Thẻ thông minh không tiếp xúc

Thẻ thông minh không tiếp xúc (hay thẻ thông minh phi tiếp xúc) là một dạng thiết bị chứng nhận không tiếp xúc có kích thước chỉ tương đương với thẻ tín dụng. Vi mạch nhúng bên trong nó có thể lưu trữ (và đôi khi là xử lý) dữ liệu và giao tiếp với một thiết bị đầu cuối thông qua NFC. Một số nơi thường sử dụng công nghệ này bao gồm vé giao thông công cộng, thẻ ngân hàng và hộ chiếu.

Có hai loại thẻ thông minh không tiếp xúc chính. Các loại thẻ nhớ bao gồm các bộ phận lưu trữ điện tĩnh, và có thể thêm một số logic bảo mật cụ thể. Thẻ thông minh không tiếp xúc có chứa một RFID chỉ đọc có tên gọi là CSN (Card Serial Number) hoặc UID, và một vi mạch ghi lại được có thể ghi chép qua sóng vô tuyến.

== Tổng quan ==
Thẻ thông minh không tiếp xúc có một số đặc trưng sau:

- Kích thước thường tương đương với một tấm thẻ tín dụng. Định dạng ID-1 của tiêu chuẩn ISO/IEC 7810 định nghĩa kích thước này là 85,60 × 53,98 × 0,76 mm (3,370 × 2,125 × 0,030 in).
- Bao gồm một hệ thống bảo mật với các tính năng chống truy cập trái phép (ví dụ như bộ xử lý mật mã, hệ thống tập tin bảo mật, các đặc điểm có thể đọc được bởi con người) và có khả năng cung cấp các dịch vụ bảo mật (ví dụ như giữ bí mật thông tin trong bộ nhớ).
- Tài sản được quản lý thông qua hệ thống hoặc ứng dụng quản trị trung tâm, có nhiệm vụ nhận hoặc trao đổi thông tin với thẻ, ví dụ như khóa thẻ hay cập nhật dữ liệu.
- Dữ liệu thẻ có thể truyền qua sóng vô tuyến tới hệ thống quản trị trung tâm thông qua các thiết bị đọc-viết, ví dụ như máy quẹt thẻ, bộ đọc thẻ kiểm soát ra vào tại cửa, máy đọc vé, ATM, thiết bị đọc thẻ kết nối qua USB, v.v.

=== Lợi ích ===
Thẻ thông minh không tiếp xúc có thể dùng cho việc nhận dạng, xác thực và lưu trữ dữ liệu. Chúng cũng là giải pháp giúp các giao dịch kinh doanh được thực hiện linh hoạt, bảo mật và chuẩn mực, đòi hỏi tối thiểu can thiệp từ con người.

== Lịch sử ==
Thẻ thông minh không tiếp xúc được sử dụng lần đầu tiên cho hệ thống vé điện tử vào năm 1995 tại Seoul, Hàn Quốc.

Kể từ đó, các loại thẻ thông minh với giao diện không tiếp xúc càng ngày càng được sử dụng phổ biến cho các hệ thống thanh toán và thẻ vé, như ở các hệ thống giao thông công cộng. Trên thế giới, công nghệ thu phí không tiếp xúc đang được ứng dụng hiệu quả trong giao thông công cộng. Nhiều tiêu chuẩn xuất hiện còn mang tính cục bộ và không tương thích lẫn nhau, tuy nhiên tiêu chuẩn thẻ MIFARE Classic từ Philips cũng đã chiếm thị phần lớn tại Hoa Kỳ và châu Âu.

Gần đây, Visa và MasterCard đã đồng thuận thiết lập tiêu chuẩn thanh toán chung theo dạng "open loop" trên mạng lưới của mình, với hàng triệu tấm thẻ đã được triển khai tại Hoa Kỳ, châu Âu và trên toàn thế giới.

Thẻ thông minh cũng đang được ứng dụng trong nhận dạng cá nhân và cấp giấy phép ở cả các cấp độ vùng, quốc gia và quốc tế. Các mẫu thẻ căn cước, giấy phép lái xe hay thẻ bệnh nhân thông minh đang ngày càng trở nên phổ biến. Tại Malaysia, mẫu thẻ căn cước quốc gia MyKad bao gồm 8 ứng dụng khác nhau và đã được triển khai tới 18 triệu người dùng. Thẻ thông minh không tiếp xúc còn được tích hợp trong hộ chiếu sinh trắc học ICAO nhằm nâng cao bảo mật.

Trong đại dịch COVID-19, nhu cầu và lượng sử dụng các loại thẻ tín dụng và ghi nợ không tiếp xúc có xu hướng tăng, mặc dù tiền mặt hay tiền xu thường an toàn và công nghệ này cũng không làm giảm việc lây truyền virus. 

