Quali dati ci sono su una carta contactless?
Chiavi e contatori che non rivelerà mai, più tutto quello di cui l'applicazione di pagamento è disposta a rispondere. La correzione importante è che una carta non è un file: è un piccolo computer che sceglie cosa svelare, e la sua faccia stampata di solito rivela di più.
Che cosa contiene
Chiavi crittografiche, che non escono in nessuna circostanza e sono la base di ogni garanzia che la carta offre.
Contatori e stato, che permettono alla carta di produrre un valore specifico di ogni transazione invece di ripetersi.
Un'applicazione di pagamento, che è software con regole su che cosa risponderà e a chi.
E informazioni identificative che l'emittente ci ha messo, la cui estensione è una questione dell'emittente e del circuito invece di un elenco fisso.
Che cosa rilascia
A un terminale accreditato che conduce una transazione, quello che il circuito richiede per quella transazione.
A un'applicazione di uso generale su un telefono, molto poco: che una carta è presente, la tecnologia che usa, e l'identificatore usato durante la selezione.
La ragione non è che all'applicazione manchi una tecnica ingegnosa. È che l'applicazione di pagamento non ha alcun obbligo di rispondere a software che non sia un terminale, e non risponde.
Prendi NFC Tools. Su iOS richiede un iPhone 7 o un modello successivo con iOS 15.6 come minimo, e l'applicazione deve essere avviata manualmente. La lettura in background è disponibile a partire da iPhone XS e XR.
La faccia stampata
Il numero, il nome e la data di scadenza sono stampati su quasi tutte le carte e visibili a chiunque ne guardi una.
Il che significa che l'esposizione di cui si ha timore via radio è in genere più piccola dell'esposizione che si ha consegnando la carta a qualcuno, o facendosela fotografare.
Le carte senza stampa sulla faccia esistono esattamente per questo motivo, e affrontano la strada realistica invece di quella immaginata.
Vale la pena tenere insieme i due fatti: il chip è prudente, e la plastica no.
Che cosa mostrano le dimostrazioni
Esistono dimostrazioni che mostrano la lettura di più di quanto la descrizione qui sopra lasci intendere, e sono di solito autentiche.
Quello che mostrano in genere è che certe carte, storicamente, esponevano più di quanto fosse necessario, che è una questione di scelte degli emittenti e di generazioni di carte invece che del meccanismo.
Trattarle come lo stato normale delle cose è un errore, e trattarle come prova che il pagamento non sia sicuro è un errore più grande.
La domanda da fare a una dimostrazione del genere è che cosa si potrebbe fare con quello che è stato ottenuto, e la risposta è di solito niente.
Domande frequenti
Un'applicazione può leggere il numero della mia carta?
Un'applicazione di uso generale ottiene molto poco: che una carta è presente, la sua tecnologia e l'identificatore di selezione. L'applicazione di pagamento rifiuta il resto.
Che cosa c'è sulla carta che conta?
Chiavi che non ne escono mai, e uno stato che permette a ogni transazione di produrre un valore unico. Nessuno dei due si può ottenere.
La faccia stampata è un'esposizione maggiore?
Di solito sì. Il numero, il nome e la scadenza sono visibili a chiunque guardi, e nessuna precauzione radio lo affronta.
E i video che mostrano la lettura dei dati di una carta?
Certe carte storicamente esponevano più del necessario. La domanda è che cosa si potrebbe fare con quei dati, e la risposta è normalmente niente.