Mobiilimaksaminen

Kahvikuppia NFC-tekniikalla maksamassa.

Yksinkertaistettu esimerkki siitä, miten esim. luottokorttiin sidotussa mobiilimaksamisessa usein käytetty tokenisaatio toimii maksupäätteellä. Muita maksun hyväksimistapoja kuin PIN-koodeja tai Biometristä tunnistusta saatetaan käyttää.

Mobiilimaksaminen on matkapuhelimella suoritettavaa maksamista. Mobiilimaksamista sääntelee Suomessa luottolaitoslaki (610/2014).

Henkilökohtainen luotettu laite

Matkapuhelin soveltuu maksamiseen varsin luontevasti. Maksamisjärjestelmien kehittäjät käyttävätkin mieluummin matkapuhelin-käsitteen tilalla ”henkilökohtaisen luotetun laitteen” (PTD, Personal Trusted Device) -käsitettä.

Maksuvälineenä kännykän merkittävimmät edut ovat sen näppäimistö sekä sisäänrakennettu kortinlukija. Näiden avulla voidaan sovellusten tarvitsemat PIN-koodit syöttää ja turvaelementtinä toimivat kortit (kuten WIM-kortti) liittää puhelimeen. Tällöin matkapuhelimesta voidaan luoda maksamisen vaatima tietoturvallinen päätelaite.

Kehitys

Suomi on mobiilimaksamisen pioneereja. Sonera esitteli vuonna 1997 ostosautomaatin, josta oli mahdollista ostaa tuotteita puhelinsoitolla. Vähän myöhemmin siirryttiin käyttämään tekstiviestejä, jotka ovat osoittautuneet käteväksi käyttöliittymäksi sisältöpalveluiden maksamiseen. Puhelinsoitolla, tekstiviestillä ja maksun vastaanottajien erillisillä sovelluksilla tehtävät maksut voidaan tällöin lisätä suoraan operaattorin matkapuhelinlaskuun. Tämäntyyppinen maksaminen oli käytössä esimerkiksi HKL:n kertamatkalippujen tilaamisessa vuoteen 2019 asti. Siitä luovuttiin uuteen vyöhykejärjestelmään siirryttäessä.

Seuraavina otettiin käyttöön pankkien mobiilirahakukkaro, jossa verkkopankista siirretään rahaa sähköiseen mobiilirahakukkaroon. Maksu suoritetaan lähettämällä tekstiviestinä halutun tavaran tai palvelun avainsanan myyjän antamaan palvelunumeroon. Maksu lähtee heti kukkarosta ja myyjä voi tarkistaa saamansa maksun välittömästi.

Edellä mainitut mobiilimaksamisen ratkaisut ovat edelleen^milloin? käytössä ja ne perustuvat etämaksamisen menetelmiin.

Pankit tarjoavat myös lähimaksumenetelmiin perustuvaa mobiilimaksamista ja -lompakkoa^milloin?. Esimerkiksi OP:n Pivo- ja Nordean Nordea Pay -mobiililompakkoja käyttäen maksaminen tapahtuu näyttämällä puhelinta kaupan lähimaksupäätteelle. Sen lisäksi Aktialla on lähiluettava maksutarra, jolla ostetut tuotteet veloitetaan mobiililompakosta.

Syksyllä 2013 lanseerattiin mobiililuottokortti Onsun, joka on mobiilisovellus etämaksamiseen. Mobiililuottokortilla lähetetään rahaa suoraan maksun vastaanottajan tilille sovelluksen avulla ilman että rahaa siirretään mobiilirahakukkaroon. Loppuvuodesta 2013 lanseerattiin myös Suomessa MobilePay-sovellus, jolla voi maksaa verkkokaupoissa, sovelluksissa ja kaupoissa sekä tehdä henkilöiden välisiä rahasiirtoja puhelinnumeron perusteella.

