Thanh toán NFC đang chiếm lĩnh thế giới — hoặc ít nhất cách mạng hóa cách chúng ta trả tiền cho hàng hóa trong cửa hàng. Nếu bạn chưa biết, công nghệ này đang bùng nổ ở phần lớn Châu Âu, Canada, và Châu Á.
Vương quốc Anh muốn tất cả terminal điểm bán hàng không tiếp xúc vào 2020, trong khi hơn 53% người Úc dùng ứng dụng NFC ít nhất một lần/tuần. Ở Trung Quốc, hệ thống thanh toán NFC trở nên phổ biến đến mức chuyên gia tin quốc gia đang trên đà trở thành xã hội không tiền mặt đầu tiên trong vài năm ngắn.
Mỹ hơi chậm hơn, nhưng đang truy kịp nhanh. Doanh nghiệp như McDonalds và Walgreens giờ cung cấp thanh toán không tiếp xúc, với nhiều cái khác đang lên tuyến.
Khi số doanh nghiệp chấp nhận ứng dụng NFC tăng, số ứng dụng cũng tăng. Nhưng ở bán cầu Tây, ba cái dẫn đầu: Apple Pay, Android Pay, và Samsung Pay. Hãy xem mérite bảo mật của mỗi cái.
Apple Pay
Chúng tôi đã xem kỹ bảo mật Apple Pay trong bài viết khác trên MakeUseOf. Ứng dụng có từ 2014. Bạn tìm thấy nó trong tất cả phiên bản iPhone 6, 7, 8, và X. Bạn có thể dùng để trả tiền trong cửa hàng, và nếu bạn có Mac, cũng có thể dùng để thanh toán trực tuyến.
Giống nhiều ứng dụng, biện pháp bảo mật chính của Apple Pay là token hóa (tokenization). Thay vì lưu số thẻ tín dụng thực trên thiết bị, ứng dụng tạo số tài khoản ảo.
Token hóa hoạt động nhờ quy trình mã hóa phức tạp. Sau khi bạn nhập chi tiết thẻ tín dụng vào ứng dụng, thiết bị mã hóa và gửi đến máy chủ Apple. Khi nhận được số, Apple giải mã, thêm mạng thanh toán thẻ, và mã hóa lại với khóa chỉ mạng thẻ của bạn mới mở được.
Nhà cung cấp sau đó cho phép thêm thẻ, tạo Số Tài Khoản Thiết Bị (DAN) dành riêng thiết bị, mã hóa, và gửi đến Apple. Apple không thể giải mã. Cuối cùng, Apple thêm DAN vào Secure Element (SE) trên điện thoại. Secure Element là công nghệ tiêu chuẩn ngành chúng ta sẽ nói thêm.
Apple cũng bảo vệ bạn khỏi mất thiết bị nhờ app Find My iPhone. Nó cho bạn xóa thiết bị từ xa và do đó xóa mọi thẻ tín dụng, ghi nợ, trả trước, và thẻ thưởng đã lưu. Bạn cũng có thể dùng trang tài khoản Apple ID để thông báo cho nhà cung cấp thẻ. Chúng sẽ tự động chặn thanh toán qua app Apple ID.
Nghe tuyệt, nhưng Apple Pay nêu bật một số lo ngại quyền riêng tư. Theo Điều Khoản Dịch Vụ:
"Apple gửi thông tin về hoạt động tài khoản iTunes và App Store, thông tin về thiết bị, thông tin về việc sử dụng thiết bị, và vị trí của bạn tại thời điểm bạn thêm thẻ tín dụng, ghi nợ, hoặc trả trước cho ngân hàng hoặc nhà phát hành thẻ."
Nghe lo ngại.
Android Pay
Nhiều tính năng bảo mật cốt lõi của Android Pay giống Apple Pay. Quy trình token hóa tương tự, nhưng với một khác biệt cơ bản.
Thay vì dùng Secure Element để tạo token, Android Pay dùng quá trình gọi là Host Card Emulation (HCE).
Host Card Emulation là một phần của hệ điều hành Android từ phiên bản 4.4. Thay vì lưu thông tin thanh toán trên Secure Element vật lý trong thiết bị, HCE đặt chúng trong môi trường từ xa và dùng đám mây giao tiếp với thiết bị.
Điều này có một số lợi ích chính so với SE vật lý:
- Dung lượng lưu trữ SE vật lý hạn chế, lưu trữ HCE có thể mở rộng.
