Как работает банковская карта

Денег на банковской карте нет. Ни на магнитной полосе, ни в чипе не хранится остаток счёта, и уменьшить его, повредив пластик, невозможно. Карта - это ключ и удостоверение сразу: по её номеру платёжная система понимает, в какой банк обращаться, а чип доказывает этому банку, что карта настоящая, а не копия. Все деньги лежат записями в банке, и любая покупка - это разговор терминала с банком длиной в пару секунд.

Что записано на самом пластике

Главное на карте - её номер, чаще всего из шестнадцати цифр. Он устроен не случайно.

Первая цифра говорит об отрасли: у карт платёжных систем это, как правило, четвёрка, пятёрка или двойка. Первые шесть-восемь цифр - код банка, выпустившего карту. По ним терминал и платёжная система за долю секунды понимают маршрут: куда именно отправлять запрос. Дальше идёт номер карты внутри банка, а последняя цифра - контрольная.

Контрольная цифра считается по тому же принципу, что и в товарных кодах: цифры через одну удваиваются, из результатов больше девяти вычитается девять, всё складывается, и сумма обязана делиться на десять. Смысл тот же - отсечь опечатку. Когда сайт говорит «неверный номер карты» мгновенно, ещё не отправив ничего в банк, он просто проверил эту арифметику.

Срок действия ограничивает жизнь ключа: карту перевыпускают, а счёт остаётся прежним. Три цифры на обороте в чипе и на полосе не записаны - они напечатаны и служат подтверждением, что карта физически была в руках у платящего.

Магнитная полоса и почему от неё уходят

Полоса на обороте - это лента с намагниченными частицами, дорожки на которой хранят номер карты, срок действия и служебные данные. Устройство читает их так же, как головка читает магнитную ленту.

Проблема в том, что данные там статичны. Полоса при каждой покупке отдаёт одно и то же, а значит достаточно один раз её считать, чтобы записать копию на другой кусок пластика. Именно на этом строилось скимминговое мошенничество: накладка на картоприёмник снимала полосу, камера подсматривала ПИН.

Чип решает ровно эту задачу и потому вытеснил полосу почти везде. Полосу пока оставляют как запасной канал для стран и устройств, где чип не читают, но данные на ней специально ослабляют: код проверки на полосе и код в чипе разные, поэтому копия полосы, снятая с чипованной карты, не проходит как чиповая операция.

Чип: маленький компьютер, который не отдаёт свой секрет

Золотой квадратик на лицевой стороне - контактная площадка микросхемы. Под ней настоящий микрокомпьютер: процессор, память и собственная маленькая операционная система.

В памяти чипа лежит секретный ключ, и его невозможно оттуда прочитать - ни терминалу, ни банку, ни владельцу. Чип умеет только одно: принять данные и вернуть результат вычисления с этим ключом.

Работает это так. Терминал передаёт чипу сумму, валюту, дату и случайное число, которое он придумал прямо сейчас. Чип добавляет собственный счётчик операций, который увеличивается с каждой покупкой, и считает криптограмму - короткую подпись, зависящую от всех этих значений. Банк, зная тот же ключ, повторяет расчёт у себя и сравнивает.

Отсюда главное свойство: подпись годится ровно один раз. Перехватив её, злоумышленник получает бесполезный набор символов - при следующей покупке сумма другая, случайное число другое, счётчик другой. Скопировать чип нельзя, потому что копировать нечего: секрет не покидает кристалл.

Бесконтактная оплата: карта без батарейки

В бесконтактной карте нет ни батареи, ни проводов к чипу снаружи. По периметру пластика проложена антенна - несколько витков тонкого провода, которые видно, если посмотреть карту на просвет.

Терминал постоянно излучает переменное электромагнитное поле. Когда карта попадает в это поле, в её антенне наводится ток - тот же принцип, что у трансформатора. Этого тока хватает, чтобы запитать чип на доли секунды. Дальше карта и терминал разговаривают, изменяя нагрузку на поле: чип то сильнее, то слабее «подсаживает» его, а терминал считывает эти колебания как сигнал.