Vuonna 2015 mobiilimaksutapojen standardien kehittymiseen vaikuttaa erityisesti Yhdysvaltojen liittyminen sirukorteissa EMV-järjestelmään, joka mahdollistaa esimerkiksi sormenjälkitunnistuksen laajemman käyttöönoton mobiilimaksuissa. Muun muassa Amex, Visa ja Mastercard ovat luvanneet sitoutua sormenjälkitunnistukseen tulevaisuudessa. Vuonna 2020 arviolta kaikissa noin 1,4 miljardissa valmistettavassa mobiililaitteessa on sormenjälkitunnistin, mikä mahdollistaa teknologian laajan käyttöönoton mobiilimaksuissa. Sormenjälkitunnistus maksun vahvistusmenetelmänä ja maksukortin tietojen kontaktiton lukutapa mahdollistaa tulevaisuudessa fyysisistä korteista luopumisen.

Suomessa Mastercard tulee ottamaan käyttöön sormenjälkitunnistuksen ja kasvojentunnistuksen mobiilimaksuissa vuonna 2017. Tunnistautuminen tulee tapahtumaan käytännössä mobiilisovelluksen kautta.

Visioidaan, että tulevaisuuden mobiilimaksuissa hyödynnettäisiin enemmän sensoriikkaa, jolloin mobiililaite tunnistaa maksajan esimerkiksi hajusta, kosteudesta, lämmöstä, käden liikkeistä, tavasta koskettaa näyttöä tai kävelytavasta. Näin voitaisiin luotettavasti varmistaa maksajan henkilöllisyys.

Maksamisratkaisut

Maksamisratkaisut voidaan karkeasti ottaen jakaa maksujen suuruuden ja maksamisetäisyyden perusteella. Maksaminen voidaan jakaa maksujen koon perusteella suuriin ja pieniin maksuihin. Suuren maksun rajana pidetään noin kymmentä euroa. Maksamisetäisyys puolestaan voidaan jakaa lähimaksamiseen ja etämaksamiseen.

Maksun suuruus

Suuria mobiilimaksuja varten nykyiset fyysiset maksut kuten pankki- ja luottokorttimaksut on tarkoitus siirtää suoraan mobiiliympäristöön. Pienissä maksuissa mobiiliratkaisujen on ajateltu korvaavan lähinnä käteistä rahaa. Tällöin turvallisuusvaatimuksetkaan eivät ole ihan yhtä korkeat kuin suurilla maksuilla.

Maksamisetäisyys

Lähimaksaminen

Lähimaksamisen käsitteellä tarkoitetaan suomen kielessä kahta erillistä asiaa: ostajan ja myyntipisteen välistä lyhyttä fyysistä etäisyyttä, joka toteutuu esimerkiksi kaupassa asioitaessa, tai maksamista, jossa kaupan maksupäätteen ja ostajan maksuvälineen välillä ei käytetä ulkoista tietoliikenneverkkoa.

Jotta lähimaksaminen olisi nopeaa, tietoliikenneyhteyden muodostumisen tulee olla nopeaa. Käytännössä tietoliikenneyhteyden on toimittava ilman maksutoimitusta hidastavaa operaattorin verkkoyhteyttä. Tämän vuoksi lähimaksamisen tekniikan tulee perustua johonkin matkapuhelinverkosta erilliseen siirtotiehen, kuten Bluetoothiin, infrapunaan tai kulunvalvontakorteissa käytettävään RFID-tekniikkaan.

Bluetoothin merkittävin mobiilimaksamiskäyttöä rajoittava este on pitkä yhteydenmuodostusaika, joka saattaa olla jopa 5-10 sekuntia. Myös kahden Bluetooth-laitteen samanaikainen käyttö samalla laitteella saattaa aiheuttaa ongelmia.

Toinen siirtotievaihtoehto eli infrapunatiedonsiirto toimii lyhyillä etäisyyksillä. Se vaatii suoran näköyhteyden maksuvälineen ja maksupäätteen välillä, joten menetelmä on altis häiriöille. Infrapunayhteys voidaan muodostaa noin sekunnissa.

