Apple Pay’in çalışma şekline dair yanlış kanılar
(birchtree.me)- Gerçek kart numarasını gizleyen yapı yalnızca Apple Pay’e özgü bir özellik değil; Google Pay, Samsung Pay gibi büyük dijital cüzdanlarda da kullanılan bir ödeme yöntemidir
- Esas nokta, fiziksel kart numarası olan FPAN ile cihaza özel ödeme numarası olan DPAN’ın ayrılmasıdır; aynı kart için bile iPhone ve iPad’de farklı DPAN’lar kullanılır
- DPAN, üye işyerleri arasında takibi zorlaştırabilir; ancak aynı üye işyeri içinde sonraki işlemlerde de korunduğu için tek bir üye işyerinin satın alma geçmişini izlemesini engellemez
- Ödeme bilgileri sızdığında DPAN, FPAN’a göre daha güvenlidir; DPAN yalnızca her işleme eklenen benzersiz şifreleme paketi ile birlikte gönderildiğinde çalışır
- Apple Pay ad, e-posta, fatura ve teslimat adresi, satın alınan ürünler gibi kişisel bilgileri otomatik olarak gizlemez; ödeme ekranında gösterilen bilgilerin üye işyerine iletildiği varsayılmalıdır
DPAN, Apple Pay’e özel bir özellik değildir
- Apple Pay’in gerçek kredi kartı numarasını gizlediği söylenirken kilit unsur DPAN’dır
- FPAN, fiziksel kartın üzerine basılı 15–18 haneli funding primary account number; DPAN ise device primary account number’dır
- DPAN, DNS kayıtlarına benzetilerek anlaşılabilir
- Kullanıcılar gerçek IP adresini bilmeden alan adıyla web sitesine erişir
- Aynı kart Apple Pay ile iPhone ve iPad’de kullanıldığında her cihaz benzersiz bir numara alır ve farklı DPAN’lar kullanır
- Adından itibaren bunun “Apple Pay number” olmaması önemlidir
- Google Pay ve Samsung Pay de ABD’deki başlıca dijital cüzdanlar olarak gerçek kart numarasını aynı yöntemle gizler
- Amazon Pay ve Shop Pay düğmelerinde de ödeme başka şirketler üzerinden işlendiği için bunlar teknik olarak DPAN değildir; ancak üye işyerinin gerçek FPAN’ı görmesini engeller
Üye işyerleri ve bankalar da gerçek kart numarasına maruz kalmayı azaltmak ister
- Üye işyeri gerçek kredi kartı numarasını doğrudan işlerse risk yükü artar
- Modern ödeme kabul araçları, gerçek kart bilgilerine erişen kişi sayısını mümkün olduğunca azaltacak şekilde ödeme bilgisi toplamayı sağlar
- Bankaların DPAN kullanmayacağı yönündeki tahminler gerçek örneklerle uyuşmaz
- Wells Fargo, Chase, Bank of America gibi birçok banka kendi dijital cüzdanlarını işletmiş ya da işletmektedir ve hepsi normal hesap numarasını DPAN ile korur
- ABD’deki büyük bankaların kullandığı Paze de DPAN kullanır
- Paze’in öne çıkardığı başlıca nedenlerden biri şudur: “Paze does not share your actual card number with the merchant.”
