Токенізація банківських карток: як технологія змінила фінансовий світ

Ми чи не щодня здійснюємо оплати карткою або смартфоном, не замислюючись про те, що коїться під капотом платіжної інфраструктури. А там відбувається справжня магія − десятки алгоритмів та методів шифрування перетворюють конфіденційні дані банківської картки на безпечний та зручний для розрахунку та операційної діяльності бізнесу токен. У цьому матеріалі поговоримо про токенізацію – головний стандарт безпеки сучасної цифрової економіки: що це, як працює, чому без токенів ви б сьогодні не змогли здійснювати більшість платежів і як завдяки цій технології виграють клієнти hutko.

Що таке токенізація

Токенізація (від англ. tokenization) − це процес заміни чутливих даних платіжної картки, як-от PAN-ідентифікатор (від англ. primary account number – номер банківської картки), на математично не пов’язаний із ними випадково згенерований номер – токен, що зберігається в спеціальній захищеній базі даних під назвою Token Vault. Оригінальні дані картки залишаються лише у сховищі, а токен доступний для використання платіжному провайдеру, мерчанту чи споживачу. При здійсненні оплати відбувається заміна токена на реальні дані для авторизації операції в платіжній системі (від англ. – detokenization).

Слід розрізняти токенізацію та шифрування. Останнє − це математичне перетворення даних у шифротекст (від англ. ciphertext) за допомогою певного криптоалгоритму та ключа. Дані можна дешифрувати, тільки маючи правильний ключ. У випадку компрометації ключа або криптоалгоритму інформацію можна відновити без згоди власника.

В процесі токенізації дані картки не шифруються − вони заміняються на рандомне значення, яке генерується випадковим чином і не має математичного зв’язку з оригіналом. Навіть якщо хтось все ж таки перехопить токен, він не зможе отримати номер платіжної картки без доступу до сховища Token Vault, яке захищене на максимально високому рівні. Токенізація значно зменшує зону відповідальності за стандартом PCI DSS, оскільки токени не вважаються чутливими даними картки. Це ключова перевага над шифруванням: для зловмисника такий набір токенів є лише безіменними ідентифікаторами, що не мають жодної користі на відміну від реальних даних картки.

Тут можна провести аналогію з автоматичною камерою схову на вокзалі: ви залишаєте цінну річ у комірці під кодовим замком. Навіть якщо злодій таки отримає цей код, він не матиме для нього цінності, оскільки злочинець не знає, в якій серед тисяч комірок та сотень вокзалів зберігається багаж.

Як створюються токени і які вони бувають

За генерацію токенів на основі реквізитів карток у банківській системі відповідає Token Service Provider (TSP). Це може бути як платіжна система (Visa Token Service або Mastercard MDES), так і банк-емітент або авторизований провайдер (наприклад, Apple, Google, hutko тощо). Процес виглядає таким чином:

1. Користувач вводить дані банківської картки (PAN).
2. Запит на токенізацію надходить до TSP-провайдера.
3. Система перевіряє платіжну картку через банк-емітент.
4. Після того генерується випадковий токен високої ентропіїДля цього використовуються криптографічно стійкі генератори випадкових чисел.
5. Токен і пов’язані з ним оригінальні дані платіжної картки зберігаються в Token Vault − надійно захищеній базі даних.
6. Після цього токен повертається мерчанту або прив’язується до цифрового гаманця.

Як бачимо, токен не містить жодної математичної залежності від номера картки, тому його неможливо розшифрувати. Зовні він часто виглядає як звичайний ідентифікатор банківської картки (PAN-подібний формат), але може мати іншу довжину. До його складу входять:

• Унікальний ідентифікатор
• Термін дії
• Token Reference ID
• Метадані (тип токена, обмеження домену, рівень безпеки)

Залежно від типу фінансової операції та учасника платіжної інфраструктури токени діляться на кілька категорій. Отже, за кількістю використань вони бувають:

• Одноразові (англійською single-use або one-time tokens) − створюються для однієї конкретної транзакції, після використання відразу деактивуються. Такий тип ідеально підходить для гостьових платежів і на відміну від реальних карток максимально знижує ризики шахрайства.
• Багаторазові (англійською multi-use або persistent tokens) − можна використовувати для оплат багато разів. Саме такі зберігаються в Apple Wallet, Google Wallet або в акаунті на Amazon, Netflix тощо.

За сферою застосування токени поділяються на:

• Локальні (англійською device-bound або local tokens) − прив’язані до конкретного пристрою (смартфон, смартгодинник, ноутбук). Якщо такий пристрій втрачено або скомпрометовано, токен блокується й оплата стає неможливою. Використовуються в мобільних гаманцях та у деяких платіжних провайдерів, наприклад hutko.
• Мережеві (англійською network tokens) − видаються безпосередньо платіжними системами Visa і Mastercard. Вони не прив’язані до одного пристрою і можуть застосовуватися для оплати на різних гаджетах одного користувача в межах дозволених доменів. До речі, мережеві токени теж використовуються у hutko.