Kolmas siirtomedia, RFID (Radio Frequency Identification) perustuu ISO 14443 -standardiin ja on passiivisiin radiopiireihin perustuva tiedonsiirtotapa (toimii ilman virtalähdettä). RFID sallii lyhyen kantaman tiedonsiirtoetäisyydet eli 10 cm–1 m. Tämän teknologian suurimpana vahvuutena on nopeus. Yhteys voidaan käytännössä muodostaa välittömästi. RFID-sirun tietoturva on parempi kuin luotto- ja pankkikorttien magneettijuovan. RFID:n yhteydessä tiedonsiirtoprotokollana voi olla joko OBEX tai ISO 7816, jotka molemmat tarjoavat luotettavat tiedonsiirtoyhteydet. Tulevaisuudessa RFID:tä voidaan tarvittaessa käyttää myös kaksisuuntaisesti, eli piirien muistissa olevan tiedon lukemisen lisäksi niille voidaan kirjoittaa.

Lähitulevaisuuden lähimaksaminen voi käytännössä perustua vain RFID-piiriin muiden ratkaisujen hitauden tai epäluotettavuuden vuoksi.

Etämaksaminen

Etämaksaminen on lähimaksamisen vastakohta. Etämaksaminen on maksutapahtuma, jossa maksu välitetään myyjälle matkapuhelinoperaattorin kautta. Näin toimitaan myös näennäisesti lähimaksamiselta vaikuttavassa tapahtumassa, eli kun ostetaan limsapullo kännykällä automaatista.

Etämaksamisratkaisut perustuvat julkisen avaimen menetelmään ja kolmen domainin malliin. Malli kuvaa maksamiseen tarvittavat osapuolet ja heidän välisensä suhteet.

Kolmen toimialueen malli

Ensimmäinen sopimussuhde on nimeltään liikkeellelaskijan toimialue ja se on solmittu kortin liikkeellelaskijan ja -haltijan välille. Tässä toimialueessa korostuvat kortin haltijan tunnistaminen, maksun hyväksyntä ja asiakkaan pankkitilin veloittaminen.

Toinen, yhtä kiinteä sopimussuhde määritellään kauppiaan ja hänen pankkinsa välillä. Tätä kutsutaan maksunsaajan toimialueeksi. Maksun saajan pankki vastaa kauppiaan maksuliikenteestä ja siitä, että kauppias toimii järjestelmässä määriteltyjen ohjeiden mukaisesti.

Kolmas sopimussuhde on yhteyskäytön toimialue. Tämä mahdollistaa transaktiot eri pankkien välillä. Tämä alue määrittelee yhteiset maksuprotokollat ja -palvelut, joiden tehtävänä on mahdollistaa toimet kahden edellä esitellyn toimialueen välillä.

Vahvan tunnistuksen ratkaisut

• Rahalaitos, esimerkiksi pankki, toimittaa asiakkaalle oman WIM-kortin, joka laitetaan dual-chip-puhelimeen operaattorin SIM-kortin lisäksi. Salaus RSA-avaimet tallennetaan pankin WIM-kortille ja matkaviestinverkon palveluita käytetään operaattorin omalla SIM-kortilla.

• Rahalaitos rinnakkaiskäyttää operaattorin SWIM-korttia, jolloin rahalaitos tallentaa asiakkaan tunnistetiedot operaattorin SWIM-kortille. Yhdelle SWIM-kortille voidaan tallentaa eri organisaatioiden tarjoamia, toisistaan riippumattomia palveluita, esimerkiksi eri varmennepalveluihin liittyviä RSA-avaimia. Tällöin puhutaan SWIM-kortin rinnakkaiskäytöstä. Tähän menetelmään perustuvia palveluita ei vielä ole markkinoilla.

• Rahalaitos ostaa tunnistamispalvelun alihankintana operaattorilta, jolloin käytetään operaattorin SWIM-korttia ja varmenteita eli operaattori toimii varmentajana. Tällöin operaattori tarjoaa matkaviestinliittymän SWIM-kortille tallennettujen omien RSA-avaimiensa käyttöä kaikille halukkaille palveluntarjoajille. Tämä voi perustua esimerkiksi WAP Forumin (OMA) määrittelemään yleiseen WPKI-infrastruktuuriin.

Aiheesta muualla

• "Mobile Payment: A journey through existing procedures and standardization initiatives",Stamatis Karnouskos, IEEE Communications Surveys & Tutorials, Vol. 6, No. 4, 4th Quarter 2004.
• Video: lähimaksaminen käytännössä, esittelijänä Nets Finland
• "Kyllä se maksaminen nyt sitten vähitellen mullistuu", Sami Karhunen 27.2.2015