Kontaktløs betaling har gjort det helt normalt at holde et kreditkort tæt på en terminal i stedet for at indsætte det. Da denne kommunikation foregår trådløst, er det let at antage, at enhver RFID-læser kunne genkende og læse kortet.
Virkeligheden er lidt mere specifik. Et kontaktløst kreditkort bruger en bestemt type kortdistance-radioteknologi, og læseren skal understøtte den samme teknologi, før de to kan kommunikere med hinanden.
Kan RFID-læsere aflæse kreditkort?
Ja, Nogle RFID-læsere kan aflæse kontaktløse kreditkort, men det er ikke alle RFID-læsere, der kan.
Moderne kontaktløse betalingskort fungerer typisk ved 13,56 MHz og anvender teknologi baseret på ISO/IEC 14443. NFC fungerer også ved 13,56 MHz og bygger på den samme kontaktløse grænseflade, som betalingskort benytter. En kompatibel HF- eller NFC-læser kan derfor muligvis kommunikere med et kontaktløst kreditkort.
En LF-læser, der fungerer ved 125 kHz eller 134,2 kHz vil ikke kunne læse kortet. Det samme gælder en typisk UHF RFID-læser der fungerer i frekvensområdet 860–960 MHz. Læseren skal understøtte den frekvens og den kommunikationsteknologi, som kortet anvender.
Kun kort med kontaktløs funktion kan læses på denne måde. Du kan som regel genkende et sådant kort på det kontaktløse symbol, der er trykt på kortet. Et kort, der kun har en kontaktchip eller en magnetstribe, har ikke den samme trådløse grænseflade.
Hvad læseren kan hente, er en helt anden sag. Et kontaktløst kreditkort er ikke det samme som en almindelig RFID-brik med et hukommelsesområde, som en læser frit kan gennemse. Kortet kører en betalingsapplikation og styrer, hvordan oplysninger udveksles.
Ved en gyldig kontaktløs betaling leverer kortet de oplysninger, der er nødvendige for at gennemføre transaktionen. Visa oplyser eksempelvis, at deres kontaktløse kort overfører kontonummeret, udløbsdatoen og en engangskode, der ændres ved hver transaktion, der foretages i en fysisk butik. Andre oplysninger, der bruges til at sikre betalingen, genereres dynamisk og er derfor ikke de samme hver gang, kortet aflæses.
En generisk 13,56 MHz-læser giver derfor ikke automatisk nogen ubegrænset adgang til alt, hvad der er knyttet til kreditkortet eller bankkontoen. Hvad den kan modtage, afhænger af kortet, den understøttede protokol og den software, der kommunikerer med den.
Afstanden er også kort. Kontaktløse betalingssystemer er udviklet til kommunikation på tæt hold. Et Visa-kort eller en betalingsenhed skal normalt befinde sig inden for ca. 2 inches (5 cm) fra terminalen for at gennemføre en betalingstransaktion. Mastercard angiver ligeledes, at kortet skal holdes inden for en eller to inches fra læseren.
Det adskiller sig meget fra UHF-RFID-systemer med lang rækkevidde, hvor tags kan registreres fra flere meters afstand.
Kan RFID-læsere stjæle kreditkortoplysninger?
En kompatibel kontaktløs læser kan muligvis hente visse oplysninger fra bestemte betalingskort, hvis den holdes tæt nok på kortet. Dette betegnes ofte som kontaktløs skimming.
At læse visse kortoplysninger er dog ikke det samme som at indhente alle de oplysninger, der er nødvendige for at gennemføre gyldige betalinger.
EMV-kontaktløse kort anvender kryptografisk sikkerhed ved transaktioner. Der genereres en ny sikkerhedsværdi for hver betaling, i stedet for udelukkende at basere sig på statiske oplysninger, der kan registreres én gang og gentages ubegrænset. EMVCo beskriver dette som en engangssikkerhedskode, mens Mastercard anvender et unikt dynamisk kryptogram for hver kontaktløs transaktion.
Følsomme autentificeringsoplysninger behandles desuden anderledes end almindelige kortdata. Mastercard angiver eksempelvis, at CVC2-koden, der anvendes til autentificering uden fysisk kort, ikke gemmes som læsbare chipdata.
Dette betyder ikke, at uautoriseret aflæsning er umulig, eller at kontaktløse kort ikke udgør nogen sikkerhedsrisiko. Visse kortoplysninger kan blive afsløret under kontaktløs kommunikation, afhængigt af kortet og betalingssystemet. Men selvom disse oplysninger opnås, giver det ikke aflæseren adgang til de kryptografiske adgangsoplysninger, der opbevares sikkert inde i chippen.
Kan en RFID-læser kopiere et kreditkort?
En almindelig RFID-læser kan ikke læse et kontaktløst kreditkort og derefter fremstille en fuldt funktionsdygtig kopi ved blot at kopiere de data, den modtager.
EMV-betalingschips indeholder kryptografiske nøgler, der bruges til at godkende transaktioner. Disse hemmelige nøgler overføres ikke til læseren under en normal kontaktløs transaktion. I stedet bruger chippen dem internt til at generere transaktionsspecifikke kryptografiske data.
Derfor vil en kopiering af læsbare oplysninger til en anden RFID-chip ikke genskabe det oprindelige korts evne til at generere gyldige autentificeringsdata.
Aflæsning og kloning er to helt forskellige ting. Et RFID-system med en simpel statisk identifikator kan gøre det muligt at kopiere denne identifikator, hvis mærket ikke er beskyttet. Et kontaktløst betalingskort anvender derimod som regel et langt mere komplekst sikkerhedssystem.
Ofte stillede spørgsmål
Kan en telefon aflæse et kontaktløst kreditkort?
En telefon med NFC-hardware kan kommunikere med kompatibel kontaktløs teknologi på 13,56 MHz. Betalingskort og NFC-enheder anvender beslægtede standarder, så kommunikation er teknisk set mulig.
Hvad telefonen rent faktisk har adgang til, afhænger af dens operativsystem, den app, der bruges, og selve kortet. At en telefon har NFC, betyder ikke, at den har ubegrænset adgang til kortets betalingsoplysninger.
Kan en RFID-læser aflæse et kreditkort gennem tøjet?
Tyndt tøj yder normalt ikke bevidst RF-afskærmning, så en kompatibel læser kan stadig kommunikere med et kontaktløst kort gennem stoffet, hvis læseren er tæt nok på.
Afstanden udgør fortsat den største begrænsning. Kontaktløse betalingskort er udviklet til at fungere inden for en afstand på blot få centimeter, i modsætning til de lange rækkevidder, der kendetegner UHF-RFID-systemer.
Kan en RFID-læser aflæse et kreditkort gennem en tegnebog?
En almindelig tegnebog forhindrer ikke nødvendigvis kontaktløs kommunikation. Kortet kan stadig læses, hvis det befinder sig tæt nok på en kompatibel læser.
Situationen ændrer sig, hvis tegnebogen indeholder RF-afskærmningsmateriale, der er beregnet til at blokere kommunikation på 13,56 MHz. Flere kontaktløse kort, der ligger tæt sammen, kan også forstyrre kommunikationen, så det er ikke sikkert, at et bestemt kort bliver læst korrekt, selvom der er en læser i nærheden.
Konklusion
Så alt i alt, Ja, en kompatibel RFID-læser kan aflæse et kontaktløst kreditkort. Læseren skal understøtte kortets frekvens på 13,56 MHz og kommunikationsstandarden. Selv i så fald fungerer kortet ikke som et almindeligt RFID-mærke, hvor dataene kan læses frit.