NFC ve mobil ödeme: telefon kartın yerine nasıl geçiyor

Temassız ödeme, günlük hayatta en çok kullanılan ama en az merak edilen teknolojilerden biri. Arkasındaki tasarım ise oldukça zarif: ortada bir kart numarası dolaşmıyor, her işlem kendine özgü bir imzayla geçiyor.

NFC nedir, menzili neden bu kadar kısa

NFC, 13,56 megahertz civarında çalışan kısa menzilli bir radyo teknolojisi. Menzili santimetrelerle ölçülür ve bu bir kısıt değil, tasarım tercihi: ödeme işleminin istemeden tetiklenmemesi için yakınlık şart.

İlginç tarafı güç: temassız bir banka kartının içinde pil yok. Okuyucunun ürettiği manyetik alan, kartın içindeki antende akım indükler ve yonga bu enerjiyle çalışır. Telefon ise kendi pilini kullanır, bu yüzden üç ayrı kipte çalışabilir — okuyucu gibi (etiket okumak), kart gibi (ödeme yapmak) ve eşler arası (iki cihaz arasında veri).

Tokenizasyon: asıl yenilik burada

Kartınızı cüzdan uygulamasına eklediğinizde, kart numarası telefona kaydedilmez. Bankanız ve kart ağı, o cihaz için vekil bir numara üretir. Bu numara yalnızca o telefonda, yalnızca o kart için geçerlidir.

Ödeme anında ise şu olur: telefon, vekil numarayı ve o işleme özgü hesaplanmış bir kriptogramı okuyucuya gönderir. Kriptogram işlem tutarı, sayaç ve gizli anahtar kullanılarak üretilir; başka bir işlemde kullanılamaz.

Sonuçları somut:

• Satıcıda bir sızıntı olsa bile gerçek kart numaranız orada değildir.
• Yakalanan bir işlem verisi tekrar oynatılamaz, çünkü kriptogram tek kullanımlıktır.
• Telefonu kaybederseniz banka yalnızca o cihazın vekil numarasını iptal eder; fiziksel kartınız çalışmaya devam eder.

Anahtar nerede duruyor

Gizli anahtarın işletim sisteminden ve uygulamalardan ayrı tutulması gerekir. İki yaklaşım var: telefonun içindeki ayrı ve korumalı bir yonga (güvenli element) ya da anahtarların bulutta tutulup cihaza kısa ömürlü anahtarlar indirildiği yöntem. Her iki durumda da uygulamalar anahtarı okuyamaz.

Üstüne bir de cihaz doğrulaması biner: parmak izi, yüz ya da ekran kilidi. Yani ödeme iki şeye birlikte bağlı — cihazın kendisi ve sizin onu açmanız. Bu, kimlik doğrulamada “sahip olduğun şey” ile “olduğun şey”in birleşimi; katmanların karşılaştırmasını iki aşamalı doğrulama yazısında yapmıştık.

Sık sorulan korkular

1. “Biri cebimden okuyup para çeker mi?” Pratikte çok zor. Menzil santimetre düzeyinde, okuyucunun bir ödeme altyapısına kayıtlı olması gerekir ve işlem iz bırakır. Telefonla ödemede ayrıca ekran kilidi şart.
2. “Kartım kopyalanabilir mi?” Manyetik şeritli kartlar kopyalanabiliyordu; yonga ve temassız işlemler her seferinde değişen kriptogram ürettiği için aynı anlamda kopyalanamıyor.
3. “Araya girip işlemi yönlendirebilirler mi?” Teorik olarak sinyali uzatma saldırıları tartışılıyor; pratikte ekipman, yakınlık ve zamanlama gereksinimleri bunu sahada nadir kılıyor. Standartlar da zamanlama denetimleri içeriyor.
4. “Telefonun pili biterse?” Bazı cihazlar düşük pil durumunda da kısa süre ödeme yapabilen bir yedek kipe sahip; bu modele göre değişir.

Asıl risk teknik değil: ödeme uygulamasına sahte bir kart ekletmek için yapılan sosyal mühendislik. Bankadan aradığını söyleyen birine doğrulama kodu okumak, bu senaryonun tipik adımı. Oltalama yazısındaki geri arama kuralı burada da geçerli.

Limitler ve çevrimdışı durum

Fiziksel kartlarda belirli bir tutarın üstünde şifre istenir; bu limit ülkeye ve bankaya göre değişir. Telefonla ödemede kullanıcı doğrulaması zaten cihazda yapıldığı için limit genelde daha yüksektir ya da uygulanmaz.

Bir de çevrimdışı işlemler var: bağlantı yoksa terminal, belirli bir tutara kadar işlemi yerel kurallara göre onaylayıp sonra iletebilir. Bu yüzden harcamanın hesaba işlenmesi bazen gecikir.

Ödeme dışında NFC

Aynı teknoloji ulaşım kartlarında, otel anahtarlarında, kurumsal geçiş kartlarında ve ürün etiketlerinde kullanılıyor. Telefonun bu kartları taklit edebilmesi, kart sisteminin buna izin vermesine bağlı — bazı ulaşım sistemleri destekler, bazıları desteklemez.

Küçük NFC etiketleri de ilginç bir kullanım alanı: bir etikete yaklaştırmak, telefonda bir kısayolu çalıştırabiliyor. Dikkat edilecek nokta, etiketin içinde bir bağlantı olabileceği — tanımadığınız bir etikete telefonu yaklaştırmak, tanımadığınız bir bağlantıya tıklamakla aynı sınıfta.

Hat tarafındaki dijitalleşmeyi de merak ediyorsanız eSIM yazısı, aynı “fiziksel kartı yazılıma taşımak” fikrinin başka bir örneği.

Telefonla ödeme kartın dijital kopyası değil; her seferinde yeniden üretilen, tek kullanımlık bir vekili.