DPAN’ın engellediği ve engelleyemediği takip
- DPAN’ın her işlemde değiştiği ifadesi doğru değildir
- Aynı üye işyerinde devam eden işlemlerde aynı DPAN kullanılır
- Bu yapı, bir kişinin alışveriş eğilimlerini anlamak için birden fazla üye işyerinin işlem verilerini satın almaya çalışan veri brokerları için bir engel oluşturabilir
- Buna karşılık tek bir üye işyeri, Apple Pay’in sağladığı DPAN ile bile ilgili müşterinin işlem geçmişini görebilir
- Target’ın kendi satın alma geçmişine dayanarak müşterinin durumunu çıkarsadığı örneklere benzer durumları Apple Pay engellemez
- Diğer dijital cüzdanlarda da aynı sınırlama vardır
Veri sızıntılarında DPAN’ın sağladığı koruma
- Ödeme kartı bilgilerinin sızdığı durumlarda DPAN, FPAN’dan daha güvenlidir
- 2024’te üye işyerlerinin kredi kartı numaralarını doğrudan işlemesi gerekmemelidir; ancak ödeme geçidinin hacklenip DPAN ve son kullanma tarihinin sızması gibi durumlar yaşanabilir
- Saldırgan, sızan DPAN ile tek başına ödeme gerçekleştiremez
- DPAN yalnızca her işleme özgü bir şifreleme paketinin parçası olarak gönderildiğinde çalışır
- Apple Pay ile toplanan kartlar için yinelenen ödeme çalıştırmanın yolları vardır; ancak hackerların bunu yapabiliyor olmaması gerekir
- Bu yüzden tüm dijital cüzdanların topladığı DPAN’ın sızmasındansa FPAN sızıntısı çok daha tehlikelidir
Apple Pay kişisel bilgileri otomatik olarak gizlemez
- Apple Pay’in kişisel bilgileri otomatik olarak maskelediği düşüncesi gerçeği yansıtmaz
- Bir test üye işyeri hesabında gerçek bir Apple Pay işlemi çalıştırıldığında, üye işyeri düzeyindeki raporlarda ad, e-posta, fatura adresi ve ev adresi gibi bilgiler görünür
- Fiziksel ürün ödemelerinde teslimat bilgisi gerektiğinden Apple Pay SDK’sı, üye işyerinin müşteriden hangi kişisel bilgileri alacağını seçmesine izin verir
- Ürün bilgisi de alıcının ne satın aldığını göstermek için Apple Pay’e iletilebilir ve bu bilgi de üye işyerine aktarılır
- Ödeme sırasında Apple Pay kartında gösterilen bilgilerin üye işyerine iletildiği varsayılmalıdır
- Bu açıdan Apple Pay diğer ödeme yöntemleriyle aynıdır
- Üye işyeri, ödeme adımında ihtiyaç duyduğu veya istediği kişisel bilgileri seçip talep eder
- Diğer dijital cüzdanlar da aynı şekilde çalışır
Dijital cüzdanların gerçekten sağladığı koruma
- Apple Pay iyi bir ödeme aracıdır ve Apple bu tür dijital cüzdanların yaygınlaşmasında rol oynamıştır
- Ancak Apple Pay’in özellikleri sektörde benzersiz değildir
- DPAN, bir kişinin birden fazla üye işyeri genelindeki satın alımlarının izlenmesini zorlaştırır ve ödeme kartı bilgileri sızdığında müşterinin riskini azaltmada faydalıdır
1 yorum
Hacker News yorumları
Apple Pay ve Google Pay'in gerçekte nasıl çalıştığını ELI5 düzeyinde bilmek istiyorum. Eskiden kart bilgilerini doğrudan üye işyerine veya ödeme aracısına ilettiklerini düşünüyordum; orijinal metin de buna benzer görünüyor. Ama Google Pay'de Amex kullandığımda, MasterCard'tan farklı olarak bazı üye işyerlerinin ödemeyi reddettiğini de gördüm.
Bazen Apple/Google'ın ödeme aracısı ya da ödeme yönteminin kendisi gibi davrandığını hissediyorum. Çünkü işlem verilerini topluyorlar gibi görünüyordu ve market terminallerinin de Apple/Google Pay uygulamaları için özel destek gerektirdiğini sanmıştım.
O hâlde Apple/Google'a özgü tescilli sır nedir; neden açık kaynak bir alternatifle değiştirmek zor ya da imkânsız? iOS/Android'de NFC çipine tam erişimi olan tarafların yalnızca Apple/Google olması yüzünden mi?
https://news.ycombinator.com/item?id=39845805
Önemli olan varsayılan olmaktır. Cihaz başına yalnızca bir varsayılan Visa, Mastercard cüzdanı olabilir ve dokundurmadan önce ayrıca bir uygulama açmayı gerektirmeyen taraf avantajlıdır. Google Pay birden fazla banka kartını desteklediği için, belirli bir kartı çıkaran bankanın HCE cüzdanına göre büyük bir avantaja sahip.
