Токенизация банковских карт: как технология изменила финансовый мир

Мы ежедневно производим оплаты картой или смартфоном, не задумываясь о том, что творится под капотом платежной инфраструктуры. А там происходит настоящая магия – десятки алгоритмов и методов шифрования превращают конфиденциальные данные банковской карты в безопасный и удобный для расчета и операционной деятельности бизнеса токен. В данном материале поговорим о токенизации – главном стандарте безопасности современной цифровой экономики: что это, как работает, почему без токенов вы бы сегодня не смогли проводить большинство платежей и как благодаря этой технологии выигрывают клиенты hutko.

Что такое токенизация

Токенизация (от англ. tokenization) − это процесс замены чувствительных данных платежной карты, таких как PAN-идентификатор (от англ. primary account number – номер банковской карты), математически не связанным с ними случайно сгенерированным номером – токеном, хранящимся в специальной защищенной базе данных под названием Token Vault. Оригинальные данные карты остаются только в хранилище, а токен доступен для использования платежному провайдеру, мерчанту или потребителю. При осуществлении оплаты производится замена токена реальными данными для авторизации операции в платежной системе (от англ. – detokenization).

Следует различать токенизацию и шифрование. Последнее – это математическое превращение данных в шифротекст (от англ. ciphertext) с помощью определенного криптоалгоритма и ключа. Данные можно дешифровать, только имея правильный ключ. В случае компрометации ключа или криптоалгоритма информацию можно восстановить без согласия владельца.

В процессе токенизации данные карты не шифруются – они заменяются рандомным значением, которое генерируется случайным образом и не имеет математической связи с оригиналом. Даже если кто-то все же перехватит токен, он не сможет получить номер платежной карты без доступа к хранилищу Token Vault, которое защищено на максимально высоком уровне. Токенизация значительно уменьшает зону ответственности по стандарту PCI DSS, поскольку токены не считаются чувствительными данными карты. Это ключевое преимущество над шифрованием: для злоумышленника такой набор токенов является лишь безымянными идентификаторами, не имеющими никакой пользы в отличие от реальных данных карты.

Здесь можно провести аналогию с автоматической камерой хранения на вокзале: вы оставляете ценную вещь в ячейке под кодовым замком. Даже если вор получит этот код, он не будет иметь ценности для него, поскольку преступник не знает, в какой среди тысяч ячеек и сотен вокзалов хранится багаж.

Как создаются токены и какие они бывают

За генерацию токенов на основе реквизитов карт в банковской системе отвечает Token Service Provider (TSP). Это может быть как платежная система (Visa Token Service или Mastercard MDES), так и банк-эмитент или авторизованный провайдер (например, Apple, Google, hutko и т.д.). Процесс выглядит следующим образом:

1. Пользователь вводит данные банковской карты (PAN).
2. Запрос на токенизацию поступает к TSP-провайдеру.
3. Система проверяет платежную карту через банк-эмитент.
4. После этого генерируется случайный токен высокой энтропииДля этого используются криптографически стойкие генераторы случайных чисел.
5. Токен и связанные с ним оригинальные данные платежной карты хранятся в Token Vault – надежно защищенной базе данных.
6. После этого токен возвращается мерчанту или привязывается к цифровому кошельку.

Как видим, токен не содержит никакой математической зависимости от номера карты, поэтому его невозможно расшифровать. Внешне он часто выглядит как обычный идентификатор банковской карты (PAN-образный формат), но может иметь другую длину. В его состав входят:

• Уникальный идентификатор
• Срок действия
• Token Reference ID
• Метаданные (тип токена, ограничения домена, уровень безопасности)

В зависимости от типа финансовой операции и участника платежной инфраструктуры токены делятся на несколько категорий. Итак, по количеству использований они бывают:

• Одноразовые (на английском − single-use или one-time tokens) − создаются для одной конкретной транзакции, после использования сразу деактивируются. Такой тип идеально подходит для гостевых платежей и, в отличие от реальных карт, максимально снижает риски мошенничества.
• Многоразовые (на английском − multi-use или persistent tokens) − можно использовать для оплат много раз. Именно такие хранятся в Apple Wallet, Google Wallet или в аккаунте на Amazon, Netflix и в других сервисах.

