¿Qué datos lleva una tarjeta bancaria sin contacto?
Claves y contadores que no revelará nunca, más aquello por lo que la aplicación de pago esté dispuesta a responder. La corrección importante es que una tarjeta no es un archivo: es un pequeño ordenador que elige qué revelar, y su cara impresa suele delatar más.
Qué lleva
Claves criptográficas, que no salen bajo ninguna circunstancia y son la base de todas las garantías que ofrece la tarjeta.
Contadores y estado, que le permiten producir un valor propio de cada operación en vez de repetirse.
Una aplicación de pago, que es software con normas sobre qué responderá y a quién.
E información identificativa que puso el emisor, cuyo alcance es asunto del emisor y del esquema y no una lista fija.
Qué entrega
A un terminal acreditado que realiza una operación, lo que el esquema exija para esa operación.
A una aplicación de propósito general en un teléfono, muy poco: que hay una tarjeta presente, la tecnología que usa, y el identificador empleado durante la selección.
El motivo no es que a la aplicación le falte una técnica ingeniosa. Es que la aplicación de pago no tiene ninguna obligación de responderle a software que no sea un terminal, y no lo hace.
Es el caso de NFC Tools. En iOS necesita un iPhone 7 o posterior con iOS 15.6 como mínimo, y la aplicación debe abrirse manualmente. La lectura en segundo plano está disponible a partir del iPhone XS y XR.
La cara impresa
El número, el nombre y la fecha de caducidad están impresos en casi todas las tarjetas y los ve cualquiera que mire una.
Lo que significa que la exposición que preocupa por radio es por lo general menor que la de entregarle la tarjeta a alguien, o que la de que se la fotografíen.
Existen tarjetas sin nada impreso en la cara justamente por esto, y atienden la vía realista en vez de la imaginada.
Merece la pena sostener los dos hechos a la vez: el chip es conservador, y el plástico no.
Qué enseñan las demostraciones
Existen demostraciones que enseñan que se lee más de lo que sugiere la descripción de arriba, y suelen ser genuinas.
Lo que enseñan por lo general es que algunas tarjetas, históricamente, exponían más de lo necesario, cosa que es cuestión de decisiones del emisor y de generaciones de tarjeta y no del mecanismo.
Tratar eso como el estado normal de las cosas es un error, y tratarlo como prueba de que el pago es inseguro es uno mayor.
La pregunta que hacerle a cualquier demostración así es qué se podría hacer con lo obtenido, y la respuesta suele ser nada.
Preguntas frecuentes
¿Puede una aplicación leer el número de mi tarjeta?
Una aplicación de propósito general obtiene muy poco: que hay una tarjeta, su tecnología, y el identificador de selección. La aplicación de pago rechaza el resto.
¿Qué hay en la tarjeta que importe?
Claves que no salen nunca, y estado que permite que cada operación produzca un valor único. Ninguna de las dos cosas se puede obtener.
¿Es la cara impresa una exposición mayor?
Normalmente sí. El número, el nombre y la caducidad los ve cualquiera que mire, cosa que ninguna precaución de radio atiende.
¿Y los vídeos que enseñan datos de tarjeta leídos?
Algunas tarjetas exponían históricamente más de lo necesario. La pregunta es qué se podría hacer con eso, y la respuesta normalmente es nada.