Quale norma regola una carta bancaria contactless?
Lo strato radio è ISO/IEC 14443, lo stesso che usano i tag NFC, ed è per questo che il tuo telefono arriva ad accorgersi della carta. Sopra si posa un'applicazione di pagamento definita da EMVCo, e gestirla richiede di essere un terminale di pagamento, con tutti i rapporti che questo comporta.
Due strati, due proprietari
Al di sotto, una carta contactless è un dispositivo ISO/IEC 14443. La alimenta il campo del lettore, risponde per modulazione di carico, ed esegue il protocollo di trasmissione che Android espone come ISO-DEP. Tutto questo lo condivide con i tag NFC comuni.
Sopra si posa un'applicazione di pagamento definita da EMVCo, l'organismo che appartiene ai grandi circuiti di carte. In quello strato avviene tutto ciò che conta, ed è soggetto a regole che nulla hanno a che vedere con il NFC Forum.
Cosa vede un'applicazione comune
Molto poco, e meno di quanto internet lasci intendere.
Un'applicazione di uso generale può constatare che c'è una carta, identificare la tecnica e leggere l'identificatore che si usa nella selezione. Oltre a questo parla con un'applicazione di pagamento che rifiuterà di rispondere a tutto ciò a cui non deve rispondere a un software che non è un terminale.
Esistono dimostrazioni che mostrano di più, e ciò che mostrano soprattutto è che alcune carte esponevano un tempo più del necessario. Prenderlo per lo stato normale è un errore, e prenderlo per un motivo di allarme, uno più grande.
Perché nessuno può addebitarti qualcosa passando accanto
Tre cose devono realizzarsi insieme perché il denaro si muova, e chi attacca con un telefono in mezzo alla folla non ne ha nessuna.
La carta deve stare a pochi centimetri, che è una condizione fisica che nessun software annulla. Lo scambio deve partire da un terminale accreditato, perché la transazione deve arrivare a una banca acquirente che la accetta solo da un esercizio che conosce. E la carta esegue uno scambio crittografico il cui risultato vale per quella transazione e solo per quella, quindi la registrazione di una precedente non serve a nulla.
Il rischio che resta è reale, ma ha una forma diversa da quella che si immagina: riguarda esercizi fraudolenti e non la prossimità, e contro questo aiuta il sistema bancario, non schermare il portafoglio.
Cosa cambia quando la carta è il tuo telefono
Quando paga un telefono, presenta un'applicazione di pagamento ospitata in un elemento sicuro invece di una carta di plastica, tramite emulazione di scheda. Il terminale vede qualcosa che si comporta come una carta.
Quello che cambia è la protezione che lo circonda. Una carta è a disposizione di qualsiasi terminale a cui venga avvicinata. Un telefono richiede di norma uno sblocco o una verifica biometrica preliminari, il che aggiunge un passaggio che nessuna carta di plastica può offrire. È questa la differenza di sicurezza essenziale tra i due, e gioca a favore del telefono.
Domande frequenti
Un'app NFC può leggere il numero della mia carta?
Alcune carte hanno esposto in passato più dati del necessario quando un'applicazione li chiedeva, ed è stato dimostrato. Non è l'abitudine né ciò che la specifica intende, e non permette di pagare, perché una transazione richiede un crittogramma che la carta genera solo per uno scambio reale.
Le custodie antiRFID mi proteggono?
Impediscono davvero che una carta venga letta, rovinando l'accoppiamento e non bloccando un'onda. Se con questo si affronti un rischio che valga la pena affrontare è un'altra questione, tenuto conto che la portata è di pochi centimetri e che una transazione ha bisogno di un terminale accreditato.
Perché il mio telefono rileva la carta ma non mostra nulla di utile?
Perché è arrivato all'applicazione di pagamento ed è stato respinto. Il rilevamento avviene nello strato radio, che è aperto, e tutto ciò che sta sopra è soggetto a regole che escludono il software generico.
Una carta contactless è un tag NFC?
Condivide lo strato radio e non è un tag. Un tag consegna contenuto salvato, una carta esegue un protocollo. Per questo un'applicazione che legge i tag senza problemi non ottiene nulla di utile da una carta bancaria.