По сфере применения токены подразделяются на:

• Локальные (на английском − device-bound или local tokens) − привязанные к конкретному устройству (смартфон, смарт-часы, ноутбук). Если такое устройство утеряно или скомпрометировано, токен блокируется и оплата становится невозможной. Используются в мобильных кошельках и у некоторых платежных провайдеров, например hutko.
• Сетевые (на английском − network tokens) − выдаются непосредственно платежными системами Visa и Mastercard. Они не привязаны к одному устройству и могут применяться для оплаты на разных гаджетах одного пользователя в пределах разрешенных доменов. Кстати, сетевые токены тоже используются в hutko.

Для более надежной защиты вводятся так называемые ограничения домена (от англ. domain restrictions) – набор правил, определяющих, где и для каких операций может быть использован платежный токен. Это важный механизм, который гарантирует, что даже в случае перехвата токен окажется бесполезным вне своего домена.

Следовательно, токен становится валидным только тогда, когда запрос на оплату соответствует определенным правилам:

• Привязка к устройству (на английском − device-specific): например, платежный токен, созданный для вашего iPhone и оплат с помощью Apple Pay, будет работать только на этом конкретном устройстве. Его невозможно скопировать на другой смартфон для совершения платежей.
• Тип канала оплаты (на английском − channel-specific): токен может быть ограничен только бесконтактными платежами через NFC или только для покупок в конкретном мобильном приложении или на сайте.
• Ограничения для конкретного торговца (на английском − merchant-specific): часто используется для подписок на онлайн-сервисы (например, Netflix или Spotify). Платежный токен генерируется специально для такого мерчанта, и попытка использовать его для оплаты в другом месте, например в онлайн-магазине, приведет к отказу.
• Динамические ключи (на английском − cryptograms): большинство доменных ограничений работают в паре с динамическими криптограммами. Даже в пределах своего домена токену требуется уникальный код, генерируемый для каждой отдельной платежной транзакции.

Таким образом, если хакер взломает базу данных интернет-магазина или другого сервиса и похитит токены, то не сможет просто пойти с ними в супермаркет и рассчитаться, например, через NFC, ведь украденные виртуальные номера карт могут быть предназначены только для онлайн-канала этого магазина или сервиса или для оплаты конкретным устройством.

Токенизация активно применяется в современном финансовом мире, поскольку существенно снижает риски утечки данных, упрощает процесс проверки на соответствие требованиям и делает современный онлайн-банкинг значительно безопаснее. Именно поэтому она стала стандартом Apple Pay, Google Pay, рекуррентных платежей и большинства крупных мерчантов.

Как работает токенизация в платежных технологиях

Токенизация позволяет безопасно производить оплаты без раскрытия конфиденциальных данных банковской карты. Ниже покажем, как это работает на практике, кто участники процесса и какова их роль.

Эмитент (банк, выпустивший карту)

• Проверяет клиента
• Разрешает или отклоняет токенизацию
• Авторизует транзакцию по карте

Эквайер (банк мерчанта)

• Принимает платеж
• Передает транзакцию в платежную систему

Платежная система

Visa или Mastercard выступают как Token Service Provider (TSP).

• Создают платежный токен
• Сохраняют связь Токен > PAN карты
• Превращают платежный токен в данные карты

Токен-менеджер

Это сервис в электронных кошельках или платформах, который:

• Инициирует создание токена
• Хранит его на устройстве
• Использует для платежей

Коротко токенизация при оплатах работает так:

1. Банковская карта превращается в токен.
2. Токен в процессе платежной операции используется вместо PAN-номера карты.
3. Платежная система сохраняет соответствие первого и второго в Token Vault.
4. При оплате токен временно превращается обратно в PAN-номер карты.

При этом реальные платежные данные карты никогда не передаются напрямую, что значительно повышает безопасность онлайн- и мобильных платежей.

Токенизация в мобильных кошельках Apple Pay и Google Pay

Оплата через электронные кошельки была бы невозможна без токенизации. Вот подробный разбор того, как такая технология работает в Apple Pay и Google Pay.

Когда вы фотографируете карту или вводите данные вручную, происходит следующее:

1. Сбор данных: приложение считывает номер банковской карты, срок действия и CVV-код.
2. Запрос к эмитенту: информация с карты шифруется и передается платежной системе Visa или Mastercard, которая перенаправляет запрос банку-эмитенту.
3. Проверка: банк проверяет вашу личность посредством отправки SMS-кода или через банковское приложение и оценивает рисковость устройства.
4. Создание токена: после одобрения платежная система генерирует DPAN (от англ. Device Primary Account Number) – это и есть платежный токен, заменяющий карту, который привязан именно к вашему смартфону.

