NFC и бесконтактные платежи: как телефон заменил карту физически

Между поднесением телефона к терминалу и звуковым сигналом об успешной оплате проходит меньше секунды — и в этот момент происходит обмен данными по технологии, которая физически не требует ни интернета, ни Bluetooth, ни даже включённого экрана смартфона. Речь о NFC (near field communication) — связи на ближнем расстоянии, которая давно стала невидимой инфраструктурой почти любой современной покупки. Разбираем, как это устроено на уровне физики и протокола, а не только пользовательского опыта.

Что такое NFC на уровне физики

NFC — технология беспроводной передачи данных малого радиуса действия, работающая на частоте 13,56 МГц и рассчитанная на расстояние примерно до 10 сантиметров между устройствами. В основе лежит не радиосвязь в привычном понимании (как Wi-Fi или Bluetooth), а индукция электромагнитного поля: две рамочные антенны — одна в карте или телефоне, другая в терминале — располагаются в пределах ближнего поля друг друга и фактически образуют трансформатор с воздушным сердечником. Именно поэтому у NFC нет проблем с сопряжением устройств, характерных для Bluetooth, — обмен данными начинается автоматически в момент физического сближения антенн на нужное расстояние и заканчивается, как только устройства снова удаляются друг от друга.

Технология была анонсирована в 2004 году NFC-форумом — всемирным консорциумом из более чем 80 компаний, включающим производителей оборудования, эмитентов карт и банковских работников. Принципиально важно, что NFC изначально спроектирована не как отдельный, конкурирующий стандарт, а как простое расширение уже существовавшего к тому моменту стандарта бесконтактных смарт-карт ISO 14443 — того самого, на котором уже работали пропускные системы и транспортные карты. Это решение объясняет, почему NFC-совместимые устройства без проблем считывают и старые бесконтактные карты, и наоборот: технология с самого начала строилась на совместимости с уже развёрнутой инфраструктурой, а не на её замене с нуля.

Чем NFC-платёж отличается от старой магнитной полосы

Ключевое преимущество NFC-платежа перед классической магнитной полосой карты — в характере передаваемых данных. При оплате картой с магнитной полосой считыватель физически считывает статичную, неизменную информацию, записанную на самой полосе, — и эта же информация при компрометации терминала (например, скиммером) может быть скопирована и использована злоумышленником повторно. NFC-платёж устроен иначе: каждая транзакция генерирует уникальный одноразовый криптографический код, а сами реквизиты карты продавцу и платёжному терминалу не передаются напрямую — вместо них используется временный, ограниченный по сроку и назначению токен.

Похожий принцип защиты реальных реквизитов карты используется и при оплате через смартфон — подробнее об этом можно прочитать в материале «токенизация карт».

Таблица 1. Магнитная полоса против NFC-платежа

Как устроены лимиты платежей без ПИН-кода

Одна из ключевых практических деталей бесконтактной оплаты — лимит суммы, до которой терминал не требует ввода ПИН-кода. Этот лимит устанавливают сами платёжные системы, а конкретное значение способно различаться между системами и со временем меняться. В России по картам «Мир» и Visa лимит бесконтактной оплаты без ПИН-кода составляет 3 тысячи рублей, тогда как у Mastercard — выше, до 5 тысяч рублей; конкретное значение при этом зависит и от настроек терминала банка-эквайера, который технически реализует лимит на своей стороне. Банки объясняют логику установления подобных порогов балансом между удобством для пользователя и риском: чем выше лимит операции без ПИН-кода, тем удобнее и быстрее расплачиваться за мелкие покупки, но тем выше потенциальный ущерб от единичной кражи или потери карты, поскольку злоумышленник в пределах этого лимита может совершать покупки без знания секретного кода владельца.

Насколько безопасен NFC-платёж технически

Каждая NFC-транзакция при оплате использует специальное криптографическое кодирование, а информация о самой карте и её владельце физически не передаётся торговому терминалу продавца — платёжная операция технически не может состояться, если полученный сигнал не соответствует ожидаемому криптографическому паттерну. Это делает массовое, дистанционное «считывание» чужой карты злоумышленником с расстояния в несколько метров практически нереализуемым сценарием, несмотря на распространённый бытовой миф о подобной угрозе, — реальный радиус действия технологии физически ограничен несколькими сантиметрами.

Реальная, хотя и куда более сложная в реализации угроза для бесконтактных платежей — так называемая релейная атака (relay attack). Суть атаки в том, что злоумышленник использует два синхронизированных устройства: одно прикладывается вплотную к карте жертвы (например, в кармане в переполненном транспорте), второе — к настоящему платёжному терминалу, а команды между двумя точками ретранслируются в реальном времени, фактически удлиняя эффективный радиус действия NFC-сигнала искусственным путём без физического взлома самого криптографического протокола. Академические исследования по безопасности бесконтактных платежей подтверждают техническую реализуемость подобной атаки, хотя её практическое проведение требует специального оборудования, синхронизации в реальном времени и физической близости обоих участников атаки к соответствующим устройствам одновременно — что делает такую атаку значительно сложнее массового скимминга магнитной полосы, но не сводит риск к нулю полностью.

