В конце прошлого года «Евросеть» обновила приложение «Кукуруза» для платформы Android. Теперь оно позволяет владельцам карт «Кукуруза», обладающим Android-смартфоном с поддержкой NFC, оплачивать покупки не только бесконтактно, но и бескарточно.
Использование мобильного телефона в качестве средства бесконтактной оплаты само по себе не ново, МТС-Банк, «Русский Стандарт» и несколько других компаний уже предложили пользователям такие возможности. Однако распространение NFC-средств платежа тормозится технологическими ограничениями: то требуется специальная сим-карта, то приложение работает лишь на паре моделей смартфонов. У «Кукурузы» с этим все значительно проще.
Чтобы стать счастливым бесконтактным плательщиком, сгодится любой Android-смартфон с поддержкой технологии NFC (Near Field Communication, связи ближнего действия) и операционной системой версии 4.4 и выше. А это, если верить «Яндекс.Маркету», около сотни моделей, уже продающихся в России. Дело в том, что в «Кукурузе» применяется технология Host Card Emulation (HCE), реализованная Google в Android, начиная с версии 4.4.
В большинстве имеющихся на рынке решений NFC-платежей используется так называемый защищенный элемент (Secure Element, SE) призванный безопасно хранить платежные данные. Это отдельный чип, встроенный либо в смартфон, либо в сим-карту. Google, попытавшийся было реализовать NFC-платежи в своем Google.Wallet, столкнулась с тем, что производители мобильных устройств внедрять SE не спешат. И с операторами связи тоже каши не сваришь: их много, и у каждого сим-карты с SE работают лишь с одним каким-то решением, в зависимости от договоренности с платежной компанией.
Результатом стала полностью программная технология Host Card Emulation (HCE), позволяющая эмулировать платежную карту средствами операционной системы. Конечно, безопасность программного решения заведомо ниже, чем у аппаратного, хотя бы ввиду того, что система может быть попросту заражена вредоносной программой, полностью контролирующей содержимое памяти. Но от этого есть защитные средства, а преимущества программного подхода весомы: нет зависимости от производителей аппаратуры и операторов связи.
Итак, обновленная «Кукуруза» использует HCE для хранения данных виртуальной карты, использующей тот же лимит авторизации, что и физическая карта «Кукуруза». Выпустить виртуальную карту очень просто. Это делается при активации бесконтактной оплаты в мобильном приложении, при первом входе после установки. Конечно, сначала необходимо получить предоплаченную карту «Кукуруза» Стандарт или World в салоне «Евросети». Карта сама по себе не бесконтактная, ее можно просто оставить дома, если вы не планируете пользоваться банкоматами или платить там, где до сих пор не внедрены технологии бесконтактной оплаты Visa payWave и MasterCard PayPass.
Процесс активации очень прост, у нас он занял меньше минуты: с помощью камеры смартфона приложение сканирует штрихкод, размещенный на тыльной стороне карты, затем на телефон приходит СМС с одноразовым кодом, который нужно ввести – и ваш телефон превратился в полноценное средство оплаты.
Активировать бесконтактную оплату можно на нескольких устройствах, что позволяет, к примеру, нескольким членам семьи совершать платежи с одной «Кукурузы» (но СМС-уведомления присылаются лишь на номер, привязанный к карте).
Уже через несколько минут после активации приложения удалось проверить его работу. В первой же встретившейся торговой точке (мини-кофейня Coffee Point) на платежном терминале обнаружился значок бесконтактной оплаты. Даже запускать приложение не понадобилось. Смартфон, приложенный к терминалу, тут же показал картинку с суммой платежа, а из принтера начал выползать чек. Парой секунд позже пришло СМС-сообщение с данными платежа, а с карты «Кукуруза» списались только что внесенные на нее 135 рублей. Так как сумма оплаты составила менее 1 000 рублей, ПИН-код не запрашивался.
Очевидное преимущество такого средства оплаты перед обычной бесконтактной платежной картой заключается в том, что нет необходимости носить карту с собой, а без телефона в наше время никто из дома не выходит. Кроме того, при обычном бесконтактном платеже данные карты могут быть скомпрометированы, к примеру, скрыто установленной вебкамерой – на телефоне никакой конфиденциальной информации не видно.
Что касается выгоды пользователя, тут тоже все в порядке. Дополнительные комиссии за бесконтактные платежи отсутствуют, а начисление бонусов производится по той же схеме, что и при оплате картой «Кукуруза».
Доступ смартфона в Интернет нужен, по сути, лишь при активации бесконтактной оплаты, для загрузки данных виртуальной карты в смартфон. После этого можно платить хоть в подвале без каких-либо признаков приема сигнала. Как сообщила директор управления финансовых сервисов «Евросети» Елены Родионова, «при совершении оплаты приложение не использует выход в Интернет. Как пример, когда вы прикладываете платежную карту к терминалу, она же не имеет доступа в Интернет. Сам терминал подключен к сети, иначе операция не пройдет».
Как утверждает «Евросеть», продукт имеет многоуровневую защиту: «продукт защищен от взлома и клонирования как на уровне самого приложения, так и на уровне процессинга. Все данные шифрованы, приложение само отслеживает попытки взлома и при обнаружении такой попытки зачищает все критичные данные. При этом приложение периодически сообщает процессингу свое состояние, при всех операциях хост проверяет ожидаемое состояние и сравнивает с фактически полученным. При несовпадении, что может быть вызвано попыткой клонирования, карта блокируется. Кроме того, в процессинговом центре настроены специальные правила эмитентского фрод-мониторинга, которые контролируют количество беспиновых операций и блокируют карту при обнаружении подозрительной активности».
Но все же не стоит целиком и полностью полагаться на защитные технологии. Абсолютной защиты они дать не могут, а уязвимость концепции хранения платежных данных в памяти смартфона лежит на поверхности. Впрочем, «Кукуруза» в любом случае не предназначена для хранения солидных сумм, зато это очень удобное средство платежа, ставшее еще удобнее благодаря NFC.
Михаил ДЬЯКОВ, Banki.ru