Jak funguje placení telefonem?
Mobilní peněženky už dávno nejsou jen „karta v telefonu“. Apple Pay i Google Pay stojí na tokenizaci podle standardů EMV: skutečné číslo karty (PAN) je nahrazené alternativní hodnotou, která může být omezená na konkrétní zařízení či použití.
V pozadí tak běží infrastruktura karetních sítí a tzv. token service providerů, zatímco uživatel vidí jen jednoduché přiložení telefonu a ověření biometrikou.
Mohlo by vás zajímat
Apple Pay v praxi i v teorii
U Apple Pay se po přidání karty vytvoří tzv. Device Account Number (také označovaný jako DPAN/DAN), který je uložený v Secure Elementu v zařízení (iPhone nebo Apple Watch). Při platbě pak Secure Element po ověření uživatele poskytne tento Device Account Number a transakčně specifický dynamický bezpečnostní kód, takže obchodník nedostane skutečné číslo karty.
Důležitý detail: Apple opakovaně zdůrazňuje, že čísla karet se neukládají ani na zařízení „v běžné podobě“, ani na serverech Apple, a platba je svázaná s autentizací (Face ID, Touch ID nebo klasický kód). Pro uživatele to znamená menší riziko při úniku dat z e‑shopu – uniklý token je pro útočníka výrazně hůř zneužitelný než klasické údaje z platební karty.
Zdroj:
ByteByteGo / YouTube
Google Pay: Tokenizace také, častěji „serverově“
Google Pay (Google Wallet) používá stejný princip EMV tokenizace: při přidání karty se požádá o platební token, který následně vstupuje do platebního procesu místo klasických údajů z karty. V praxi se část komunikace odehrává přes backend Google Pay a karetní síť, která vrací token a kryptogram, z nichž se vytvoří šifrovaná platební data pro zpracování transakce.
Zjednodušeně: u obou systémů je klíčové, že obchodník typicky pracuje s tokenem a jednorázovým kryptogramem, zatímco „odtokenizace“ (mapování tokenu zpět na skutečné PAN) se řeší v rámci karetní infrastruktury.
Pro uživatele proto bývá rozdíl spíš ekosystémový (iOS vs Android) než bezpečnostní „kvalitativní propast“: oba stojí na standardizované tokenizaci a na tom, že transakce se autorizuje dynamickými údaji, ne statickým číslem karty. Ve výsledku jsou tedy obě služby stejně bezpečné, rozdíly jsou pouze v technické stránce.
Zdroj: @cyber_razz, Tech Express, ByteByteGo
video
