Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Related Articles
Google Pay ile ödeme yaptığınızda gerçek kart numaranızın her işlemde doğrudan işyerine gönderildiğini düşünüyorsanız, özellikle tokenize edilmiş mobil/temassız ödemelerde durum farklıdır.
Dijital cüzdanların en önemli güvenlik mekanizmalarından biri tokenizasyon teknolojisidir.
Tokenizasyon nedir?
Kart üzerindeki gerçek hesap numarası PAN — Primary Account Number olarak adlandırılır. EMV Payment Tokenisation modelinde PAN yerine ödeme amacıyla kullanılabilen farklı bir değer, yani payment token oluşturulur. Bu token belirli bir cihaz, merchant veya ödeme senaryosuyla sınırlandırılabilir. Böylece ele geçirilmesi durumunda gerçek kart numarasına kıyasla kötüye kullanım alanı azaltılır. EMVCo
Mobil cüzdana eklenmiş tokenize bir kartta Google Pay tarafında DPAN/device token ve işlem bazlı cryptogram kullanılabilmektedir. Google’ın güncel teknik dokümantasyonu da tokenize kart payload’larının DPAN ve cryptogram içerebildiğini doğruluyor. Google for Developers
Basitleştirilmiş bir temassız ödeme akışı şöyle düşünülebilir:
Müşteri / Telefon → POS / Merchant → Acquirer / Processor → Kart Ağı → Issuer
Kart ağı ve Token Service Provider altyapısı tokenın ilgili ödeme hesabıyla güvenli biçimde ilişkilendirilmesinde rol oynar.
Burada önemli bir teknik ayrıntı var: Token Service Provider’ı her işlemde merchant ile kart ağı arasında ayrı bir “hop” gibi düşünmek doğru değildir. Token provisioning daha önce gerçekleştirilmiş olabilir; ödeme sırasında ise token mevcut kart ödeme altyapısı üzerinden işlenir. EMVCo, payment token’ların işyerinden acquirer’a, ödeme ağına ve issuer’a kadar mevcut ödeme altyapısıyla kullanılabildiğini belirtiyor. EMVCo
Gerçek kart numarası işyerine hiç gitmez mi?
Bunu bütün Google Pay senaryoları için kesin şekilde söylemek doğru olmaz.
Tokenize edilmiş mobil kart işlemlerinde gerçek PAN yerine network/device token kullanılması temel güvenlik mekanizmasıdır.
Ancak Google Pay’in web/API entegrasyonlarında kullanılan ödeme yöntemine göre PAN_ONLY veya CRYPTOGRAM_3DS gibi farklı yöntemler bulunabilir. Google Pay API, entegrasyona ve seçilen karta bağlı olarak PAN tabanlı veya tokenize edilmiş kart verisi döndürebilir. Google for Developers
Dolayısıyla daha doğru ifade:
Google Pay’de tokenize edilmiş kart işlemlerinde gerçek PAN yerine çoğunlukla tokenized payment credential kullanılır; ancak tüm Google Pay kullanım senaryoları teknik olarak aynı değildir.
Tokenizasyon neden önemli?
Tokenizasyon gerçek kart bilgisinin ödeme ekosisteminde gereksiz yere dolaşmasını azaltır. Ayrıca tokenın kullanım alanı cihaz, merchant veya belirli bir ödeme senaryosuyla sınırlandırılabilir. EMVCo’nun güncel tokenizasyon standardının temel amacı da ele geçirilmiş ödeme bilgilerinin değerini ve kullanılabilirliğini azaltmaktır. EMVCo
Ancak tokenizasyon tek başına bütün güvenliği sağlamaz.
Ödeme sırasında issuer tarafından kartın ve tokenın geçerliliği, kullanılabilir bakiye veya limit, işlem bağlamı, kimlik doğrulama sonuçları ve fraud/risk sinyalleri gibi farklı kontroller değerlendirilebilir.
Arka planda ayrıca authorization, kart ağı, acquiring altyapısı, ödeme işlemcileri, HSM, kriptografi, API güvenliği, fraud sistemleri ve yüksek erişilebilirlik gibi birçok katman birlikte çalışır.
Kullanıcının gördüğü ise çok daha basit
Kullanıcı açısından süreç çoğu zaman:
Telefonu yaklaştır → Doğrula → Ödeme başarılı
şeklindedir.
Ancak birkaç saniyelik bu deneyimin arkasında bankacılık, FinTech, network ve siber güvenlik sistemleri birlikte çalışır.
İyi tasarlanmış bir dijital ödeme sisteminin amacı yalnızca hızlı ödeme yapmak değildir.
Doğru işlemi, doğru kullanıcıdan, doğru kuruma, güvenli ve kesintisiz şekilde ulaştırmaktır.
Not: Bu akış konuyu anlaşılır hale getirmek amacıyla sadeleştirilmiştir. Google Pay mimarisi; temassız veya online ödeme kanalı, kart ağı, issuer, acquirer, payment provider, ülke ve kullanılan tokenizasyon modeline göre değişebilir.
Cem Kemal Erbaş sitesinden daha fazla şey keşfedin
Subscribe to get the latest posts sent to your email.
