借着Apple Pay上线，说说刷手机的黑历史 篇一：之Apple Pay篇

看这几天大妈也好微博也好大家对所用的技术都还一知半解，那么就来和大家吹水一下吧；纯属于经验积累和技术讨论，顺便给对比一下当今国内支付工具的优缺点，夹带私货较多，如果小弟有说的不对的地方，各位大神多多拍砖；PS：仅为讨论由卡组织清算转接的支付工具，敬业福和摇一摇等二维码支付工具并不在此文讨论范围之内哦。 ；文字多，图少。敬告文风荡漾，小清新和玻璃心谨点，点开概不负责。

系列文章

Apple Pay》银行和卡组织HCE》Samsung Pay》运营商SIM》最后“那些年错过的各种Pay

先简单解释几个名词让大家好看下去：

eSE=电子安全元件 electron Secure Element=可以理解为通过软件实现的保险箱

SE=安全元件 Secure Element=设置在CPU里面的硬件保险箱

MST=磁力安全传输技术 Magnetic Secure Transmission=三星黑科技

NFC=近场通信 Near Field Communication=么么哒啪啪啪~~

Token=令牌=一次性密令

HCE=基于主机的卡模拟Host Card Emulation(host-based cardemulation)=亲爱的谷哥哥在Android4.0提出的在安卓平台上的“基于近场通信卡模拟方案”

云闪付=银联卡+移动支付(手表，手机，手环，手镯or脚环，Pad)=银联的移动支付方案；不管是苹果，Samsung，华为，香蕉雪梨，小米，大米，锤子，斧头，镰刀牌手机等等；NFC或者MST等体现方式；只且只要在POS机上不是刷(插，啪等等)您的银行卡，而是往POS机上面整些奇怪的电子设备来代替刷卡这个动作统称“云闪付”

Apple Pay=傲娇的我拒绝解释

————————————————————我是荡漾的分割线—————————————————————

①首先说说风头正劲的海外版Apple Pay：

Apple Pay在国内的体现方式很精巧(我想说贱可以吗小编)，直接就用了银联的云闪付方案；要知道在排头兵美帝，腐国等水深火热的地方Apple Pay只是构架在EMVCo 国际组织14年Q2发布的Payment Token技术规范上，并没有直接使用卡组织提供的非接触式方案，比如VISA卡的Paywave和万事达卡的Paypass美国运通Express Pay等等。所以Apple Pay美帝上线初期能够直接用iPhone买东西的地方很少，真的很少，有中国银联的30%就已经很不错了，还要apple自己的力量去影响收单组织，发展商户，改造POS机。

大白话就是：

美帝，腐国等国家和地区，上了我的人(吸收了卡组织银行的客户也就是持卡人)却抛弃我的心(没用采用卡组织的非接触技术)，更可恶的是还要倒贴给你钱(还要从手续费里面抽成)。这要是怡红楼的老板早就亏得~~~但是也是有一点特定市场的因素在里面，比如美帝EMV迁移做的比较差(就是银联换芯片卡那样，人家难推)，知道卡号有效期就能消费(酱紫才是真正的无卡支付，知道Dady信用卡号就可以欢乐的和男友开房嘿嘿嘿去了)，非常容易产生盗刷风险，所以银行收单机构持卡都需要一个安全而且体验好的败家方式；但是腐国就不一样了，人家欧洲高富帅EMV迁移搞了十几年了，前期培训，系统改造等等的投入都差不多收回完了，需要新的刺激点来拉动消费，看狂热的果粉不是正正好，看库克船长在偷笑了 。

Paypass

emvco

回到刚刚受到国内持卡人3000W点暴击的Apple Pay银联云闪付版。记得说美帝Visa和万事达等被苹果心甘情愿地上了人，又糟践了心，还倒贴，最后化身白毛女的故事吗；Alright先别嫌弃人家，轮到咱们了。Apple Pay中国版完全使用的银联的Quick Pass技术规格，这可是央妈妈的葵花宝典，传女不传男哒！！！(国家要求自主可控)，和银联客户也就是咱们 银行还要要倒贴钱！还倒贴呀！！！虽说银联药膏Logo是丑了点，但能不能挣点气，勇敢地向美帝列强说不！！我就不给！我偏不给！！死都不！！！一分钱都不给你。

————————————————————又是正经的分割线————————————————————

②云闪付版Apple Pay

这个从头说起吧：记得在iPhone5S发布会的时候就说过苹果在A7芯片上开了个小黑屋吗(Secure Element安全元件)当时这个SE只能用来存储TouchID的指纹信息，但是却十分严格，查任何水表，送任何一家快递的都进不去，严进严出，可以说这是安全地(当然这是相对地)；越狱了SE里面的内容都没有办法读取出来，这牢靠的小黑屋就是各种手机Pay的基础保证，也是各路兵家必争高低呀！这可一点都不含糊。而且国际上就专门有针对CPU加密安全性认证。

a6

好了，回到正题。现在银联给小主儿的实体A卡配备一个“小秘”(虚拟卡号or苹果的叫法“设备账号”)“小秘(虚拟卡号)”就是替你传达指令帮你办事想(买买买，剁剁剁~~~)的嘛，云闪付上上所有交易类型：支付，退货，撤销，预授权，取消预授权，完成预授权，收款，查询等等(为什么我要强调这个下面你就知道了)全部通过这“小秘(虚拟卡号)”来进行；小秘也不能凭白出现在你的“手下(POS机)”面前啊；而且也是为了防止“小秘”被别的主儿拐走(盗刷)，或者“小秘”不听话了(闪卡,PBOC2.0时代电子现金的问题，大白话就是付了两次钱)，所以“小秘”配置了口令(也就是Token=令牌)，“小秘”凭着小主的令牌去办事；帐是由“小秘”凭着口令去收，但是实际上钱计入小主的实体卡里——大白话就是这“小秘”就是您的傀儡，它在手机上给您干着脏累破的活儿，出了事也由它顶着，实体卡只是在背后记录交易而已

