Авторизация платежей при использовании Apple Pay
На устройстве с Secure Element можно совершить платеж только после его авторизации хранилищем Secure Enclave. В ходе этой авторизации пользователь подтверждает свое намерение совершить платеж и пройденную аутентификацию одним из следующих способов:
биометрическая аутентификация;
пароль или код‑пароль устройства;
двойное нажатие боковой кнопки на разблокированных часах Apple Watch.
По умолчанию используется биометрическая аутентификация (если она доступна), но вместо нее в любой момент можно использовать пароль или код‑пароль — они также будут предложены после трех неудачных попыток распознавания отпечатка пальца или двух неудачных попыток распознавания лица. После пяти неудачных попыток использование пароля или код‑пароля обязательно.
Кроме того, код‑пароль требуется, если биометрическая аутентификация не настроена или ее использование не включено для Apple Pay.
Использование общего ключа пары
Secure Enclave и Secure Element обмениваются данными по последовательному интерфейсу. Secure Element связывается с контроллером NFC, который подключается к процессору приложений. Secure Element и Secure Enclave не соединяются напрямую, но они могут безопасно обмениваться данными с использованием открытого ключа, генерируемого во время запуска. Во время заводской настройки на каждом из этих устройств указывается статический открытый ключ второго устройства. Открытый ключ Secure Enclave основан на его ключе UID и идентификаторе Secure Element. Соответствующий личный ключ хранится внутри оборудования и скрыт от программного обеспечения. В процессе выполнения из статических открытых ключей составляется общий ключ по протоколу согласования ключей Диффи — Хеллмана на эллиптических кривых (ECDH). Этот общий ключ обеспечивает безопасный обмен данными.
Авторизация безопасной транзакции
Когда пользователь авторизует транзакцию, что подтверждается физическим действием, передаваемым в Secure Enclave, Secure Enclave отправляет подписанные данные о типе аутентификации и сведения о типе транзакции (бесконтактная или в приложении) чипу Secure Element в связке со случайным значением авторизации (AR). Значение AR генерируется в Secure Enclave, когда пользователь впервые предоставляет кредитную карту. Значение сохраняется, пока включена технология Apple Pay, и защищается шифрованием Secure Enclave и противооткатным механизмом. Оно безопасно передается чипу Secure Element с помощью ключа пары. При получении нового значения AR чип Secure Element помечает все ранее добавленные карты как утратившие силу.
Использование криптограммы платежа для динамической безопасности
Платежные транзакции, инициируемые платежными апплетами, содержат криптограмму платежа, а также учетный номер устройства. Эта криптограмма (одноразовый код) вычисляется с помощью счетчика транзакций и ключа. Значение счетчика транзакций увеличивается для каждой новой транзакции. Ключ предоставляется платежным апплетом в ходе персонализации, и он известен платежной сети или эмитенту карты или им обоим. В зависимости от схемы оплаты при расчете также могут использоваться другие данные, например:
непредсказуемое число, формируемое терминалом (для NFC-транзакций);
значение функции антиповтора для сервера Apple Pay (для транзакций в приложениях);
результаты проверки пользователя, например информация о способе верификации владельца карты (CVM).
Эти коды безопасности предоставляются платежной сети и эмитенту карты, что позволяет эмитенту проверять каждую транзакцию. Длина таких кодов безопасности может быть различной и зависит от типа транзакции.