Apple/Google, yeni bir kart belirli bir cihaza kaydedilirken arabuluculuk sürecine dahil olur, ancak gerçek POS işlem akışına girmez.
Üye işyeri yine de altta yatan kart markasını kabul etmek zorundadır. Güncel Google Pay ve Apple Pay, kart markasını değiştiren proxy kartlar değildir; Curve gibi hizmetlerden farklıdır.
Çevrimdışı terminallerin ayrı bir desteğe ihtiyacı yoktur. Terminal hatalı değilse, altta yatan kart şemasını kabul eden her yerde çalışır. Fiziksel ve mantıksal protokoller plastik kartla aynıdır ve terminal açısından neredeyse ayırt edilemez.
Web'de durum farklıdır. E-ticaret siteleri ve ödeme hizmeti sağlayıcıları bunu açıkça desteklemelidir.
Bu yüzden kablosuz terminaller genelde Apple Pay ve Google Pay'i olduğu gibi kabul etti; çok fazla özel destek gerekmedi. Değişen şeylerden biri, hatırladığım kadarıyla bu cihazların daha güvenli kabul edilmesi ve temassız kartlara kıyasla ödeme limitlerinin yükseltilmesiydi.
Açık kaynak bir uygulamanın zor olmasının nedeni, EMV uygulamasının karmaşık olması ve uzman ekipmanla çok sayıda test ve doğrulama gerektirmesidir. Cihazın özel anahtarları güvenli biçimde saklayacak bir güvenli bölgeye ihtiyacı vardır; uygulama da kullanıcı güvenliğini garanti etmek için biyometrik doğrulama veya PIN kilidinin açıldığını teyit edebilmelidir.
Ayrıca kurulum sürecinde, gerekli anahtar ve bilgileri almak için kartı çıkaran bankanın arka ucu ile entegre olmak gerekir. Açık kaynak bir uygulamanın da bankalarla anlaşma yapması ve UL gibi kuruluşlar üzerinden laboratuvar doğrulamasından geçmesi büyük olasılıktır.
Apple Pay, Google Pay ve bankaların sunduğu ödeme uygulamaları, biyometrik doğrulamayla kart sahibinin onayını teyit ederek bazı ödemeleri “kart sahibi mevcut” hâline getirir.
Bu nedenle bazı chargeback türleri anında reddedilir; diğer türlerde de üye işyerinden istenen kanıt yükü azalır.
Bu, kart ağı standartlarının bir parçasıdır; ilgileniyorsanız https://www.emvco.com/ adresinde görebilirsiniz.
Açık kaynak bir seçenek olmamasının nedeni, uygulamanın güvenliğinin sertifikalandırılması gerektiği için bankalarla çalışacak ticari bir kuruluşun gerekmesidir. Üstelik her bankayla ayrı ayrı entegrasyon yapılması gerektiğinden, muhatap olunacak banka sayısı çok fazladır.
Tüm kart şemalarını, tüm ödeme yöntemlerini ve tüm cihazları kapsayan uçtan uca işlemi düzgün çalışır hâle getirmek oldukça zahmetlidir. Her kart şemasının desteklediği “ödeme çekirdeği” parametreleri ve sertifikasyon gereksinimleri farklıdır.
Ya da işlem ücretlerinden tasarruf etme girişimi de olabilir. Amex genellikle üye işyerleri için çok daha pahalıdır.
https://blog.bytebytego.com/p/ep25-how-applegoogle-pay-handl...
