Ciao, Habr.
Di recente mi capita abbastanza spesso di affrontare l'incomprensione degli utenti russi riguardo ai pagamenti contactless nell'elettronica indossabile economica e al ruolo del chip NFC in questa funzionalità.
Un ruolo significativo in questo lo svolgono vari siti di notizie, i cui autori copiano e incollano senza riflessione (o intenzionalmente, a scapito del clickbait) l'uno dall'altro, inventando caratteristiche interessanti. La situazione si complica con gli annunci di nuovi dispositivi, come il Xiaomi Mi Band 4, e le notizie sul prossimo arrivo in Russia del sistema di pagamento Xiaomi Mi Pay, in collaborazione con MasterCard.
Con questo post vorrei dissipare l'incomprensione emersa nel runet su questo tema.
Al momento, solo alcuni tipi di dispositivi sono in grado di effettuare pagamenti contactless alla cassa, utilizzando NFC:
- Apple Watch con sistema Apple Pay;
- Smartwatch basati sul sistema operativo di Google (Android Wear, Wear OS) con supporto per Google Pay;
- Smartwatch di Samsung con Tizen OS e sistema Samsung Pay;
- Fitbit Pay (non operativo in Russia) e, probabilmente, ancora qualche altro modello non molto popolare.
In generale, sul mercato non ci sono così tanti dispositivi e, cosa principale, il loro prezzo sarà un fattore negativo per molti nella scelta, insieme a una scarsa autonomia.
Qualche anno fa, sul mercato dei vari fitness tracker e smartwatch semi-intelligenti, hanno iniziato a comparire modelli con un chip NFC. Qui è iniziato il problema... I giornalisti confondono le persone con la possibilità di pagamenti contactless tramite Alipay, senza capire come funziona, promettendo l'imminente arrivo dei pagamenti mobili a ogni polso. Ma questo arrivo non avviene. Gli utenti vogliono credere che presto il loro economico Mi Band 3, acquistato saggiamente nella versione con NFC, sostituirà il loro portafoglio. Ma, purtroppo.
La stragrande maggioranza di questi gadget è prodotta in Cina, per il mercato interno. Molti poi approdano sul mercato globale. Come stanno le cose con i pagamenti contactless sul mercato interno cinese? Qui è necessario distinguere due tecnologie:
1. Pagamento tramite QR o codice a barre. Questa attuazione è utilizzata ovunque dai cinesi. La sostanza è la seguente. Praticamente ogni utente ha con sé uno smartphone. Con una probabilità del 99,9%, è installato «più di un semplice messenger» WeChat, con il suo portafoglio elettronico, oppure l'app Alipay — praticamente una banca elettronica del gruppo Alibaba. Per effettuare il pagamento alla cassa tramite queste app sullo smartphone esistono due modalità. Analizziamole.
1.1 L'utente scansiona il codice QR del venditore tramite la fotocamera dello smartphone. Inserisce l'importo richiesto, oppure esso è già codificato nel codice QR del venditore. Successivamente conferma la transazione (con password o biometria). I soldi vengono immediatamente detratti dal portafoglio del compratore a favore del venditore. Questo metodo non può essere utilizzato su un braccialetto, a causa della mancanza di una fotocamera.
1.2 L'utente mostra al venditore il proprio codice QR/codice a barre, generato dall'app di portafoglio. Il venditore lo «scansiona» con il proprio scanner di cassa manuale. L'importo viene anch'esso immediatamente accreditato a favore del venditore. Cosa serve quindi al dispositivo pagante? Ciò che ha — un display e un po' di intelligenza. Pertanto, questo metodo di pagamento è stato realizzato grazie agli sforzi di Alipay. Il dispositivo indossabile supportato viene collegato all'app Alipay. Viene creato un conto sicuro separato per esso nel portafoglio (con un limite per i pagamenti). Al dispositivo viene assegnata e registrata una coppia statica di codici (QR e codice a barre). Successivamente, il pagamento avviene offline, senza l'uso dello smartphone. Le transazioni vengono inviate a server Alipay dalla cassa del negozio. In effetti, questo è l'unico metodo di pagamento degli acquisti in negozio in Cina tramite simili dispositivi.