- Phần tử HCE có thể tận dụng sức mạnh tính toán hơn và do đó triển khai biện pháp bảo mật mạnh mẽ hơn.
- SE từ xa triển khai qua HCE dẫn đến ít bên liên quan hơn và chi phí thấp hơn cho người tiêu dùng.
Tuy nhiên, có một nhược điểm bảo mật: vì HCE dựa trên Secure Element từ xa, nó phải cho phép bạn thanh toán khi ngoại tuyến. Nó giống như dùng thẻ tín dụng tạm thời.
Cửa sổ cơ hội không kéo dài; cuối cùng bạn phải kết nối lại máy chủ trước khi thanh toán thêm. Nhưng có nghĩa là ai nắm được thiết bị và biết mã PIN có thể tắt Wi-Fi và đi mua sắm nhỏ trước khi bạn kịp phản ứng. Rủi ro tối thiểu, nhưng tồn tại.
Samsung Pay
Cái cuối cùng trong "ba lớn" ứng dụng thanh toán NFC là Samsung Pay. Đó là câu trả lời của công ty Hàn Quốc cho Apple Pay. Giống Apple Pay, nó là ứng dụng độc quyền chỉ chạy trên sản phẩm Samsung.
Trước khi đi vào chi tiết bảo mật, đáng nhắc một tính năng không có ở Android hay Apple. Samsung Pay hỗ trợ terminal NFC và cũng hoạt động với Magnetic Secure Transmission (MST) và Europay MasterCard Visa (EMV) reader phổ biến. Vì vậy, nó là sản phẩm toàn diện hơn.
Samsung dựa vào Samsung Knox để bảo vệ khỏi hoạt động đáng ngờ. Lần lượt, Knox xây trên kiến trúc ARM TrustZone. Bảo mật TrustZone có ba khía cạnh: TIMA KeyStore, bảo vệ kernel thời gian thực, và chứng thực.
Điện thoại Samsung lấy lá từ sách của Apple; Secure Element vật lý nằm trên thiết bị. Công nghệ HCE không dùng. Trong điện thoại Samsung S8 gần đây, ông lớn an ninh số Gemalto chịu trách nhiệm SE.
Khi thanh toán, cả ba ứng dụng rất giống. Bạn cần dùng mã PIN hoặc ID sinh trắc học để ủy quyền mỗi thanh toán. Với số lớn, thường phải ký tên. Nhờ token hóa, nhà cung cấp không bao giờ thấy chi tiết thẻ.
Nếu mất điện thoại, bạn có thể dùng ứng dụng trực tuyến chặn và xóa ứng dụng Samsung Pay từ xa.
Bạn Có Nên Giữ Tiền Mặt Và Thẻ?
Không ứng dụng nào hoàn hảo — hacker luôn tìm lỗ hổng và cách khai thác bạn và dữ liệu.
Nếu bạn theo dõi tin tức công nghệ, bạn sẽ đôi khi thấy bài viết phơi bày lỗ hổng ứng dụng NFC. Ví dụ, tháng 8/2016, nhà nghiên cứu bảo mật lập luận token Samsung Pay không đủ ngẫu nhiên và có thể dự đoán.
Tương tự, tháng 3/2016, chuyên gia lập luận tội phạm có thể nạp thẻ tín dụng bị đánh cắp lên Apple Pay, dùng một thời gian ngắn, rồi vứt điện thoại.
Tất nhiên, tình hình đáng lo ngại. Nhưng ứng dụng NFC tất cả an toàn hơn dùng tiền mặt và thẻ tín dụng ký tên truyền thống. Quan trọng nhất, khi công nghệ trưởng thành, bảo mật ứng dụng chỉ sẽ cải thiện.
Bạn Có Dùng Ứng Dụng NFC?
Trong bài này, chúng tôi đã đưa ra giới thiệu ngắn gọn về tính năng bảo mật của ba ứng dụng thanh toán lớn nhất tại Châu Âu và Bắc Mỹ.
Bạn dùng ứng dụng NFC? Bạn tin tưởng chúng? Chúng đủ an toàn? Và bạn nghĩ chúng có thể thay thế tiền mặt? Bạn có thể để tất cả ý kiến và phản hồi trong phần bình luận. Và nhớ chia sẻ bài này với người theo dõi trên mạng xã hội.