Apple Pay ilk yaygın şekilde kullanılmaya başladığında, perakende ödeme işleme deneyimime dayanarak oldukça ayrıntılı incelemiştim. O dönem beni en çok etkileyen şey, bunun sektör standartlarına ne kadar derinden bağlı olduğuydu
Kablosuz iletişimden sonraki hiçbir bölüm Apple'a özel değildi; bu yazıyı okuyunca bunun bugüne kadar da korunmuş olduğu anlaşılıyor
O zamanlar kart tabanlı temassız ödemeyi bilerek kabul eden bazı iş yerlerinin, son derece standart olan Apple temassız ödemeyi istemeden kabul etmeye başlayınca sistemlerini değiştirmek zorunda kaldığını hatırlıyorum. Özellikle CVS aklıma geliyor; sanırım rakip bir ödeme sistemine katılmışlardı ve o sistemin mağazalarında çalışmasını Apple Pay'den bir fark olarak öne çıkarmak istiyorlardı
Son dönemde “bunu yalnızca Apple Pay yapıyor” miti oluşmaya başlayınca, en son baktığım zamandan bu yana bir şey mi değişti diye merak etmiştim; yazarın bu bağlamda güncel bir inceleme yapmasına sevindim
Resmi destek olmamasına rağmen Apple Pay'in Avustralya'nın her yerinde çalışmasına oldukça şaşırmıştım. ABD'de çok az iş yeri destekliyordu ama Avustralya standart tabanlı olduğu için POS'ların %99'u zaten destekliyordu
Android ödemelerinin karmaşık durumu da buna katkıda bulundu. Samsung Pay, NFC anlamına da gelebiliyordu, manyetik şerit emülasyonu anlamına da. Google ise markalaşmada kötü olmasıyla meşhur; Wallet ve Google Pay'in çeşitli yinelemeleri arasında hâlâ neyin ne olduğunu anlamak zor
Bu tartışmalarda eksik kalan nokta, Apple Pay ile Google Pay ve Samsung Pay gibi cüzdanlardaki işlemlerin de artık alttaki kart numarasıyla yapılan işlemler kadar izlenebilir olması
DPAN belirli bir cihaza özgüdür, ancak günümüzde iş yerlerinin ödeme hizmeti sağlayıcıları kart ağının yetkilendirme yanıtında PAR adlı benzersiz bir tanımlayıcı alabilir. Bu tanımlayıcı, aynı kartın tüm DPAN'larında aynıdır ve aynı temel hesap söz konusuysa kart numarası değişse bile korunması hedeflenir
PAR ile iş yerleri ödeme tahsilatı yapamaz; bu yüzden bir güvenlik sorunu değildir. Ancak dijital cüzdan ödemelerinin normal kart ya da kart numarasıyla yapılan ödemelerden daha özel olmasını beklememek gerekir
https://wcapra.com/payment-account-reference-capraplus-your-...
https://www.securetechalliance.org/wp-content/uploads/EMVCo-...
Matt Birchler'in yazısına “Önceki sürümde DPAN'in her iş yerine göre değiştiğini söylemiştim ama bu bir hataydı. Çok acele yazdım, benim hatam” diyen bir paragraf eklenmiş. Ancak yazının geri kalanı hâlâ iş yerine özgü benzersiz DPAN varmış gibi görünüyor ve buna dair bir dayanak bulamıyorum
Apple'ın kendi belgesi https://support.apple.com/en-us/HT203027 de DPAN'in, burada Device Account Number olarak, yalnızca cihaza özgü olduğunu söylüyor. Bir kart Apple Pay'e eklendiğinde o cihaz için DPAN oluşturulur ve kart silinip yeniden eklenmediği sürece daha sonra değişmez
Bu yüzden aynı kartı iPhone ve Apple Watch olmak üzere iki cihazda kullanırsanız DPAN farklı olduğu için izlenmesi daha zor olur; ancak aynı cihazda aynı kartı birden fazla iş yerinde kullanırsanız veri aracıları tarafından izlenebileceğini düşünüyorum
SSO ve mobil ödemelerin neden herkesin sağlayıcı oluşturabildiği standart bir arayüz olmadığını anlamıyorum. “Login with Google” ya da “Login with Apple” yerine “Varsayılan SSO sağlayıcımla giriş yap” olması gerekmiyor mu? “Varsayılan ödeme sağlayıcımla öde” de aynı şekilde.
Daha kötüsü, sağlayıcılar ya da siteler çoğu zaman bu sağlayıcılardan yalnızca bazılarını destekliyor; bu da SSO’nun fiilen SSO olmaktan çıkmasına yol açıyor.
Elbette bir nedeni vardır ama derinlemesine araştırmadım. Tüm sağlayıcıların uyduğu ortak mutabakata dayalı bir spesifikasyon olmalı gibi geliyor; yoksa bir gün bunun yasayla zorunlu kılınması çok olası.
