
Maksun valtuutus Apple Payn kanssa
Jos laitteessa on Secure Element, maksu voidaan maksaa vasta, kun sille on saatu valtuutus Secure Enclavelta. Osana tätä varmistetaan, että käyttäjä on vahvistanut aikeensa maksaa ja todentautunut jollakin seuraavista menetelmistä:
Biometrinen todennus
Laitteen pääsykoodi tai salasana
Lukitsemattoman Apple Watchin sivupainikkeen kaksoisklikkaaminen
Jos biometrinen todennus on käytettävissä, se on oletustapa, mutta pääsykoodia tai salasanaa voidaan käyttää milloin tahansa, ja niitä tarjotaan automaattisesti, jos sormenjäljen tunnistaminen on epäonnistunut kolme kertaa tai kasvojen tunnistaminen on epäonnistunut kaksi kertaa. Viiden epäonnistuneen yrityksen jälkeen pääsykoodi tai salasana vaaditaan.
Pääsykoodi tai salasana vaaditaan myös, kun biometristä todennusta ei ole määritetty tai se ei ole päällä Apple Paylle.
Jaetun pariavaimen käyttäminen
Secure Enclave ja Secure Element viestivät sarjaliitännän kautta. Secure Element on yhteydessä NFC-ohjaimeen, joka muodostaa yhteyden appeja suorittavaan prosessoriin. Vaikka Secure Element ja Secure Enclave eivät ole suorassa yhteydessä toisiinsa, ne voivat viestiä turvallisesti käyttäen ajon aikana luotua salaisuutta. Tehtaalla kummankin käyttöönotossa käytetään toisen pitkäaikaista julkista avainta. Secure Enclaven julkinen avain johdetaan sen UID-avaimesta ja Secure Elementin tunnisteesta. Vastaava yksityinen avain tallennetaan laitteistoon ja piilotetaan ohjelmistolta. Ajon aikana pitkäaikaiset julkiset avaimet luovat jaetun salaisuuden käyttäen ECDH-avaintensopimisprotokollaa. Tämä jaettu salaisuus varmistaa suojatun viestinnän.
Suojatun maksutapahtuman valtuuttaminen
Kun käyttäjä valtuuttaa maksutapahtuman, joka sisältää suoraan Secure Enclavelle lähetetyn fyysisen eleen, Secure Enclave lähettää allekirjoitetun datan valtuutuksen tyypistä ja tiedot maksutapahtuman tyypistä (lähimaksu tai maksu apissa) Secure Elementille sidottuna AR (Authorization Random) ‑arvoon. AR-arvo luodaan Secure Enclavessa, kun käyttäjä ensimmäisen kerran tuo luottokortin tiedot, ja se säilyy niin kauan kuin Apple Pay on käytössä. Sitä suojaavat Secure Enclaven salaus ja heikennysten vastainen suojausmekanismi. Se toimitetaan Secure Elementille suojatusti pariavainta käyttäen. Jos Secure Element saa uuden AR-arvon, se merkitsee aiemmin lisätyt kortit kuoletetuiksi.
Maksukryptogrammin käyttäminen dynaamiseen suojaukseen
Maksusovelmista tuleviin maksutapahtumiin sisältyy maksukryptogrammi ja laitteen tilinumero. Tämä kryptogrammi on kertakäyttöinen koodi. Se lasketaan käyttäen tapahtumalaskuria ja avainta. Jokainen uusi tapahtuma kasvattaa tapahtumalaskurin lukemaa. Avaimen tiedot tuodaan maksusovelmassa personoinnin aikana ja ne ovat maksuverkon tai kortin myöntäjän tai molempien tiedossa. Maksumallista riippuen laskemiseen voidaan käyttää myös muita tietoja, kuten:
Terminal Unpredictable Number NFC-tapahtumille
Apple Pay ‑palvelimen toiston estävä arvo apeissa tapahtuville maksuille
Käyttäjän vahvistuksen tulokset, kuten CVM-menetelmän (Cardholder Verification Method) tiedot.
Nämä suojakoodit annetaan maksuverkolle ja kortin myöntäjälle, jotta myöntäjä voi vahvistaa kunkin tapahtuman. Näiden suojakoodien pituus voi vaihdella riippuen tapahtuman tyypistä.