Apple Pay 是如何運作的？為什麼蘋果的調解是必要的？
（長帖警告）；
（在這篇文章中，我使用“NFC”作為現有信用卡和銀行用於短距離（10 厘米以下）無線支付的已建立（Apple Pay 之前）系統的簡寫，我相信這是 ISO/IEC 14443） .
NFC支付
（我認為）我了解 NFC 支付的工作原理：對於支持 NFC 的卡（上面有類似 Wi-Fi 的標誌），一個封閉且安全的晶片包含您信用卡資訊的副本，NFC 支付終端詢問您的卡（使用類似於 RFID 的原理），終端獲取您的詳細資訊，然後向商家的支付處理器發出費用，僅此而已。
到目前為止，一切都很簡單：NFC 只是從實體信用卡中獲取帳戶詳細資訊的另一種方式，就像磁條或 EMV 晶片一樣。一旦終端機獲得了您的卡詳細資訊（卡號、有效期等），商家如何獲取這些詳細資訊就沒有什麼區別了——它們可以通過物理鍵入卡上的浮雕數字來手動送出。
但是，我知道預設情況下，“標準”支付 NFC 類似於磁條，因為它只是讀取卡詳細資訊的直接副本：NFC 晶片不會生成任何一次性使用卡用自己的賬戶/數字錢包系統編號甚至顛覆信用卡系統。我還了解到，NFC 預設情況下不使用任何無線加密，甚至不使用質詢響應系統，這意味著假設可以通過人們的錢包和大衣口袋執行手持閱讀器來瀏覽低價值金額[ 1] 來自“啞” NFC 卡，或者攻擊者可以在 NFC 終端旁邊隱藏 NFC 嗅探器以在飛行途中擷取 NFC 數據[2]。這很令人擔憂。我想知道 NFC 系統是如何被 Visa、Mastercard、AMEX等授權的，因為它是多麼不安全。
最近，但早在 Apple Pay 發布之前，Android 手機就具有 NFC 功能，允許使用者將信用卡詳細資訊複製到 NFC 晶片上，然後在 NFC 支付終端使用支持 NFC 的手機作為替代卡。假設影響 NFC 的相同安全問題仍然存在，那麼我認為 Apple 至少在最初沒有在 iPhone 中包含 NFC 功能也就不足為奇了。
蘋果支付
Apple Pay 使用相同的 NFC 協議 - 這就是為什麼您可以將 Apple Pay 與任何 NFC 終端一起使用。Apple 希望使其更安全，但他們無法加密 OTA 信號，因為這會破壞與現有 NFC 終端的兼容性 - 因此他們通過不發送原始信用卡詳細資訊而是通過 iPhone 本身生成的 Apple Pay 來增加安全性並發送一個一次性、一次性使用的信用卡號，然後通過 NFC 傳輸。這樣一來，如果無線電傳輸被攔截，那麼攻擊者將無法獲取詳細資訊（因為如果一次性卡號已經被收費，他們將無法再次收費 - 並且如果他們首先通過收費然後真正的商人會看到他們的收費被拒絕，他們可以立即提出異議）。
因為 Apple Pay 然後成為自己的系統之上的另一個系統（因為 Apple 控制一次性信用卡號碼），這意味著他們需要要求客戶的銀行同意在個人基礎上加入他們的系統（所以銀行的系統可以容納 Apple 的一次性信用卡號碼）——這解釋了 Apple Pay 推出緩慢的原因，也解釋了為什麼他們有理由要求每筆交易減少 0.15%：因為他們正在增加價值他們的一次性系統的安全性。
但是 Apple Pay 在後端，在 NFC 終端和客戶自己的信用卡賬戶之間是如何運作的呢？商家收到一次性信用卡號，並且可能仍會以與處理普通信用卡號相同的方式處理它：他們將其傳遞給支付處理器，然後向網路收費（維薩卡、萬事達卡或美國運通卡），誰又會向客戶的銀行/信用卡提供商收費……但相關人員如何知道客戶的原始信用賬戶詳細資訊是什麼？蘋果是生成這些一次性程式碼的人。我知道信用卡號碼包括發卡銀行的標識符（這就是為什麼我在同一家銀行的所有卡都共享它們的初始 8 位數字） - 所以 Apple Pay 系統要麼在客戶的銀行號碼中生成一個一次性程式碼-空間（即
後端的兩種可能性：
如果 Apple 使用客戶銀行的前綴，那麼銀行會將費用直接發送給他們自己，Apple 不是支付中介——Apple Pay 所做的只是生成一個一次性號碼。蘋果將無法知道實際收取了多少錢，因此他們可能會被騙出他們要求的 0.15% 的降價。該系統需要某種方式將一次性程式碼轉換為實際賬戶詳細資訊——我猜蘋果通過後端側通道向銀行提供了這種方式。
