Правда о бесконтактных платежах в фитнес браслетах

Привет, Хабр.

В последнее время я довольно часто сталкиваюсь с непониманием российских пользователей относительно бесконтактных платежей в дешевой носимой электронике и роли NFC чипа в данной функциональности.

Большую роль в этом играют всевозможные новостные ресурсы, авторы которых бездумно (или же специально, в жертву кликбейту) копипастят друг друга, додумывая интересные фишки. Ситуация усугубляется с анонсами новых устройств, таких, как Xiaomi Mi Band 4, и новостями о скором приходе в Россию платежной системы Xiaomi Mi Pay, в сотрудничестве с MasterCard.
Этим постом хотелось бы развеять непонимание, сложившееся в рунете по этой теме.

На данный момент бесконтактную оплату на кассе, с использованием NFC, умеют только несколько видов устройств:

• Apple Watch с системой Apple Pay;
• Смарт часы на базе операционной системы от Google (Android Wear, Wear OS) с поддержкой Google Pay;
• Смарт часы от Samsung на Tizen OS с системой Samsung Pay;
• Fitbit Pay (не работающий в России) и, возможно, еще несколько не популярных вариантов.

В целом, таких устройств на рынке не так много, и, главное, цена на них для многих станет минусом при выборе, наряду с малой автономностью.

Пару лет назад на рынке всевозможных фитнес-браслетов и полу-умных часов стали появляться модели с NFC чипом. Тут то и началось… Журналисты путают людей возможностью бесконтактной оплаты при помощи Alipay, не понимая, как оно устроено, обещают скорый приход мобильных платежей на каждое запястье. А прихода всё нет. Пользователям хочется верить, что вот-вот, и совсем скоро их дешевый Mi Band 3, предусмотрительно купленный в версии с NFC, заменит им кошелёк. Но, увы.

Подавляющее большинство таких гаджетов производится в Китае, для внутреннего рынка. Многие с последующим выходом на рынок глобальный. Как же обстоят дела с бесконтактной оплатой на внутреннем рынке Китая? Здесь следует выделить две технологии:

1. Оплата при помощи QR или штрих кода. Такую реализацию китайцы используют повсеместно. Суть следующая. Практически каждый пользователь имеет при себе смартфон. В смартфоне, с вероятностью 99,9% установлен «больше, чем просто мессенджер» WeChat, с его электронным кошельком, либо приложение Alipay — практически электронный банк от Alibaba group. Для оплаты на кассе при помощи данных приложений на смартфоне существует два способа. Рассмотрим их.

1.1 Пользователь сканирует QR код продавца с помощью камеры смартфона. Вводит нужную сумму, либо она уже зашифрована в QR коде продавца. Далее подтверждает транзакцию (пароль или биометрия). Деньги моментально списываются с кошелька покупателя в пользу продавца. Такой способ не может быть использован на браслете, ввиду отсутствия камеры.

1.2 Пользователь показывает продавцу свой QR/штрих код, сгенерированный приложением-кошельком. Продавец «пикает» его своим ручным кассовым сканером. Сумма так же мгновенно списывается в пользу продавца. Что для этого нужно гаджету-плательщику? То, что у него есть — дисплей и немного мозгов. Поэтому данный способ оплаты был реализован усилиями Alipay. Поддерживаемое носимое устройство привязывается к приложению Alipay. В кошельке для него создается отдельный безопасный счёт (с лимитом на оплату). Гаджету присваивается и заводится в него статичная пара кодов (QR и штрих). Далее оплата проходит офлайн, без участия смартфона. Транзакции передаются на сервера Alipay с кассы магазина. Собственно, это единственный метод оплаты покупок в магазине в Китае посредством подобных устройств.

2. Великий и могучий NFC. Здесь поговорим не только об оплате, но и о других возможностях браслетов с NFC чипом. Начнем, конечно, с платежей. Здесь на первом месте что? Правильно, Безопасность. Не могут те же мибэнды, с их хиленькими контроллерами и дешёвыми NFC чипами обеспечить вменяемый уровень безопасности, чтобы производитель доверил им эмуляцию банковских карт своих пользователей. Но, вот транспортная карта – это другое дело. На них обычно килобаксы не валяются. Собственно, это и есть одна из главных целей NFC чипа в мибэндоподобных трекерах. Суть следующая. Производитель сотрудничает с общественными перевозчиками (метро, городские автобусы). В фирменном приложении, в разделе функций NFC, пользователь покупает транспортную карту для своего браслета. Виртуальную, конечно, но за реальную стоимость — порядка 20 юаней (~200р) невозвратный депозит и остальное на баланс (тут уже сумма по усмотрению). Карта записывается в браслет и дальше абсолютно автономно используется для оплаты проезда. Очень удобно, так как для срабатывания никаких лишних телодвижений не нужно, просто поднеси руку к считывателю – и оплата произведена. Пополняется карта, так же удобно, в приложении браслета, с использованием тех же WeChat или Alipay.

Еще одна функция, которая сопровождает браслеты с NFC чипом — эмуляция карт доступа. Функция полезная и удобная, но, в том же Китае, в современных реалиях порядком запоздавшая. Объясню почему. Во-первых, NFC работает на частоте 13,56 МГц. Соответственно поддерживаются только карты с данной частотой. Во-вторых, дело опять в безопасности. Браслет может считать и корректно эмулировать только карты без шифрования и, как выяснилось (спасибо форуму 4pda), длина UID должна быть 4 байта. В противном случае, даже если вы скопируете карту, то считыватель на проходной вам дверь не откроет. Здесь производители поступают по-разному. Например, приложение MiFit просто не даст вам скопировать неподдерживаемую карту. А вот родное приложение браслета Hey+ без зазрения совести копирует, всё что может, но не гарантирует корректную работу. Как показала практика, настолько небезопасный домофон или проходную в Китае нужно еще поискать. Я не нашёл.

В России дела обстоят лучше, с точки зрения возможности использования. К примеру, пользователи всё того же форума подтверждают нормальную работу с проходной картой «Москвёнок» и с некоторыми домофонами.

Также присутствует и другая интересная возможность – создать «чистую» карту, пойти в управляющую компанию и зарегистрировать ее в их системе. Мне, к сожалению, протестировать не удалось по ряду причин. Одна из них не оставила мне ни единого шанса – всё тот же пресловутый MiFit от Xiaomi для создания такой карты просит подтвердить личность, используя китайский ID, которого я иметь не могу. Да и в целом китайская безопасность не дремлет. Если с браслетом Hey+ эти функция открыты для использования, то MiFit просто отказывается активировать функции NFC для аккаунтов, зарегистрированных вне материкового Китая.

На этом, пожалуй, и закончу.

Всё вышеизложенное основано на личном опыте и логических выводах из него.

А выводы такие: не стоит ожидать появления платёжных систем в классе дешевых фитнес-трекеров, даже со встроенным NFC чипом. Даже в свете новостей о скором запуске Mi Pay в России. Если тот же Mi Pay и появится в будущем на одном из еще не представленных Mi Band, то не раньше, чем его обкатают на родном внутреннем рынке Китая. А об этом пока и речи нет.

Надеюсь, эта статья будет полезна сообществу, и рунету в целом. Здоровая критика приветствуется.

Источник: habr.com