Авторизация платежей при использовании Apple Pay
Если на устройстве есть Secure Enclave, оплату можно совершить только после ее авторизации со стороны Secure Enclave. На iPhone, iPad или компьютере Mac с сенсором Touch ID (либо Mac, объединенном в пару с клавиатурой Magic Keyboard с сенсором Touch ID) это включает подтверждение того, что пользователь прошел аутентификацию с помощью биометрических данных либо код‑пароля или пароля устройства. По умолчанию используется биометрическая аутентификация (если она доступна), но вместо нее в любой момент можно использовать пароль или код‑пароль — они также будут предложены после трех неудачных попыток распознавания отпечатка пальца или двух неудачных попыток распознавания лица (на iPhone и iPad). После пяти неудачных попыток использование пароля или код‑пароля обязательно. Кроме того, код‑пароль требуется, если биометрическая аутентификация не настроена или ее использование не включено для Apple Pay. Для совершения платежа на Apple Watch устройство должно быть разблокировано с помощью код-пароля, а пользователь должен дважды нажать боковую кнопку.
Использование общего ключа пары
Secure Enclave и чип Secure Element взаимодействуют через последовательный интерфейс, используя шифрование и аутентификацию передаваемых данных на основе AES, а также криптографическую защиту от атак с повторным использованием. Хотя стороны и не связаны напрямую, они безопасно взаимодействуют, используя общий ключ пары, который предоставляется при производстве устройства. В процессе производства Secure Enclave генерирует ключ пары из своего ключа UID и уникального идентификатора Secure Element. Затем ключ пары безопасно передается в аппаратный модуль системы безопасности (HSM) на заводе. После этого HSM внедряет ключ пары в Secure Element.
Авторизация безопасной транзакции
Когда пользователь авторизует транзакцию, что подтверждается физическим действием, передаваемым в Secure Enclave, Secure Enclave отправляет подписанные данные о типе аутентификации и сведения о типе транзакции (бесконтактная или в приложении) чипу Secure Element в связке со случайным значением авторизации (AR). Значение AR генерируется в Secure Enclave, когда пользователь впервые предоставляет кредитную карту. Значение сохраняется, пока включена технология Apple Pay, и защищается шифрованием Secure Enclave и противооткатным механизмом. Оно безопасно передается чипу Secure Element с помощью ключа пары. При получении нового значения AR чип Secure Element помечает все ранее добавленные карты как утратившие силу.
Использование криптограммы платежа для динамической безопасности
Платежные транзакции, инициируемые платежными апплетами, содержат криптограмму платежа, а также учетный номер устройства. Эта криптограмма (одноразовый код) вычисляется с помощью счетчика транзакций и ключа. Значение счетчика транзакций увеличивается для каждой новой транзакции. Ключ предоставляется платежным апплетом в ходе персонализации, и он известен платежной сети или эмитенту карты или им обоим. В зависимости от схемы оплаты при расчете также могут использоваться другие данные, например:
непредсказуемое число, формируемое терминалом (для NFC-транзакций);
значение функции антиповтора для сервера Apple Pay (для транзакций в приложениях);
результаты проверки пользователя, например информация о способе верификации владельца карты (CVM).
Эти коды безопасности предоставляются платежной сети и эмитенту карты, что позволяет эмитенту проверять каждую транзакцию. Длина таких кодов безопасности может быть различной и зависит от типа транзакции.