Tokenization — что такое токенизация платежей

Токенизация платежных данных — технология, при которой реальный номер банковской карты PAN заменяется другим цифровым значением, токеном. Во время оплаты вместо настоящего номера карты может использоваться платежный токен, связанный с платежным аккаунтом клиента.

Главная задача токенизации — уменьшить количество ситуаций, в которых PAN передается, хранится или становится доступен участникам платежной цепочки. Если токен будет скомпрометирован, возможности его использования могут быть ограничены конкретным устройством, продавцом или сценарием оплаты.

Токенизация применяется при оплате смартфоном, в интернет-магазинах, мобильных приложениях, сервисах с сохраненной картой и регулярных платежах.

Как работает токенизация банковской карты

Конкретная схема зависит от платежной системы и типа токена, но упрощенно процесс выглядит так:

Пользователь добавляет карту в цифровой кошелек или вводит ее данные в платежном сервисе.
Запрашивается выпуск токена для соответствующего платежного сценария.
Токен связывается с реальным платежным аккаунтом и PAN.
При оплате продавцу передается токен вместо исходного номера карты.
Платежная инфраструктура проверяет токен и установленные для него ограничения.
Операция направляется банку-эмитенту для авторизации.
Банк одобряет или отклоняет платеж.

Таким образом, магазину или приложению необязательно получать реальный PAN клиента для каждой операции.

Что такое платежный токен

Платежный токен — цифровое значение, которое используется вместо реального номера платежной карты в предусмотренной платежной среде.

В стандарте EMV Payment Tokenisation такие токены предназначены для работы в существующей карточной инфраструктуре вместо PAN.

При этом платежный токен может выглядеть как обычный карточный номер. Для платежных систем и процессинговой инфраструктуры это удобно: токен можно передавать по существующим каналам обработки карточных операций, не раскрывая продавцу настоящий PAN.

Платежный токен не является новым банковским счетом и сам по себе не означает выпуск отдельной физической карты.

Что такое PAN

PAN (Primary Account Number) — основной номер платежной карты или связанного с ней платежного аккаунта, который используется в карточной платежной инфраструктуре.

Например:

4444 1234 5678 9010

При токенизации вместо этого значения продавец может получить другой номер:

5555 8765 4321 0987

Второе значение в условном примере является токеном. По нему продавец не должен иметь возможность самостоятельно определить исходный PAN.

При этом токенизация не означает, что реальный номер карты исчезает из платежной системы. Связь между PAN и токеном сохраняется в защищенной инфраструктуре, необходимой для обработки платежей.

Что такое ограничение области использования токена

Одно из важных преимуществ EMV Payment Tokenisation — возможность ограничивать условия использования токена.

Такие ограничения называют domain controls.

Токен может быть рассчитан на использование:

на конкретном устройстве;
у определенного продавца;
в конкретном платежном сценарии;
в определенном канале оплаты;
при выполнении других заданных условий.

Например, токен, выпущенный для оплаты со смартфона, не обязательно получится просто скопировать и использовать как обычный PAN в другом интернет-магазине.

Именно ограничения области применения уменьшают ценность похищенного токена для мошенника.

Что такое Token Service Provider

Token Service Provider, или TSP, — поставщик инфраструктуры платежной токенизации.

В рамках EMV Payment Tokenisation такой участник обеспечивает функции, связанные с выпуском и управлением токенами.

TSP может участвовать в:

создании платежного токена;
связывании его с платежным аккаунтом;
управлении статусом токена;
проверке установленных ограничений;
управлении жизненным циклом;
обработке токенизированных платежей.

EMVCo ведет программу регистрации Token Service Providers и присваивает зарегистрированным поставщикам специальные TSP Code.

При этом сама регистрация в EMVCo не означает, что EMVCo гарантирует услуги или финансовую надежность такого поставщика.

Что такое Token Requestor

Token Requestor — участник, который запрашивает выпуск платежного токена для определенного сценария использования.

В этой роли могут выступать, например, цифровые платежные сервисы, финансовые организации и другие участники платежной инфраструктуры.

Token Requestor и TSP выполняют разные функции:

Token Requestor	Token Service Provider
Запрашивает выпуск и использование токена	Предоставляет инфраструктуру его выпуска и управления
Связан с конкретным платежным сценарием	Поддерживает связь токена с платежным аккаунтом

Что такое детокенизация

Детокенизация — процесс установления связи между токеном и исходным платежным реквизитом в защищенной платежной инфраструктуре.

Для обычного магазина это не означает наличие функции «показать настоящий номер карты».

При EMV Payment Tokenisation продавец и эквайер могут проводить операцию с токеном, не получая соответствующий PAN.

Доступ к связи между токеном и реальным платежным аккаунтом контролируется уполномоченными участниками системы.

Что такое Payment Account Reference

Одна карта или платежный аккаунт могут иметь сразу несколько токенов.

Например, отдельные токены могут использоваться:

на телефоне;
на часах;
в интернет-магазине;
в другом платежном приложении.

EMV Payment Tokenisation предусматривает Payment Account Reference, или PAR.

PAR позволяет платежной инфраструктуре связывать операции по различным токенам с одним платежным аккаунтом без необходимости использовать PAN для каждой такой задачи.

Это может применяться, например, для противодействия мошенничеству, мониторинга операций, программ лояльности и других сервисов.

Токенизация и шифрование — в чем разница

Обе технологии защищают данные, но работают по-разному.

Токенизация	Шифрование
Заменяет исходное значение токеном	Преобразует исходные данные криптографическим алгоритмом
Связь с PAN контролируется токенизационной инфраструктурой	Для восстановления данных используется соответствующий криптографический ключ
Токен не обязан быть результатом математического шифрования PAN	Зашифрованное значение является преобразованной формой исходных данных

Токенизация и шифрование не исключают друг друга. В одной платежной системе могут одновременно использоваться обе технологии.

Токенизация в Казахстане

Токенизированные карточные платежи используются и в Казахстане, в частности при оплате через поддерживаемые банками цифровые кошельки и платежные сервисы.

Например, казахстанские банки поддерживают оплату смартфонами и часами через Apple Pay, Google Pay и другие совместимые решения.

При этом платежную токенизацию банковских карт важно не путать с другим значением слова «токенизация», которое все активнее используется на финансовом рынке Казахстана.

Национальный Банк развивает пилотные проекты по токенизации финансовых и реальных активов, включая золото, недвижимость и отдельные финансовые инструменты.

Это другая технология и другой экономический контекст.

Платежная токенизация	Токенизация активов
Заменяет платежный реквизит токеном	Представляет права или экономический интерес в активе в цифровой форме
Используется для карточных платежей	Может применяться к золоту, недвижимости и финансовым активам
Основная задача — безопасность и удобство платежей	Основная задача зависит от модели цифрового актива