Биометрия или пароль для разблокировки экрана гаджета играет важную роль в мобильных кошельках, поскольку является ключом, запускающим криптографический процесс:

1. Активация платежного токена: по умолчанию он заблокирован в памяти устройства. Биометрическое подтверждение или ввод пароля подает сигнал на разблокировку доступа к Secure Element (в продуктах Apple) или зашифрованному облачному хранилищу (в продуктах Google).
2. Генерация криптограммы: для каждой платежной транзакции создается уникальный динамический код (криптограмма). Разблокировка экрана подтверждает, что именно владелец разрешает системе сгенерировать этот код и осуществить оплату.
3. Связь: без успешного ввода пароля либо сканирования лица или пальца платежный токен не открывается, таким образом терминал не получит никаких данных для операции оплаты в отличие от пластиковых карт, где при малых суммах платежей никаких проверок нет.

Разница в работе технологий Apple Pay и Google Pay

В целом Apple Pay считается более защищенным благодаря изолированному hardware-чипу (Secure Element), тогда как Google Pay является более универсальным, поскольку работает на тысячах различных устройств Android, полагаясь на облачные технологии и шифрование. Но в обоих случаях реальный номер вашей карты никогда не попадает в память телефона и не передается терминалу магазина во время оплаты.

Поскольку Android использует технологию Host Card Emulation, где безопасность реализуется на уровне программного обеспечения и облака, Google Pay не будет постоянно работать без интернета. Обычно сервис позволяет совершить от 3 до 10 платежных операций в режиме офлайн. Однако для больших сумм устройство может потребовать немедленную онлайн-связь с банком для проверки оплаты. Как только вы подключитесь к Wi-Fi или мобильному интернету хотя бы на несколько секунд, автоматически подтянется новая порция токенов.

В отличие от Android, гаджетами Apple можно осуществлять оплаты без интернета почти бесконечно долго, как и обычными картами. Поскольку токен хранится в Secure Element, криптограмма для каждой платежной транзакции генерируется самим электронным чипом, так что ему не нужны запасные ключи из облака.

Преимущества токенизации для бизнеса и потребителей

Токенизация кардинально изменила уровень безопасности и удобства в платежной сфере. Она приносит ощутимые преимущества как обычным пользователям, так и бизнесу.

Как hutko использует токенизацию для высокой конверсии платежей и лучшего пользовательского опыта

Когда пользователь впервые вводит реквизиты своей банковской карты на сайте или в мобильном приложении нашего мерчанта, мы на своей стороне генерируем локальный токен и формируем запрос в платежную систему Visa или Mastercard для создания сетевого токена (англ. network token). После получения последнего мы связываем его с нашим локальным токеном карты и храним оба в высокозащищенной базе данных.

Когда мерчанту нужно повторно списать деньги с банковской карты клиента, например за ежемесячную подписку или заказ в интернет-магазине, он отправляет запрос в hutko. Мы сопоставляем локальный токен и сетевой токен, далее платежная система Visa или Mastercard запрашивает разрешение у банка-эмитента, и после подтверждения с его стороны оплата списывается с карты клиента.

Самое интересное происходит, когда пользователь перевыпускает карту: тогда банк-эмитент отправляет обновленные данные карты в платежную систему Visa или Mastercard, которые заново привязывают их к своему сетевому токену и информируют hutko. Таким образом, данные по карте обновляются автоматически, без привлечения владельца карты. В результате регулярные платежи продолжают поступать на счет мерчанта без перебоев, а клиент после перевыпуска карты не замечает никаких изменений – он и дальше вовремя получает нужную ему услугу. Это повышает лояльность пользователей, минимизирует количество отказов, а еще значительно снижает нагрузку на службу поддержки онлайн-магазина или сервиса по подписке.

Будущее токенизации

Будущее токенизация выходит далеко за пределы банковских карт в смартфоне. Мы движемся к миру, где любая ценность – от цифрового кода до физического актива – может быть превращена в защищенный цифровой токен.

Резюме

Токенизация – не просто удобство, а необходимая броня для денег в цифровом мире. Это сердце современных мобильных платежей, одновременно повышающее безопасность, удобство и прибыльность. Такая технология особенно удобна для сервисов по подписке, принимающих регулярные платежи, и интернет-магазинов для повторных оплат в один клик.

Клиентам hutko токенизация доступна по умолчанию сразу после активации мерчанта. Как только ваш покупатель совершит первый платеж, как данные его карты превращаются в токен, который можно применить для повторных оплат в один клик. Так что подключайтесь к hutko и пользуйтесь по полной возможностями современных платежных технологий.