Kontaktittoman maksamisen ansiosta on tullut tavallista pitää luottokorttia maksupäätteen lähellä sen sijaan, että se työnnettäisiin laitteeseen. Koska tiedonsiirto tapahtuu langattomasti, on helppo olettaa, että mikä tahansa RFID-lukija pystyi tunnistamaan ja lukemaan kortin.
Todellisuus on hieman tarkemmin määritelty. Kontaktiton luottokortti käyttää tietynlaista lyhyen kantaman radiotekniikkaa, ja lukijan on tuettava samaa tekniikkaa, jotta ne voivat olla yhteydessä toisiinsa.
Voivatko RFID-lukijat lukea luottokortteja?
Kyllä, Jotkut RFID-lukijat pystyvät lukemaan kontaktittomia luottokortteja, mutta kaikki RFID-lukijat eivät pysty siihen.
Nykyaikaiset kontaktittomat maksukortit toimivat yleensä taajuudella 13,56 MHz ja käyttävät ISO/IEC 14443 -standardiin perustuvaa tekniikkaa. NFC toimii myös taajuudella 13,56 MHz ja perustuu samaan kontaktittomaan rajapintaan, jota maksukortit käyttävät. Yhteensopiva HF- tai NFC-lukija voi siten pystyä kommunikoimaan kontaktittoman luottokortin kanssa.
LF-lukija, joka toimii taajuudella 125 kHz tai 134,2 kHz:n taajuudella korttia ei lueta. Myöskään tavallinen UHF RFID-lukija joka toimii taajuusalueella 860–960 MHz. Lukijan on tuettava kortin käyttämää taajuutta ja viestintätekniikkaa.
Tällä tavalla voidaan lukea vain kortteja, joissa on kontaktiton toiminto. Tällaisen kortin tunnistaa yleensä korttiin painetusta kontaktittoman toiminnon symbolista. Kortti, jossa on vain kontaktisiru tai magneettijuova, ei tue samaa langatonta liitäntää.
Se, mitä lukija voi hakea, on sitten toinen asia. Kontaktiton luottokortti ei ole samanlainen kuin tavallinen RFID-tunniste, jossa on muistialue, jota lukija voi vapaasti selata. Kortissa toimii maksusovellus, joka hallitsee tietojen vaihtoa.
Laillisessa kontaktittomassa maksutapahtumassa kortti toimittaa kyseisen tapahtuman käsittelyyn tarvittavat tiedot. Esimerkiksi Visa ilmoittaa, että sen kontaktittomat kortit lähettävät tilinumeron, voimassaoloajan ja kertakäyttöisen koodin, joka vaihtuu jokaisen paikan päällä suoritettavan maksutapahtuman yhteydessä. Muut maksutapahtuman turvaamiseen käytettävät tiedot luodaan dynaamisesti, eivätkä ne pysy samoina joka kerta, kun kortti luetaan.
Yleiskäyttöinen 13,56 MHz:n lukija ei siis automaattisesti anna kenellekään rajoittamatonta pääsyä kaikkeen, mikä liittyy luottokorttiin tai pankkitiliin. Se, mitä lukija pystyy vastaanottamaan, riippuu kortista, tuetusta protokollasta ja sen kanssa kommunikoivasta ohjelmistosta.
Myös etäisyys on lyhyt. Kontaktittomat maksujärjestelmät on suunniteltu lähietäisyydellä tapahtuvaan viestintään. Visa-kortin tai maksulaitteen on yleensä oltava noin 2 tuuman (5 cm) päässä maksupäätteestä, jotta maksutapahtuma voidaan suorittaa. Mastercard antaa vastaavan ohjeen, jonka mukaan kortti on pidettävä 1–2 tuuman päässä lukijasta.
Tämä eroaa huomattavasti pitkän kantaman UHF-RFID-järjestelmistä, joissa tunnisteet voidaan havaita useiden metrien päästä.
Voivatko RFID-lukijat varastaa luottokorttitietoja?
Yhteensopiva kontaktiton lukija voi mahdollisesti saada joitakin tietoja tietyistä maksukorteista, jos se tuodaan riittävän lähelle korttia. Tätä kutsutaan yleisesti kontaktittomaksi skimmaukseksi.
Joidenkin korttitietojen lukeminen ei kuitenkaan tarkoita sitä, että saataisiin kaikki tiedot, joita tarvitaan pätevien maksujen suorittamiseen.