但是，如果 Apple 使用自己的銀行前綴，則意味著每筆交易都通過 Apple 的系統：他們可以訪問每筆交易的詳細資訊，並為所有使用者形成購物習慣檔案。他們還可以準確地知道花費了多少金額，並要求減免 0.15% 的費用，並對映射的一次性卡詳細資訊保密——然後他們會將費用代理（轉發）到客戶的銀行。
…以上都不是特別理想的解決方案。
一切都很可怕
所以我得出的結論是，Apple Pay 是 NFC 的“更新檔”，NFC 本身對於已經過時的系統（即可重複使用的卡詳細資訊的概念）來說是一個不安全的附加組件。
所以我問，最初引入 NFC 時，他們為什麼不引入並強制規定一次性支付細節（由銀行或支付網路直接管理，而不是由第三方管理）？並且使用挑戰響應或（一個合理的面向未來的）OTA加密系統也不是一件容易的事——這將完全消除對Apple Pay的需求。
現在，如果事實證明 NFC 實際上已經具有 OTA 加密並且銀行已經支持一次性細節[3]（這不正是 EMV 所做的嗎？）那麼 Apple Pay 會增加什麼價值？
這是由於現有的卡網路（Visa、MasterCard、AMEX 等）如此抵制改變，以至於他們寧願添加新功能來繼承底層系統的不安全性和/或技術無能，從而允許像 NFC 這樣的不安全系統部署到生產中，並且在發布後至少不推動 OTA 加密作為更新檔？考慮到卡網路聲稱的巨額資金（以及這一切都去了哪裡？），我們沒有看到他們在自己的創新或破壞性平台上工作，這是一個謎……這是不費吹灰之力。
腳註
[1] 據我了解，在許多地方，NFC 收費金額低於某個門檻值，例如 20 美元或 10 英鎊，不需要 PIN 碼進行充電授權認證——表面上是為了加快客戶在進行小額購買時的體驗，例如杯子咖啡或火車票價。
[2] 鑑於當今 ATM 卡刷卡器的生產質量和對細節的關注，有組織的犯罪分子完全有可能設計出更難找到的 NFC 刷卡器，僅需要無源接收天線和微控制器+ 記憶體板。
[3] 我記得幾年前讀過一些銀行為客戶生成一次性信用卡號碼以用於線上購物，儘管這是信用卡網路本身並不支持的每家銀行的功能。
我認為您遺漏了一個重要的觀點：NFC 不僅用於支付。它是一種通用協議（“近場通信”），旨在提供相鄰設備之間的輕鬆連接。
因此，內置加密/安全性會適得其反，就像內置加密/安全性在 IP 中會適得其反：您將某些東西從較高層強加到較低層。使用 NFC 但不需要這種額外安全性的應用程序將付出不必要的代價。
Apple Pay、Android Pay、Samsung Pay 等供應商來了。它們提供將NFC 用於特定目的的應用程序。它們提供了實現該目的所需的安全性。
歡迎銀行推出自己的應用程序，但它們缺乏客戶基礎，無法使其傳播範圍足夠廣，以至於 POS 提供商可以將其包括在內。Visa/萬事達卡已經有自己的“近場”解決方案，這些解決方案已經嵌入卡本身，並且不一定有興趣在其領域與蘋果或Google等軟體巨頭競爭。手機製造商也缺乏足夠廣泛的客戶群（三星除外，它非常受歡迎，因此能夠推出自己的支付系統——我認為他們與 Visa 合作）。
如果 Apple 使用客戶銀行的前綴，那麼銀行會直接將費用發送給自己，Apple 不是支付中介
是的，作為向 Apple Pay 添加卡的一部分，詳細資訊連同設備詳細資訊和其他資訊一起發送到發卡銀行。根據驗證，銀行發送一個 DAN[Device Account Number] 和其他程式碼。
在銷售點展示您的手機後，DAN 將被傳輸。這類似於卡號被傳輸，有額外的資訊編碼。Visa 然後將其發送回發卡銀行，並根據 DAN 對實際卡進行收費。
所以是的，一旦獲得 DAN，Apple 就不知道您的卡號。
有組織的犯罪分子完全有可能設計出更難找到的 NFC 撇渣器
現在，犯罪分子找到了簡單的步驟……作為設置 Apple Pay 的一部分，將資訊發送到發卡銀行以進行驗證。如果您是 iTunes 的頻繁使用者並且多年來一直使用同一張卡等，它會自動獲得批准。否則他們使用替代方法，即打電話給客戶等。在這裡很容易產生。我得到卡的詳細資訊，無需花時間複製東西 [mag 或 chip]。只需嘗試在 Apply Pay 上註冊，客戶服務部的一些經驗不足的人會打電話給我，我被批准了。在幾個地方使用它，然後刪除這張卡並添加一張新卡。由於Apply Pay不儲存我的卡，他們不知道新舊……