Для більш надійного захисту запроваджуються так звані обмеження домену (від англ. domain restrictions) − набір правил, які визначають, де і для яких операцій може бути використаний платіжний токен. Це важливий механізм, який гарантує, що навіть у разі перехоплення токен виявиться марним поза межами свого домену.

Отже, токен стає валідним лише тоді, коли запит на оплату відповідає визначеним правилам:

• Прив’язка до пристрою (англійською device-specific): наприклад, платіжний токен, створений для вашого iPhone і оплат за допомогою Apple Pay, працюватиме лише на цьому конкретному пристрої. Його неможливо скопіювати на інший смартфон для здійснення платежів.
• Тип каналу оплати (англійською channel-specific): токен може бути обмежений лише безконтактними платежами через NFC або лише для покупок у конкретному мобільному застосунку чи на сайті.
• Обмеження для конкретного торговця (англійською merchant-specific): часто використовується для підписок на онлайн-сервіси (наприклад, Netflix або Spotify). Платіжний токен генерується спеціально для такого мерчанта, і спроба використати його для оплати в іншому місці, наприклад онлайн-магазині, призведе до відмови.
• Динамічні ключі (англійською cryptograms): більшість доменних обмежень працюють у парі з динамічними криптограмами. Навіть у межах свого домену токен потребує унікального коду, який генерується для кожної окремої платіжної транзакції.

Таким чином, якщо хакер зламає базу даних інтернет-магазину чи іншого сервісу і викраде токени, то не зможе просто піти з ними в супермаркет і розрахуватися, наприклад, через NFC, адже вкрадені віртуальні номери карток можуть бути призначені лише для онлайн-каналу цього магазину або сервісу чи для оплати конкретним пристроєм.

Токенізація активно застосовується в сучасному фінансовому світі, оскільки суттєво знижує ризики витоку даних, спрощує процес перевірки на відповідність вимогам і робить сучасний онлайн-банкінг значно безпечнішим. Саме тому вона стала стандартом для Apple Pay, Google Pay, рекурентних платежів та більшості великих мерчантів.

Як працює токенізація в платіжних технологіях

Токенізація дозволяє безпечно проводити оплати без розкриття конфіденційних даних банківської картки. Нижче покажемо, як це працює на практиці, хто учасники процесу і яка їх роль.

Емітент (банк, що випустив картку)

• Перевіряє клієнта
• Дозволяє або відхиляє токенізацію
• Авторизує транзакцію по картці

Еквайєр (банк мерчанта)

• Приймає платіж
• Передає транзакцію в платіжну систему

Платіжна система

Visa або Mastercard виступають як Token Service Provider (TSP).

• Створюють платіжний токен
• Зберігають зв’язок Токен > PAN картки
• Перетворюють платіжний токен на дані картки

Токен-менеджер

Це сервіс в електронних гаманцях або платформах, який:

• Ініціює створення токена
• Зберігає його на пристрої
• Використовує для платежів

Коротко токенізація під час оплат працює так:

1. Банківська картка перетворюється на токен.
2. Токен у процесі платіжної операції використовується замість PAN-номера картки.
3. Платіжна система зберігає відповідність першого і другого у Token Vault.
4. Під час оплати токен тимчасово перетворюється назад на PAN-номер картки.

При цьому реальні платіжні дані картки ніколи не передаються напряму, що значно підвищує безпеку онлайн- і мобільних платежів.

Токенізація в мобільних гаманцях Apple Pay та Google Pay

Оплата через електронні гаманці була б неможлива без токенізації. Ось детальний розбір того, як така технологія працює в Apple Pay та Google Pay.

Коли ви фотографуєте картку або вводите дані вручну, відбувається наступне:

1. Збір даних: застосунок зчитує номер банківської картки, термін дії та CVV-код.
2. Запит до емітента: інформація з картки шифрується та надсилається платіжній системі Visa чи Mastercard, яка перенаправляє запит банку-емітенту.
3. Перевірка: банк перевіряє вашу особу через надсилання SMS-коду або банківський застосунок та оцінює ризиковість пристрою.
4. Створення токена: після схвалення платіжна система генерує DPAN (від англ. Device Primary Account Number) − це і є платіжний токен, що заміняє картку, який прив’язаний саме до вашого смартфона.