Standartlar zaten var ve teoride giriş formuna e-posta adresi girildiğinde ya da tarayıcı otomatik doldurduğunda, o alan adının OAuth girişine yönlendirme yapılabilir; sunucu o alan adıyla ilk kez iletişim kuruyorsa anında istemci kaydı bile yapabilir. Pratikte kullanıldığını hiç görmedim ama olsa iyi olurdu.
[0] https://datatracker.ietf.org/doc/html/rfc7591
[1] https://datatracker.ietf.org/doc/html/rfc8414
Hizmet sunup adil bir ücret alma modelinden, kullanıcıya spam göndermeye ya da veri toplayıp daha sonra daha fazla spam göndermeye kayıldı.
Açık standartlar mevcut sağlayıcıların istediği şey değil. Çünkü bu durumda kullanıcılar kolayca başka alternatiflere geçer ve artık “etkileşimde” kalmaz.
İlginç şekilde Apple Pay, Avustralya’daki büyük yerel bankaların temassız ödeme kullanımını artırmak için yıllarca bastırmasının ardından piyasaya çıktı. Bu yüzden Apple gelip ABD tarzı komisyonlar talep ettiğinde, altyapı zaten doğrudan bankalar tarafından kurulmuş durumdaydı.
Avustralya’daki büyük bankalar yıllarca Apple Pay desteğine direndi, ancak müşteri baskısı çok artınca sonunda geri adım attılar.
Bugün bile herkes bu durumdan çok rahatsız ve düzenleyici kurum NFC çipinin açılmasını zorunlu kılarsa Apple Pay’i derhal bırakırlar. Ama şimdiye kadar ülkenin en büyük bankalarının yakınmalarına sempati duyacak birilerini bulmak zor oldu.
https://www.accc.gov.au/media-release/accc-denies-authorisat...
Kanada bankaları da Android’de TD Pay gibi kendi temassız ödeme çözümlerini denedi ama kimse istemedi. Sonunda vazgeçip Google Pay sundular.
Benzer şekilde ilerleyeceğini düşünüyorum. Apple NFC ödemelerini açsa bile kimse banka uygulamalarını kullanmayacak; Apple Pay ya da Google Pay gibi birinci taraf destekleri tercih edecek.
Samsung Pay ile Google Pay arasında gerçekte kaç kişinin Samsung Pay kullandığına bakmak bile yeterli.
CVS gibi bazı perakendeciler Apple Pay devreye girince temassız ödemeyi kapattı.
“Üye işyeri ödeme sırasında ihtiyaç duyduğu kadar kişisel bilgi isteyebilir ve Apple Pay bunu engellemez” kısmının fiziksel mağaza alışverişlerinde de olup olmadığını merak ediyorum.
Markette yumurta almak için adım ve adresim gerekmez. Apple/Google, açıkça gerekli olmayan bilgileri paylaşırken de onayımı istiyor mu? Bu, şartlar ya da shrink-wrap EULA gibi ya kabul et ya vazgeç türü bir şey mi?
Bu tür ödeme sistemlerini hiç kullanmadım.
Yazıda bahsedilen ek bilgiler yalnızca “çevrimiçi” ödemelerde paylaşılır. Ancak buna, telefonla QR kod tarayıp Safari’de ya da App Clip’te ödeme yapmak da dahildir; son dönemde bazı restoranlarda gördüğüm yöntem bu.
Böyle yapıldığında restoran talep ettiği kadar bilgiyi alır. Buna ad, adres ve e-posta adresi de dahil olabilir. Genelde ödeme sayfasında gösteriliyor gibi, ama ilk kez bir restoranda kullandığımda bunu pek fark etmemiştim.
Artık garsondan gerçek terminali getirip temassız ödeme yapmama izin vermesini istiyorum ya da doğrudan fiziksel kartımı veriyorum.
Konudan biraz sapıyor ama Apple Pay’in işlem onayından önce o anda ödenecek tutarı ekranda neden gösteremediğini hâlâ anlamıyorum.
Bu bir kullanıcı deneyimi sorunu değil; Apple cihazı o tutarı hiç bilmiyor gibi görünüyor. Sebebi ne olabilir?
