Avvicinare la carta o lo smartphone al POS, sentire un “bip” e uscire dal negozio: oggi è un gesto quotidiano. Dietro quel gesto c’è la tecnologia NFC, che ha portato il contactless dalla teoria ai pagamenti di tutti i giorni. In questo articolo dedicato a NFC pagamenti e contactless vediamo cos’è l’NFC, come funziona un pagamento senza contatto, quali standard lo rendono sicuro e perché la stessa tecnologia nata con le smart card è finita dentro i nostri telefoni.
Che cos’è l’NFC
Una comunicazione a pochi centimetri
NFC è l’acronimo di Near Field Communication, comunicazione in campo vicino. È una tecnologia radio a corto raggio che lavora alla frequenza di 13,56 MHz e permette a due dispositivi di scambiarsi dati quando si trovano a pochi centimetri di distanza, in pratica appoggiati o quasi. La distanza ridotta non è un limite ma una scelta di progetto: per avviare la comunicazione serve un gesto volontario, cioè avvicinare la carta o il telefono al lettore, e questo riduce il rischio di letture involontarie.
Le radici nelle carte senza contatto
L’NFC non nasce dal nulla. Deriva dalle carte RFID e dalle smart card contactless, che già dagli anni Novanta venivano usate per biglietti dei trasporti e controllo accessi. Le carte senza contatto per pagamenti e identificazione seguono lo standard ISO/IEC 14443, mentre l’NFC vero e proprio è definito dallo standard ISO/IEC 18092, compatibile con le carte contactless esistenti. Chi vuole approfondire le origini delle carte a chip può leggere la nostra storia delle smart card, il primo articolo di questa serie nella categoria Smart Card e NFC.
Il ruolo dell’NFC Forum
Nel 2004 Nokia, Philips e Sony fondarono l’NFC Forum, un’associazione nata per promuovere la tecnologia e definire specifiche comuni, in modo che dispositivi di marchi diversi potessero parlarsi. Oggi l’NFC Forum riunisce produttori di chip, di telefoni, circuiti di pagamento e fornitori di servizi.
Come funziona un pagamento contactless
Lettore attivo, carta passiva
In un pagamento con carta contactless il POS genera un campo elettromagnetico. La carta non ha batteria: il campo del lettore fornisce l’energia necessaria al chip e all’antenna integrata nella plastica. Il chip risponde, il lettore e la carta si scambiano i dati della transazione e il tutto si conclude in una frazione di secondo.
Il chip fa i calcoli, non solo la memoria
La differenza rispetto alla vecchia banda magnetica è sostanziale. La banda magnetica contiene dati statici, che si possono copiare. Il chip di una carta di pagamento è invece un piccolo computer sicuro: per ogni transazione genera un crittogramma unico, calcolato con chiavi segrete custodite al suo interno. Anche se qualcuno intercettasse i dati di una transazione, non potrebbe riutilizzarli per un’altra. È la stessa logica che, sul fronte della telefonia, troviamo nella carta SIM.
Lo standard EMV contactless
Le regole di questo dialogo sono fissate dalle specifiche EMV, nate negli anni Novanta per le carte con chip a contatto ed estese poi ai pagamenti senza contatto. Le specifiche sono oggi gestite da EMVCo, l’organismo partecipato dai principali circuiti internazionali. Grazie a EMV una carta emessa in un Paese funziona sui terminali di tutto il mondo.
Dalla carta allo smartphone
Il secure element
Quando l’NFC è arrivato nei telefoni, il problema era dove custodire le chiavi crittografiche. La prima risposta è stata il secure element, cioè un chip sicuro dedicato, presente nel telefono o nella SIM, che svolge lo stesso ruolo del chip di una carta di pagamento. In pratica lo smartphone ospita al suo interno una smart card.
Host Card Emulation e tokenizzazione
Nel 2013, con Android 4.4, Google ha introdotto la Host Card Emulation (HCE), che permette a un’app di emulare una carta contactless senza dipendere da un secure element fisico. Nel 2014 Apple ha lanciato Apple Pay, basato su NFC e su un secure element integrato nell’iPhone. In entrambi i casi entra in gioco la tokenizzazione: al posto del numero reale della carta, il telefono usa un “token”, un numero sostitutivo valido solo per quel dispositivo. Se il token viene compromesso, il numero della carta resta al sicuro.
Biometria al posto del PIN
Sullo smartphone l’utente si autentica con impronta digitale, riconoscimento del volto o codice di sblocco. È uno dei motivi per cui i pagamenti con il telefono possono superare le soglie previste per le carte contactless senza PIN: la verifica dell’identità avviene sul dispositivo.
Sicurezza e regole europee
La PSD2 e l’autenticazione forte
In Europa la direttiva sui servizi di pagamento PSD2 ha introdotto l’autenticazione forte del cliente, che richiede almeno due fattori tra qualcosa che si conosce, qualcosa che si possiede e qualcosa che si è. Le norme tecniche europee prevedono però un’esenzione per i piccoli pagamenti contactless: fino a 50 euro a operazione, entro limiti cumulativi di importo o di numero di transazioni consecutive, oltre i quali il terminale chiede il PIN. Per questo, ogni tanto, anche un piccolo acquisto richiede di digitare il codice.
I rischi reali
Il timore più diffuso è che qualcuno possa “leggere” la carta a distanza in mezzo alla folla. In pratica la portata ridotta dell’NFC, il crittogramma unico per ogni transazione e i limiti di importo rendono questo scenario poco conveniente per un truffatore. Restano valide le precauzioni di buon senso: controllare l’importo sul POS, attivare le notifiche della banca e bloccare subito la carta in caso di smarrimento.
L’NFC oltre i pagamenti
Trasporti, accessi e identità
Gli stessi principi si applicano ai biglietti elettronici dei trasporti pubblici, ai badge aziendali e ai documenti d’identità. La carta d’identità elettronica italiana, per esempio, contiene un chip leggibile tramite NFC, che permette di usarla con lo smartphone per accedere ai servizi online della pubblica amministrazione.
Tag e oggetti connessi
L’NFC si usa anche per i tag: piccole etichette passive che, avvicinate al telefono, aprono un sito, avviano un’app o abbinano un paio di cuffie Bluetooth. È un uso meno visibile ma molto diffuso, che mostra la versatilità della tecnologia.
NFC pagamenti: perché l’NFC ha vinto
Semplicità per l’utente, sicurezza per il sistema
Il successo dei pagamenti NFC si spiega con un equilibrio raro: per chi paga il gesto è semplicissimo, mentre per banche e circuiti il livello di sicurezza è superiore a quello della banda magnetica. A questo si aggiungono standard aperti e internazionali, che hanno permesso a terminali, carte e telefoni di produttori diversi di funzionare insieme.
Il filo che parte dalle smart card
L’NFC è, in fondo, l’ultima evoluzione di un’idea nata decenni fa con le smart card: custodire segreti in un chip e usarli per dimostrare chi siamo, senza mai rivelarli. Dalle carte a contatto si è passati al contactless, e dal contactless allo smartphone. Nei prossimi articoli della serie racconteremo anche le aziende che hanno costruito questa industria, a partire dall’italiana Incard, e approfondiremo il mondo dei pagamenti nella categoria Fintech e Pagamenti Digitali.
Una risposta