האם קוראי RFID יכולים לקרוא כרטיסי אשראי?

התשלום ללא מגע הפך את ההרגל של החזקת כרטיס אשראי בקרבת מסוף התשלום, במקום להכניס אותו לתוכו, לדבר שבשגרה. מכיוון שהתקשורת הזו מתבצעת באופן אלחוטי, קל להניח שכל קורא RFID הצליח לזהות את הכרטיס ולקרוא אותו.

המציאות מורכבת יותר. כרטיס אשראי ללא מגע משתמש בסוג מסוים של טכנולוגיית רדיו לטווח קצר, והקורא חייב לתמוך באותה טכנולוגיה כדי ששניהם יוכלו לתקשר.

האם קוראי RFID יכולים לקרוא כרטיסי אשראי?

כֵּן, ישנם קוראי RFID המסוגלים לקרוא כרטיסי אשראי ללא מגע, אך לא כל קורא RFID מסוגל לכך.

כרטיסי תשלום מודרניים ללא מגע פועלים בדרך כלל בתדר של 13.56 MHz ומשתמשים בטכנולוגיה המבוססת על תקן ISO/IEC 14443. טכנולוגיית ה-NFC פועלת גם היא בתדר של 13.56 מגה-הרץ והוא מבוסס על אותו ממשק ללא מגע שבו משתמשים כרטיסי תשלום. לפיכך, קורא HF או NFC תואם עשוי להיות מסוגל לתקשר עם כרטיס אשראי ללא מגע.

קורא LF הפועל ב- 125 קילו-הרץ או בתדר 134.2 kHz לא יקרא את הכרטיס. גם מכשיר רגיל לא יקרא אותו קורא RFID בתדר UHF הפועל בטווח התדרים 860–960 MHz. הקורא חייב לתמוך בתדר ובטכנולוגיית התקשורת שבהם הכרטיס עושה שימוש.

רק כרטיסים התומכים בטכנולוגיית תשלום ללא מגע ניתנים לקריאה בדרך זו. בדרך כלל ניתן לזהות כרטיס כזה באמצעות סמל התשלום ללא מגע המודפס עליו. כרטיס הכולל רק שבב מגע או פס מגנטי אינו תומך באותו ממשק אלחוטי.

מה שהקורא יכול לאחזר הוא עניין אחר. כרטיס אשראי ללא מגע אינו דומה לתג RFID רגיל הכולל בלוק זיכרון שהקורא יכול לעיין בו באופן חופשי. הכרטיס מריץ יישום תשלומים ושולט על אופן חילופי המידע.

במהלך תשלום ללא מגע חוקי, הכרטיס מספק את המידע הדרוש לעיבוד העסקה. לדוגמה, חברת Visa מציינת כי הכרטיסים ללא מגע שלה מעבירים את מספר החשבון, תאריך התפוגה וקוד חד-פעמי המשתנה בכל עסקה המתבצעת באופן אישי. מידע נוסף המשמש לאבטחת התשלום נוצר באופן דינמי, במקום להישאר זהה בכל קריאה של הכרטיס.

לפיכך, קורא גנרי בתדר 13.56 MHz אינו מעניק באופן אוטומטי למישהו גישה בלתי מוגבלת לכל מה שקשור לכרטיס האשראי או לחשבון הבנק. המידע שהוא יכול לקלוט תלוי בכרטיס, בפרוטוקול הנתמך ובתוכנה המתקשרת עמו.

גם המרחק קצר. מערכות תשלום ללא מגע מיועדות לתקשורת בטווח קצר. בדרך כלל, כרטיס ויזה או מכשיר תשלום צריכים להימצא במרחק של כ-2 אינץ' (5 ס"מ) מהמסוף כדי לבצע עסקה. גם מאסטרקארד מציינת שיש להחזיק את הכרטיס במרחק של אינץ' או שניים מהקורא.

זה שונה מאוד ממערכות RFID בתדר UHF לטווח ארוך, שבהן ניתן לזהות את התגים ממרחק של כמה מטרים.

האם קוראי RFID יכולים לגנוב פרטי כרטיסי אשראי?

קורא ללא מגע תואם עשוי להצליח להשיג מידע מסוים מכרטיסי תשלום מסוימים, אם יקרב אליו מספיק. תופעה זו מכונה בדרך כלל "גניבת מידע ללא מגע".

עם זאת, קריאת חלק מפרטי הכרטיס אינה זהה להשגת כל המידע הדרוש לביצוע תשלומים תקפים.

כרטיסי EMV ללא מגע משתמשים באבטחה קריפטוגרפית במהלך העסקאות. עבור כל תשלום נוצר ערך אבטחה חדש, במקום להסתמך רק על מידע סטטי שניתן להקליט פעם אחת ולהשמיע שוב ושוב ללא הגבלה. EMVCo מתארת זאת כקוד אבטחה חד-פעמי, בעוד שמאסטרקארד משתמשת בקריפטוגרמה דינמית ייחודית עבור כל עסקה ללא מגע.

מידע רגיש הנוגע לאימות מטופל גם הוא באופן שונה מפרטי כרטיס רגילים. לדוגמה, חברת מאסטרקארד מציינת כי קוד ה-CVC2 המשמש לאימות במקרים שבהם הכרטיס אינו נוכח אינו נשמר כנתוני שבב הניתנים לקריאה.

אין זה אומר שקריאה בלתי מורשית היא בלתי אפשרית, או שכרטיסים ללא מגע אינם טומנים בחובם סיכון ביטחוני. פרטים מסוימים של הכרטיס עלולים להיחשף במהלך תקשורת ללא מגע, בהתאם לסוג הכרטיס ולמערכת התשלומים. אולם, השגת פרטים אלה אינה מעניקה לקורא את פרטי הזיהוי הקריפטוגרפיים המוחזקים באופן מאובטח בתוך השבב.

האם קורא RFID יכול להעתיק כרטיס אשראי?

קורא RFID רגיל אינו יכול לקרוא כרטיס אשראי ללא מגע ולאחר מכן ליצור העתק מתפקד במלואו רק על ידי העתקת הנתונים שהוא מקבל.

שבבי תשלום מסוג EMV מכילים מפתחות הצפנה המשמשים לאימות עסקאות. מפתחות סודיים אלה אינם מועברים לקורא במהלך העברה אלחוטית רגילה. במקום זאת, השבב משתמש בהם באופן פנימי כדי לייצר נתונים מוצפנים ספציפיים לעסקה.

כתוצאה מכך, העתקת מידע קריא לשבב RFID אחר לא תשחזר את יכולתו של הכרטיס המקורי לייצר נתוני אימות תקפים.

קריאה ושכפול הן שתי פעולות שונות לחלוטין. מערכת RFID הכוללת מזהה סטטי פשוט עשויה לאפשר העתקת המזהה אם התג אינו מוגן. לעומת זאת, כרטיס תשלום ללא מגע משתמש בדרך כלל במערכת אבטחה מורכבת בהרבה.

שאלות נפוצות

מַסְקָנָה

אז בסך הכל, כן, קורא RFID תואם יכול לקרוא כרטיס אשראי ללא מגע. הקורא חייב לתמוך בתדר של 13.56 MHz ובתקן התקשורת של הכרטיס. גם אז, הכרטיס אינו מתנהג כמו תג RFID רגיל שהנתונים בו ניתנים לקריאה חופשית.