Bunu anlamam biraz zaman aldı. Uçak modundayken Apple Pay’in nasıl çalıştığını anlayamıyordum ama elbette çalışıyor. Çünkü mevcut Visa kartları da internet bağlantısı olmadan gayet iyi çalışıyor.
Temelde ikisi aynı şey. Herkes standartlara göre çalıştığında ayrıca “desteklenecek” bir şey olmamasının nedeni de bu. jjcm’nin kardeş yorumuna bakın: https://news.ycombinator.com/item?id=39846117
Bu yüzden NFC okuyucusunun ödeme tutarını “yayınlamadığını” düşünüyorum. Plastik kartların bu bilgiyi işleyecek bir yolu yoktu; iPhone’un da bu bilgiyi alıp “bir dakika, kullanıcı kaydırarak onay verene kadar bekle” demesinin bir yolu yok.
Gruber’ın “bunu yalnızca Apple Pay yapıyor” diye nerede söylediğini bilmiyorum. Yazar, Gruber’ın birkaç hata yaptığı ya da ayrıntıları tam yakalayamadığı noktaları işaret ediyor gibi; hepsi bu kadar görünüyor.
[Güncelleme: Hay aksi, yanılmışım. Ödeme sektöründe çalışan Matt Birchler, işleyişi iyi açıklamış ve büyük bankalar ile kredi kartı şirketlerinin tap-to-pay işlemlerinde üye iş yeri bazında “DPAN” numaraları oluşturduğu ortaya çıkmış. Yine de Apple Wallet’ın, kartı veren kuruluşun sunduğu herhangi bir dijital ödeme uygulaması kadar en azından eşdeğer ya da daha güvenli olduğu yönündeki iddiamı sürdürüyorum.]
Bu, asıl yazar Gruber’ın yazısı.
Gruber da kendi hatasını kabul etti.
Gruber açık bir Apple hayranı ama genel olarak olguları doğru tutturur, bilmediği kısımları kabul eder ve alanın uzmanlarına link verirdi.
Ancak AB DMA’sına yönelik Apple hamlelerinden sonra nesnelliğini tamamen kaybetmiş gibi görünüyor. EC’den daha iyi hukuki metin okuduğunu varsaymak, çok farklı Avrupa yasama yaklaşımına Amerikan tarzı bir yaklaşım uygulamak ve Apple’ın kötü niyetli açıklamalarını olduğu gibi kabul etmek gibi.
Bu değişim, Apple’ın AB’ye yönelik tuhaf derecede kötü niyetli tavrıyla örtüşüyor; dolayısıyla temel sorun Gruber’ın Apple’a fazla güvenmesi olabilir.
ABD hükümetinin antitröst davasında da bu tavrı sürdürüyormuş gibi görünüyor.
Adil olmak gerekirse, sosyal medya hukuk uzmanı gibi davranan Apple destekçileriyle dolu ve neredeyse her şeyi yanlış söylüyorlar; bu yüzden onun meşru karşı görüşleri görmesi zor olabilir.
“Apple bu dijital cüzdanları yaygınlaştırma konusunda harika bir iş çıkardı, ama yaptıkları şey sektörde benzersiz değil” kısmına gelirsek, hafızam yanıltıyor olabilir ama Apple Pay ilk çıktığında oldukça farklı olduğunu düşünüyorum. Bu yüzden destekleyen yer sayısı çok azdı.
Diğer telefonla ödeme sistemleri, örneğin ilk dönem Samsung Pay gibi, kart numarasını terminale aynen gönderiyor gibiydi.
İlginç şekilde Birleşik Krallık’ta hâlâ 100 £ limiti var gibi, oysa ABD’de Android telefonla temassız ödeme yaparak 2000 doların üzerinde tutarlar ödedim.
Belki doğrudan yalnızca bankaya gönderiyordu ve üye iş yeri görmüyordu, ama yine de gerçek numaraydı. DPAN kullandığını ilk duyduğum sistem Apple’dı.
ABD, birçok nedenle kartlı ödeme teknolojisinde oldukça geride. Polonya’dan, yıllardır tüm dünyada kullandığım kartla ziyaret ettiğimde, kasiyerin ödeme alabilmesi için önce özel bir geçici çözüm öğrenmem gerekmişti.