Che cosa riceve davvero un terminale di pagamento?
Quanto basta a instradare la transazione verso la banca giusta e un valore che dimostra che la carta ha partecipato a questo acquisto preciso. La carta è un piccolo computer che decide cosa rispondere, non un contenitore che il terminale legge, ed è questa distinzione a rendere lo scambio inutilizzabile per altro.
Un computer, non un contenitore
L'immagine che causa la confusione è la carta come un contenitore che il terminale apre. Sotto quell'immagine, tutto quello che c'è dentro è esposto a chi legge.
L'immagine esatta è la carta come un piccolo computer che esegue un'applicazione. Il terminale chiede; l'applicazione decide cosa rispondere e rifiuta il resto.
Tutto quello che segue è una conseguenza di questo. Una carta non si legge, si interroga, e conserva il diritto di rispondere.
Che cosa passa, nella forma
Informazioni di instradamento, perché la transazione raggiunga l'istituto che ha emesso la carta.
Un valore calcolato per questa transazione, che dimostra che la carta ha partecipato e che senza di essa non si può produrre.
Dati sulla transazione stessa, messi insieme dal terminale invece che forniti dalla carta.
I campi esatti, i loro nomi e quali siano obbligatori sono specificati nelle specifiche EMV contactless pubblicate da EMVCo, e l'autorità su questo è quella specifica e non questa pagina.
Che cosa non passa
Le chiavi dentro la carta, che non escono mai in nessuna circostanza e sono la ragione per cui il valore della transazione non si può falsificare.
Tutto quello di cui l'applicazione di pagamento non è tenuta a rispondere, che è molto più di quanto si presuma e comprende buona parte di quello che si immagina una carta porti.
E niente del tutto su di te come persona oltre a quello che l'emittente della carta ci ha messo, dato che una carta non conserva alcuna storia di dove sia stata.
Perché la distinzione conta
Perché spiega perché catturare uno scambio non è la stessa cosa che catturare una carta, e perché l'intera classe di attacchi per ripetizione non funziona.
Spiega anche perché un'applicazione di uso generale su un telefono ottiene così poco da una carta di pagamento: l'applicazione non è un terminale, e la carta risponde di conseguenza.
Prendi NFC Tools. Su iOS richiede un iPhone 7 o un modello successivo con iOS 15.6 come minimo, e l'applicazione deve essere avviata manualmente. La lettura in background è disponibile a partire da iPhone XS e XR.
E fissa l'attesa giusta per chiunque costruisca con l'NFC: lo strato del pagamento è un sistema chiuso con regole proprie, adiacente al mondo dei tag invece che parte di esso.
Domande frequenti
Il terminale legge il numero della mia carta?
Riceve quello con cui l'applicazione di pagamento risponde, che è quanto i circuiti richiedono per l'instradamento e per la prova. La carta non viene semplicemente letta.
Le chiavi della carta vengono mai inviate?
No. Restano dentro il chip, ed è per questo che il valore che dimostra la transazione non può essere prodotto da niente altro.
Perché un'applicazione sul mio telefono vede così poco?
Perché non è un terminale, e l'applicazione di pagamento risponde di conseguenza. È deliberato invece che un limite.
La carta sa dove è stata?
No. Una carta non conserva alcun registro della propria storia, quindi non c'è niente di quel genere che un terminale possa ottenere.