写到这里各位小主可能就要问了，这么麻烦一圈，安全性在哪里？其实就在这个令牌Token里，Token几个很重要的特性：

第一：一次性！犹如张大妈三宝，用完就就丢，开封即失效；即使想要盗刷你卡的坏蛋通过种种手段监听到了现在的Token，他要想再用一次，银联立即翻脸不认——**！一百块都不给你( )

第二：完全随机不可测；想要盗刷你卡的坏蛋即使通过监听当前的Token，也不能推断出下一个或者上一个Token的内容，你猜你猜，你猜猜~~~

第三：发卡行完全可控；即使发出去的Token，只要用户报挂失手机丢了or我丢了个表，再或者被不坏好意的人捡到，而且不幸猜中了你的TouchID密码，一样的可以做到即时止付——应为从POS机上回收上来的Token已经是小主挂失的了；我觉得这时候银联和Apple应该深入合作，推出抓小偷业务，POS机报警，帮助机主回收遗失的手机，棒棒哒对不对( )。

第四：唯一性；都叫张三李四的人可能很多很多，或者英语单选题ABCD全部选C总是对几题，坏蛋瞎蒙也没办法蒙对！属于你的Token就是属于你，但要是想吃白食抵赖？嘿嘿，门都没有！

还有Token还需要你的指纹才能召唤解除封印出来(就是苹果的TouchID)；还关在小黑屋(安全元件 Secure Element)里自己想出来都出不来。所以现阶段小主不越狱 ，库克船长局部 没失守(没有重大特大漏洞)Apple Pay都是相对安全的。

再说说最后一点关于Token；银联云闪付版Apple Pay虽然说是可以离线交易，但是云闪付中规定了一组Token只有十个！(当然有些银行，比如说像是中行的安卓HCE方案就是敢放两组，也就是二十个Token)；当小主支付，退货，撤销，预授权，取消预授权，完成预授权，收款，查询余额等等离线搞够了十次！十次！！！失败也算哦(就像我这样的穷屌丝就经常“可用余额不足” 好丢脸)！！！！在没有连线获取新的Token之前就没办法继续交易了 。而银联并没有赋予iPhone离线生成Token的金钥，所以偶尔打开Wallet，点开卡片会提示“正在更新卡片，更新完成前暂时无法使用”说明iPhone或者Apple Watch在下载新的Token。但这样也好，人家资本主义的流量不要钱，咱们移不动1G流量要就80软妹币，八十啊，苍天！吃得多少小笼包了 。

————————————————————我是严肃的分割线—————————————————

③ 终极大白话

说什么？您还听不懂？ “你扯了这么多，这货到底安不安全？怎么个安全法？到底咋整？”

① 手机设备上的是虚拟卡号，和您手里拿的实体卡卡号完全不一样，这里首先做到了风险隔离；Apple Pay里虚拟卡不能拉出来成为磁条卡受理，同样，您手里的实体卡也没有办法直接成为Apple Pay虚拟卡来接受理；

② 通过SE模块，实现普通数据和支付数据的硬件隔离，斩断黑客从软件获取到支付卡密文的途径；没有支付密文的复制也就没有伪卡，没有伪卡就没有盗刷 ；

③ Touch ID，基于指纹地主动确认；简单说就是通过指纹确认解锁卡片的支付功能，是持卡人确认且主动意愿要去支付这笔钱，也杜绝了旁听盗刷；大白话：黑客什么的即使拿到您的手机，也没办法盗刷，有些商家咸猪手，一笔想刷您两次卡扣两次钱也是不行；还有一点，Paywave这样的技术黑客只要有台可用地，功率大地“非接触式POS机”走过您身边就能悄无声息的盗走钱，而不要您输密码；

Apple pay

终结全文了，说说Apple Pay的优缺点

优点：

① 安全；

② 私密；

③ 体验好(仅限于iOS设备上，不要跟我提Watch )

④ 直接基于Quick Pass，接地气；在已经支持“闪付“的情况下商户无需再进行POS升级或改造，对于商户发展推广比较容易；

缺点：

① 银联不争气啊，居然在列强面前低了头！！！

② 受限制于Quick Pass支持的POS机，能刷的地方不多；其实这也是基于NFC方案的缺点，但是相对于美帝版的Apple Pay方案，“银联云闪付”还可以在港澳台(“澳门通”离线电子现金不适用哦)，韩国等境外支援联机“闪付”欢乐地啪啪啪；

③ 卡BIN号统一，商家POS侧没法基于BIN号区分卡等；大白话就是爱**的豪们有可能在Apple Pay上享受不了发卡行的差异化服务了；

④ NFC模块受限制于Apple，未开放API开发者能没有实现更多功能(公交卡)；

⑤ iPhone6以上手机才支持，或者要买个表；

再次的感谢花时间阅读这篇文章，希望能有些帮助，And有讲不对的，也欢迎业内人士拍砖；下一篇就来聊一聊谷哥哥Android阵营的HCE方案。部分图片来自网络，侵删，版权所有，转载请署名，谢谢。