EMV-kontaktittomat kortit hyödyntävät salaustekniikkaa maksutapahtumien aikana. Jokaiselle maksulle luodaan uusi turvakoodi sen sijaan, että luotettaisiin pelkästään staattisiin tietoihin, jotka voidaan tallentaa kerran ja toistaa loputtomasti. EMVCo kuvailee tätä kertakäyttöiseksi turvakoodiksi, kun taas Mastercard käyttää jokaisessa kontaktittomassa maksutapahtumassa yksilöllistä dynaamista kryptogrammia.
Myös arkaluonteisia tunnistautumistietoja käsitellään eri tavalla kuin tavallisia korttitietoja. Esimerkiksi Mastercard toteaa, että kortin poissa ollessa tapahtuvaan tunnistautumiseen käytettävää CVC2-koodia ei tallenneta luettavissa olevaan sirutietoon.
Tämä ei tarkoita, että luvaton lukeminen olisi mahdotonta tai että kontaktittomissa korteissa ei olisi turvallisuusriskejä. Jotkin korttitiedot voivat paljastua kontaktittoman tiedonsiirron aikana, kortista ja maksujärjestelmästä riippuen. Näiden tietojen saaminen ei kuitenkaan anna lukijalle pääsyä sirun sisällä turvallisesti säilytettyihin salausavainten tietoihin.
Voiko RFID-lukija kopioida luottokortin?
Tavallinen RFID-lukija ei pysty lukemaan kontaktitonta luottokorttia ja luomaan siitä täysin toimivaa kopiota pelkästään kopioimalla vastaanottamansa tiedot.
EMV-maksusirut sisältävät salausavaimia, joita käytetään tapahtumien todentamiseen. Näitä salaisia avaimia ei lähetetä lukijalle tavanomaisen kontaktittoman tiedonsiirron aikana. Sen sijaan siru käyttää niitä sisäisesti tapahtumakohtaisten salausdatan tuottamiseen.
Tämän seurauksena luettavissa olevan tiedon kopioiminen toiselle RFID-sirulle ei palauttaisi alkuperäisen kortin kykyä tuottaa kelvollisia todentamistietoja.
Lukeminen ja kloonaus ovat kaksi täysin erilaista asiaa. RFID-järjestelmässä, jossa on yksinkertainen staattinen tunniste, tunniste voidaan kopioida, jos tunnistetta ei ole suojattu. Kontaktittomassa maksukortissa käytetään kuitenkin yleensä huomattavasti monimutkaisempaa turvajärjestelmää.
Usein kysytyt kysymykset
Voiko puhelin lukea kontaktittoman luottokortin?
NFC-ominaisuudella varustettu puhelin voi olla yhteydessä yhteensopivaan 13,56 MHz:n taajuudella toimivaan kontaktittomaan teknologiaan. Maksukortit ja NFC-laitteet käyttävät samankaltaisia standardeja, joten yhteydenpito on teknisesti mahdollista.
Se, mihin puhelimella on tosiasiallisesti pääsy, riippuu sen käyttöjärjestelmästä, käytetystä sovelluksesta ja itse kortista. NFC-ominaisuuden olemassaolo puhelimessa ei anna puhelimelle rajoittamatonta pääsyä kortin maksutietoihin.
Voiko RFID-lukija lukea luottokortin vaatteiden läpi?
Ohut vaate ei yleensä tarjoa tarkoituksellista radiotaajuussuojausta, joten yhteensopiva lukija voi silti olla yhteydessä kontaktittomaan korttiin kankaan läpi, jos lukija on riittävän lähellä.
Etäisyys on edelleen suurin rajoitus. Kontaktittomat maksukortit on suunniteltu toimimaan vain muutaman senttimetrin etäisyydellä, toisin kuin UHF-RFID-järjestelmille ominaiset pitkät kantamat.
Voiko RFID-lukija lukea luottokortin lompakon läpi?
Tavallinen lompakko ei välttämättä estä kontaktitonta tiedonsiirtoa. Kortti voi silti olla luettavissa, jos se on riittävän lähellä yhteensopivaa lukijaa.
Tilanne muuttuu, jos lompakossa on RF-suojausmateriaalia, joka on suunniteltu estämään 13,56 MHz:n taajuudella tapahtuvaa tiedonsiirtoa. Myös useat tiiviisti toisiinsa pakatut kontaktittomat kortit voivat häiritä tiedonsiirtoa, joten lukijan läheisyys ei takaa, että tiettyä korttia luetaan onnistuneesti.
Johtopäätös
Kaiken kaikkiaan siis, Kyllä, yhteensopiva RFID-lukija pystyy lukemaan kontaktittoman luottokortin. Lukijan on tuettava kortin 13,56 MHz:n taajuutta ja tiedonsiirtostandardia. Silloinkin kortti ei toimi kuten tavallinen RFID-tunniste, jonka tiedot ovat vapaasti luettavissa.