Біометрія чи пароль для розблокування екрана гаджета відіграє важливу роль у мобільних гаманцях, оскільки є ключем, що запускає криптографічний процес:

1. Активація платіжного токена: за замовчуванням він заблокований у пам’яті пристрою. Біометричне підтвердження чи введення пароля подає сигнал на розблокування доступу до Secure Element (у продуктах Apple) або зашифрованого хмарного сховища (у продуктах Google).
2. Генерація криптограми: для кожної платіжної транзакції створюється унікальний динамічний код (криптограма). Розблокування екрана підтверджує, що саме власник дозволяє системі згенерувати цей код і здійснити оплату.
3. Зв’язок: без успішного введення пароля чи сканування обличчя або пальця платіжний токен не відкривається, таким чином термінал не отримає жодних даних для операції оплати на відміну від пластикових карток, де при малих сумах платежів ніяких перевірок немає.

Різниця в роботі технологій Apple Pay та Google Pay

Загалом Apple Pay вважається більш захищеним завдяки ізольованому hardware-чипу (Secure Element), тоді як Google Pay є більш універсальним, оскільки працює на тисячах різних пристроїв Android, покладаючись на хмарні технології та шифрування. Але в обох випадках реальний номер вашої картки ніколи не потрапляє в пам’ять телефона і не передається терміналу магазину під час оплати.

Оскільки Android використовує технологію Host Card Emulation, де безпека реалізується на рівні програмного забезпечення та хмари, Google Pay не буде постійно працювати без інтернету. Зазвичай сервіс дозволяє здійснити від 3 до 10 платіжних операцій у режимі офлайн. Однак для великих сум пристрій може вимагати негайного онлайн-зв’язку з банком для перевірки оплати. Щойно ви під’єднаєтесь до Wi-Fi або мобільного інтернету хоча б на кілька секунд, автоматично підтягнеться нова порція токенів.

На відміну від Android, гаджетами Apple можна здійснювати оплати без інтернету майже нескінченно довго, як і звичайними картками. Оскільки токен зберігається в Secure Element, криптограма для кожної платіжної транзакції генерується самим електронним чипом, тож йому не потрібні запасні ключі з хмари.

Переваги токенізації для бізнесу та споживачів

Токенізація кардинально змінила рівень безпеки та зручності в платіжній сфері. Вона надає відчутні переваги і звичайним користувачам, і бізнесу.

Як hutko використовує токенізацію для високої конверсії платежів та кращого користувацького досвіду

Коли користувач вперше вводить реквізити своєї банківської картки на сайті чи у мобільному застосунку нашого мерчанта, ми на своєму боці генеруємо локальний токен та формуємо запит у платіжну систему Visa чи Mastercard для створення мережевого токена (англ. network token). Після отримання останнього ми зв’язуємо його з нашим локальним токеном картки і зберігаємо обидва у високозахищеній базі даних.

Коли мерчанту потрібно повторно списати гроші з банківської картки клієнта, наприклад за щомісячну підписку або замовлення в інтернет-магазині, він надсилає запит у hutko. Ми зіставляємо локальний токен і мережевий токен, далі платіжна система Visa або Mastercard запитує дозвіл у банку-емітента, і після підтвердження з його боку оплата списується з картки клієнта.

Найцікавіше відбувається, коли користувач перевипускає картку: тоді банк-емітент надсилає оновлені дані картки у платіжну систему Visa чи Mastercard, які заново прив’язують їх до свого мережевого токена та інформують hutko. Таким чином, дані за карткою оновлюються автоматично, без залучення власника картки. У результаті регулярні платежі продовжують надходити на рахунок мерчанта без перебоїв, а клієнт після перевипуску картки не помічає жодних змін – він і далі вчасно отримує потрібну йому послугу. Це підвищує лояльність користувачів, мінімізує кількість відмов, а ще значно знижує навантаження на службу підтримки онлайн-магазину чи сервісу за підпискою.

Майбутнє токенізації

Майбутнє токенізації виходить далеко за межі банківських карток у смартфоні. Ми рухаємося до світу, де будь-яка цінність − від цифрового коду до фізичного активу − може бути перетворена на захищений цифровий токен.

Резюме

Токенізація − не просто зручність, а необхідна броня для грошей у цифровому світі. Це серце сучасних мобільних платежів, що одночасно підвищує безпеку, зручність і прибутковість. Така технологія особливо зручна для сервісів за підпискою, які приймають регулярні платежі, та інтернет-магазинів для повторних оплат в один клік.

Клієнтам hutko токенізація доступна за замовчуванням одразу після активації мерчанта. Щойно ваш покупець здійснить перший платіж, як дані його картки перетворюються на токен, який можна застосувати для повторних оплат в один клік. Тож підключайтеся до hutko і користуйтеся на повну можливостями сучасних платіжних технологій.