhnliche App sieht
Sehr wenig, und weniger, als das Internet nahelegt.
Eine App für allgemeine Zwecke kann feststellen, dass eine Karte da ist, die Technik bestimmen und die Kennung lesen, die bei der Auswahl verwendet wird. Darüber hinaus spricht sie mit einer Zahlungsanwendung, die alles zu beantworten verweigern wird, was sie einer Software, die kein Terminal ist, nicht beantworten muss.
Vorführungen, die mehr zeigen, gibt es, und sie zeigen vor allem, dass manche Karten früher mehr offenlegten als nötig. Das für den Normalzustand zu halten ist ein Fehler, und es für einen Grund zur Beunruhigung zu halten ein größerer.
Warum niemand Ihre Karte im Vorbeigehen belasten kann
Drei Dinge müssen zugleich zutreffen, damit Geld fließt, und ein Angreifer mit einem Telefon in einer Menschenmenge hat keines davon.
Die Karte muss sich auf wenigen Zentimetern befinden, was eine körperliche Bedingung ist, die keine Software aufhebt. Der Austausch muss von einem akkreditierten Terminal ausgehen, denn die Transaktion muss eine annehmende Bank erreichen, die sie nur von einem Händler entgegennimmt, den sie kennt. Und die Karte führt einen kryptografischen Austausch aus, dessen Ergebnis für genau diese Transaktion gilt, eine Aufzeichnung einer früheren ist also wertlos.
Das verbleibende Risiko ist real, hat aber eine andere Gestalt als die, die man sich ausmalt: Es betrifft betrügerische Händler und nicht die Nähe, und dagegen hilft das Bankensystem und nicht das Abschirmen Ihrer Geldbörse.
Was sich ändert, wenn die Karte Ihr Telefon ist
Zahlt ein Telefon, zeigt es eine Zahlungsanwendung aus einem sicheren Element vor statt einer Plastikkarte, mittels Kartenemulation. Das Terminal sieht etwas, das sich wie eine Karte verhält.
Was sich unterscheidet, ist der Schutz darum herum. Eine Karte steht jedem Terminal zur Verfügung, an das sie gehalten wird. Ein Telefon verlangt in der Regel zuerst ein Entsperren oder eine biometrische Prüfung, was einen Schritt hinzufügt, den keine Plastikkarte bieten kann. Das ist der wesentliche Sicherheitsunterschied zwischen beiden, und er spricht für das Telefon.
Häufige Fragen
Kann eine NFC-App meine Kartennummer lesen?
Manche Karten haben in der Vergangenheit mehr Daten offengelegt als nötig, wenn eine App danach fragte, und das wurde vorgeführt. Es ist weder allgemein üblich noch von der Spezifikation so gemeint, und es ermöglicht keine Zahlung, denn eine Transaktion verlangt ein Kryptogramm, das die Karte nur für einen echten Austausch erzeugt.
Schützen mich RFID-Schutzhüllen?
Sie verhindern tatsächlich, dass eine Karte gelesen wird, indem sie die Kopplung verderben und nicht indem sie eine Welle blockieren. Ob damit ein Risiko angegangen wird, das anzugehen lohnt, ist eine andere Frage, wenn man bedenkt, dass die Reichweite wenige Zentimeter beträgt und eine Transaktion ein akkreditiertes Terminal braucht.
Warum erkennt mein Telefon die Karte, zeigt aber nichts Brauchbares?
Weil es die Zahlungsanwendung erreicht hat und abgewiesen wurde. Die Erkennung geschieht auf der Funkschicht, die offen ist, und alles darüber unterliegt Regeln, die allgemeine Software ausschließen.
Ist eine kontaktlose Karte ein NFC-Tag?
Sie teilt die Funkschicht und ist kein Tag. Ein Tag gibt gespeicherten Inhalt heraus, eine Karte führt ein Protokoll aus. Deshalb richtet eine App, die Tags einwandfrei liest, mit einer Bankkarte nichts Brauchbares aus.