¿Qué norma rige una tarjeta bancaria sin contacto?
La capa de radio es ISO/IEC 14443, la misma que usan las etiquetas NFC, y por eso tu teléfono llega a advertir la tarjeta. Encima se asienta una aplicación de pago definida por EMVCo, y manejarla exige ser un terminal de pago, con todas las relaciones que eso arrastra.
Dos capas, dos propietarios
Por debajo, una tarjeta sin contacto es un dispositivo ISO/IEC 14443. La alimenta el campo del lector, responde por modulación de carga, y ejecuta el protocolo de transmisión que Android expone como ISO-DEP. Todo eso lo comparte con las etiquetas NFC corrientes.
Encima se asienta una aplicación de pago definida por EMVCo, el organismo que pertenece a los grandes sistemas de tarjetas. En esa capa ocurre todo lo relevante, y está sujeta a reglas que nada tienen que ver con el NFC Forum.
Qué ve una aplicación corriente
Muy poco, y menos de lo que sugiere internet.
Una aplicación de uso general puede constatar que hay una tarjeta, identificar la técnica y leer el identificador que se usa en la selección. Más allá de eso habla con una aplicación de pago que se negará a responder a todo aquello que no tenga que responder a un software que no es un terminal.
Existen demostraciones que enseñan más, y lo que enseñan sobre todo es que algunas tarjetas exponían antes más de lo necesario. Tomar eso por el estado normal es un error, y tomarlo por un motivo de alarma, uno mayor.
Por qué nadie puede cobrarte al pasar
Tres cosas deben cumplirse a la vez para que el dinero se mueva, y quien ataque con un teléfono entre la multitud no tiene ninguna de ellas.
La tarjeta tiene que estar a unos pocos centímetros, que es una condición física que ningún software anula. El intercambio tiene que partir de un terminal acreditado, porque la transacción debe llegar a un banco adquirente que solo la acepta de un comercio que conoce. Y la tarjeta ejecuta un intercambio criptográfico cuyo resultado vale para esa transacción y solo para esa, así que la grabación de una anterior no sirve de nada.
El riesgo que queda es real, pero tiene otra forma que la que se imagina: afecta a comercios fraudulentos y no a la proximidad, y contra eso ayuda el sistema bancario, no apantallar la cartera.
Qué cambia cuando la tarjeta es tu teléfono
Cuando paga un teléfono, presenta una aplicación de pago alojada en un elemento seguro en lugar de una tarjeta de plástico, mediante emulación de tarjeta. El terminal ve algo que se comporta como una tarjeta.
Lo que cambia es la protección que lo rodea. Una tarjeta está a disposición de cualquier terminal al que se acerque. Un teléfono exige por lo general un desbloqueo o una comprobación biométrica previos, lo que añade un paso que ninguna tarjeta de plástico puede ofrecer. Esa es la diferencia de seguridad esencial entre ambos, y juega a favor del teléfono.
Preguntas frecuentes
¿Puede una app NFC leer el número de mi tarjeta?
Algunas tarjetas han expuesto en el pasado más datos de los necesarios cuando una aplicación los pedía, y se ha demostrado. Ni es lo habitual ni es lo que la especificación pretende, y no permite pagar, porque una transacción exige un criptograma que la tarjeta solo genera para un intercambio real.
¿Me protegen las fundas antiRFID?
Sí impiden que una tarjeta se lea, estropeando el acoplamiento y no bloqueando una onda. Si con eso se aborda un riesgo que merezca la pena abordar es otra cuestión, teniendo en cuenta que el alcance es de unos pocos centímetros y que una transacción necesita un terminal acreditado.
¿Por qué mi teléfono detecta la tarjeta pero no muestra nada útil?
Porque ha llegado a la aplicación de pago y ha sido rechazado. La detección ocurre en la capa de radio, que es abierta, y todo lo que hay por encima está sujeto a reglas que excluyen al software genérico.
¿Es una tarjeta sin contacto una etiqueta NFC?
Comparte la capa de radio y no es una etiqueta. Una etiqueta entrega contenido guardado, una tarjeta ejecuta un protocolo. Por eso una aplicación que lee etiquetas sin problema no consigue nada útil con una tarjeta bancaria.