Питание слабое, поэтому дальность крошечная: единицы сантиметров. Это не мера безопасности, а физика - на большем расстоянии наведённой энергии просто не хватит на работу микросхемы.

Криптография при этом ровно та же, что у контактного чипа: одноразовая подпись на каждую операцию. Разница только в способе доставки данных. Лимит, ниже которого не спрашивают ПИН, задают банк и платёжная система, и он существует не потому, что маленькие суммы безопаснее, а потому что убыток от редкой кражи дешевле, чем потери от очередей на кассах.

Что происходит за те две секунды

Когда терминал говорит «обработка», по сети успевает пройти цепочка из четырёх звеньев.

Терминал собирает данные операции и криптограмму чипа и отправляет их в банк, который этот терминал обслуживает. Тот по коду банка в номере карты определяет адресата и передаёт запрос в платёжную систему. Платёжная система маршрутизирует его в банк, выпустивший карту. Банк-эмитент проверяет три вещи: настоящая ли подпись чипа, хватает ли денег и не выглядит ли операция подозрительно. Ответ возвращается тем же путём назад.

Весь путь занимает меньше секунды, остальное время уходит на связь терминала и печать чека. Когда касса просит подождать или переспрашивает, обычно это проблема канала связи, а не расчётов.

При оплате в интернете чипа рядом нет, поэтому проверка идёт другим способом: банк отправляет держателю подтверждение в приложение или сообщением. Это компенсация за то, что физическая карта в операции не участвует.

Почему сумма сначала висит, а потом списывается

Платёж состоит из двух разных событий, разнесённых во времени, и путаница между ними порождает больше всего вопросов.

Первое событие - авторизация. Банк подтверждает операцию и замораживает сумму на счёте: деньги ещё ваши, но потратить их второй раз нельзя. Именно эта замороженная сумма и выглядит как «висит».

Второе событие - расчёт. Магазин в конце дня передаёт в свой банк подтверждённые за день операции, и только тогда деньги действительно уходят со счёта. Между двумя событиями проходит от нескольких часов до нескольких дней.

Из этого вытекают знакомые странности. Отменённая покупка возвращается не сразу: замороженная сумма освобождается по истечении срока или по отдельной команде магазина. На заправке или в отеле сначала замораживают сумму больше фактической: точная стоимость станет известна позже, а авторизация нужна до заправки. Разница возвращается на расчёте.

Оплата телефоном и что такое токен

Телефон не хранит номер карты. При привязке банк выдаёт устройству отдельный номер - токен, который выглядит как обычный номер карты, но работает только на этом устройстве.

Внутри телефона токен лежит в отдельной защищённой микросхеме или в изолированной области процессора, недоступной обычным программам. По сути производители повторили в телефоне то, что уже сделано в карте: секретный ключ, который никуда не выдаётся, и одноразовая подпись на каждую покупку.

Практический смысл в том, что магазин никогда не видит настоящий номер. Утечка базы у продавца даёт злоумышленнику номер, который не работает нигде, кроме одного телефона, а отозвать токен можно, не перевыпуская сам пластик.

Почему карта именно такого размера

Размер карты задан международным стандартом: 85,6 на 53,98 миллиметра при толщине 0,76 миллиметра. Совпадает он не случайно - под тот же формат сделаны пропуска, транспортные карты и сим-карты в исходном виде.

Стандарт описывает и мелочи, о которых обычно не думают: где именно расположены контакты чипа, в каком месте проходит магнитная полоса, какую нагрузку на изгиб пластик обязан выдерживать. Благодаря этому карта, выпущенная в одной стране, механически подходит к терминалу и банкомату в другой.

Устройство самого банкомата и то, что происходит внутри него после проверки карты, мы разбираем отдельно в статье как работает банкомат.