2. Il grande e potente NFC. Qui parleremo non solo di pagamenti, ma anche di altre possibilità dei braccialetti con chip NFC. Iniziamo, ovviamente, dai pagamenti. Qual è la prima cosa da considerare? Giusto, la Sicurezza. Non possono i vecchi Mi Band, con i loro controller deboli e chip NFC economici, garantire un livello di sicurezza adeguato affinché il produttore si fidi di loro per l'emulazione delle carte bancarie dei propri utenti. Ma una carta dei trasporti è un'altra storia. Di solito non si trovano tanti soldi su di esse. In effetti, questo è uno degli obiettivi principali del chip NFC nei tracker simili ai Mi Band. La sostanza è la seguente. Il produttore collabora con i servizi pubblici di trasporto (metropolitana, autobus urbani). Nell'app ufficiale, nella sezione delle funzioni NFC, l'utente acquista una carta di trasporto per il proprio braccialetto. Virtuale, ovviamente, ma a un costo reale: circa 20 yuan (~200 rubli) come deposito non rimborsabile e il resto a saldo (la somma qui è a discrezione dell'utente). La carta viene registrata nel braccialetto e poi viene utilizzata in modo completamente autonomo per il pagamento del viaggio. Molto comodo, poiché non ci sono movimenti superflui richiesti, basta avvicinare la mano al lettore: ed è avvenuto il pagamento. La carta si ricarica, anche in modo comodo, nell'app del braccialetto, utilizzando WeChat o Alipay.
Un'altra funzione che accompagna i braccialetti con chip NFC è l'emulazione delle carte di accesso. Una funzione utile e comoda, ma, nella stessa Cina, nella realtà moderna, è piuttosto tardiva. Spiego perché. Innanzitutto, l'NFC funziona alla frequenza di 13,56 MHz. Di conseguenza, sono supportate solo le carte con questa frequenza. In secondo luogo, la questione riguarda di nuovo la sicurezza. Il braccialetto può leggere e emulare correttamente solo le carte che non sono crittografate e, come è emerso (grazie al forum 4pda), la lunghezza dell'UID deve essere di 4 byte. Altrimenti, anche se copi la carta, il lettore non aprirà la porta all'ingresso. Qui i produttori si comportano in modo diverso. Ad esempio, l'applicazione MiFit non ti permetterà di copiare una carta non supportata. Ma l'app ufficiale del braccialetto Hey+ copia senza alcun problema tutto ciò che può, anche se non garantisce il funzionamento corretto. Come ha dimostrato la pratica, un citofono o un accesso così insicuro in Cina è da cercare ancora a lungo. Io non l'ho trovato.
In Russia, the situation is better in terms of usability. For example, users of the same forum confirm normal operation with the pass card "Moscvjonok" and some intercom systems.
There is also another interesting possibility – to create a "clean" card, go to the management company, and register it in their system. Unfortunately, I couldn't test this for several reasons. One of them left me with no chance – the same infamous MiFit from Xiaomi for creating such a card asks to confirm identity using a Chinese ID, which I cannot have. Moreover, Chinese security is quite stringent. While the Hey+ bracelet has these features available for use, MiFit simply refuses to activate NFC functions for accounts registered outside mainland China.
On that note, I will conclude.
Everything mentioned above is based on personal experience and logical conclusions derived from it.
And the conclusions are as follows: do not expect the emergence of payment systems in the category of cheap fitness trackers, even with a built-in NFC chip. Even in light of the news about the imminent launch of Mi Pay in Russia. If Mi Pay does appear in the future on one of the yet-to-be-released Mi Bands, it won't be before it's tested on its domestic market in China. And this is still far from being a reality.
I hope this article will be useful for the community and the Runet as a whole. Healthy criticism is welcome.
Fonte: habr.com