NFC как основа для платежей со смартфона

Технология NFC не ограничивается пластиковыми картами — именно она физически лежит в основе оплаты со смартфона через сервисы вроде Apple Pay и Google Pay. Принципиальное отличие мобильной оплаты в том, что реальный номер карты вообще не хранится и не передаётся с телефона в момент транзакции: вместо него используется отдельный, специально сгенерированный токен, привязанный к конкретному устройству, а сама биометрическая или ПИН-проверка происходит локально на смартфоне ещё до того, как устройство вступит в NFC-обмен с терминалом. Подробнее о технической механике и о том, какие данные о плательщике реально видит продавец при такой оплате, можно прочитать в материале «Google Pay и Apple Pay: как это работает и что видит продавец о плательщике».

Почему NFC стал глобальным платёжным стандартом, а не одной из многих технологий

За NFC как платёжной технологией стоит организация EMVCo — консорциум крупнейших мировых платёжных систем (Visa, Mastercard, UnionPay, JCB, Discover, American Express), совместно определяющий технические стандарты для банковских карт и терминалов по всему миру. Именно унификация через EMVCo объясняет, почему один и тот же смартфон с одной и той же NFC-антенной способен без проблем проводить платёж в терминалах разных банков разных стран: производителю терминала и эмитенту карты достаточно один раз реализовать поддержку единого стандарта, а не подстраиваться под десятки несовместимых друг с другом региональных или банковских протоколов. По данным платёжных систем, к середине 2020-х Россия входила в тройку стран — лидеров по доле бесконтактных платежей от общего числа операций, что во многом объясняется быстрым и почти одновременным переходом крупнейших российских банков и торговых сетей на поддержку этой инфраструктуры.

Почему NFC стал глобальным платёжным стандартом, а не одной из многих технологий

За NFC как платёжной технологией стоит организация EMVCo — консорциум крупнейших мировых платёжных систем (Visa, Mastercard, UnionPay, JCB, Discover, American Express), совместно определяющий технические стандарты для банковских карт и терминалов по всему миру. Именно унификация через EMVCo объясняет, почему один и тот же смартфон с одной и той же NFC-антенной способен без проблем проводить платёж в терминалах разных банков разных стран: производителю терминала и эмитенту карты достаточно один раз реализовать поддержку единого стандарта, а не подстраиваться под десятки несовместимых друг с другом региональных или банковских протоколов. По данным платёжных систем, к середине 2020-х Россия входила в тройку стран — лидеров по доле бесконтактных платежей от общего числа операций, что во многом объясняется быстрым и почти одновременным переходом крупнейших российских банков и торговых сетей на поддержку этой инфраструктуры.

Где ещё применяется та же технология

Показательно, что банковские платежи — далеко не единственное применение NFC, а скорее одно из многих на общей технической базе. Та же самая антенна и тот же протокол используются в транспортных картах для оплаты проезда, в пропускных системах офисных зданий, в бесконтактных электронных паспортах и даже для быстрого сопряжения двух смартфонов при передаче файлов без предварительной настройки Bluetooth-соединения. Это унифицирующее свойство технологии — способность работать поверх одной физической инфраструктуры сразу для нескольких разных сценариев использования — во многом и объясняет, почему производители смартфонов повсеместно встраивают NFC-чип в устройство по умолчанию, а не оставляют его опциональной, редко устанавливаемой функцией.

• Можно ли украсть деньги с бесконтактной карты, просто пройдя рядом с человеком на улице? Технически это крайне маловероятный сценарий: реальный радиус действия NFC физически ограничен несколькими сантиметрами, а не метрами, поэтому массовое дистанционное считывание карты «на ходу» практически нереализуемо стандартным оборудованием. Более реалистичная, хотя и заметно более сложная в исполнении угроза — релейная атака с использованием двух синхронизированных устройств и участием как минимум двух человек одновременно.
• Почему у карт Mastercard лимит без ПИН-кода выше, чем у «Мир» и Visa? Конкретный лимит устанавливает каждая платёжная система самостоятельно, ориентируясь на собственную оценку баланса удобства и риска мошенничества, а также с учётом технической готовности банков-эквайеров реализовать этот лимит на своей стороне. Разница в 2 тысячи рублей между системами отражает разные внутренние политики риск-менеджмента, а не техническое ограничение самой NFC-технологии.