=== Thiết bị đọc ===
Các thiết bị đọc thẻ thông minh không tiếp xúc sử dụng sóng vô tuyến để giao tiếp, đọc và ghi dữ liệu trên thẻ. Khi dùng để thanh toán điện tử, chúng thường được đặt gần bàn phím nhập mã PIN, máy tính tiền và các điểm thanh toán khác. Khi được dùng trong hệ thống giao thông công cộng, chúng thường được đặt trên hộp thu tiền, máy bán vé, cổng xoay và sân ga dưới dạng thiết bị đơn lẻ. Khi dùng cho mục đích kiểm soát an ninh, thiết bị đọc thường được đặt ở cạnh cửa ra vào.

== Công nghệ ==
Thẻ thông minh không tiếp xúc là loại thẻ có chip giao tiếp với bộ đọc thẻ thông qua một công nghệ cảm ứng điện từ tương tự như RFID (với tốc độ truyền dữ liệu 106 tới 848 kbit/s). Những chiếc thẻ này chỉ cần đặt ở khoảng cách gần với ăng ten để hoàn thành giao dịch. Chúng thường được sử dụng khi các giao dịch phải được xử lý nhanh chóng hoặc trong trạng thái rảnh tay, ví dụ như trên hệ thống giao thông công cộng, hành khách có thể quẹt thẻ mà không cần phải rút ra khỏi ví.

Tiêu chuẩn cho giao tiếp thẻ thông minh không tiếp xúc là ISO/IEC 14443. Tiêu chuẩn này định nghĩa hai loại thẻ không tiếp xúc ("A" và "B") và cho phép giao tiếp ở khoảng cách lên tới  . Một số đề xuất về việc bổ sung vào ISO/IEC 14443 các loại thẻ C, D, E, F và G đã bị Tổ chức Tiêu chuẩn hóa Quốc tế bác bỏ. Một tiêu chuẩn thay thế khác cho thẻ thông minh không tiếp xúc là ISO/IEC 15693, cho phép giao tiếp ở khoảng cách lên tới .

Một số loại thẻ thông minh không tiếp xúc được sử dụng rộng rãi bao gồm Upass tại Seoul (1996), thẻ Touch 'n Go tại Malaysia (1997), thẻ Octopus tại Hồng Kông, Thẻ Giao thông Công cộng tại Thượng Hải (1999), thẻ Navigo tại Paris, thẻ Suica của Đường sắt Nhật Bản (2001), EZ-Link tại Singapore, EasyCard tại Đài Loan, thẻ Clipper tại Khu vực Vịnh San Francisco (2002), thẻ Oyster tại London, Thẻ Giao thông Thị chính tại Bắc Kinh (2003), T-money tại Hàn Quốc, thẻ Presto tại Nam Ontario, More Card tại Ấn Độ, thẻ Rav-Kav tại Israel (2008), thẻ Myki tại Melbourne và thẻ Opal tại Sydney.

Một công nghệ không tiếp xúc có liên quan là RFID (nhận dạng tần số vô tuyến). Trong một số trường hợp nhất định, nó có thể sử dụng cho các ứng dụng tương tự như với thẻ thông minh không tiếp xúc, ví dụ như thu phí điện tử. Các thiết bị RFID thường không chứa bộ nhớ ghi được hay khả năng xử lý vi mạch như thẻ thông minh không tiếp xúc.

Một số loại thẻ trang bị cả hai giao diện không tiếp xúc và có tiếp xúc trên một tấm thẻ duy nhất với một số bộ phận lưu trữ và xử lý chung. Một ví dụ của loại thẻ này là mẫu thẻ giao thông đa dụng tại Porto có tên gọi là Andante, trong dó sử dụng một con chip ở cả chế độ có tiếp xúc và không tiếp xúc (ISO/IEC 14443 type B).

Giống như thẻ thông minh có tiếp xúc, thẻ thông minh không tiếp xúc không có chứa pin. Thay vào đó, chúng sử dụng một cuộn cảm tích hợp, ứng dụng nguyên lý liên kết cảm ứng cộng hưởng để thu một lượng tín hiệu điện từ phát ra, biến đổi nó, và dùng nó để cấp năng lượng cho các bộ phận điện tử của thẻ.

== Ứng dụng ==
=== Giao thông ===
Kể từ khi mẫu thẻ giao thông tại Seoul bắt đầu được sử dụng, nhiều thành phố cũng đã chuyển sang áp dụng thẻ thông minh không tiếp xúc làm phương tiện thanh toán phí trong hệ thống thu soát vé tự động. 

Trong một số trường hợp, các mẫu thẻ này ngoài sản phẩm phí giao thông công cộng ra còn bao gồm một ví điện tử, có thể sử dụng cho các giao dịch thanh toán giá trị thấp.

=== Thẻ ngân hàng không tiếp xúc ===
Bắt đầu từ khoảng năm 2005, một ứng dụng phổ biến của công nghệ này chính là các loại thẻ tín dụng và ghi nợ thanh toán không tiếp xúc. Một số ví dụ nổi bật bao gồm:

- ExpressPay – American Express
- MasterCard Contactless (trước đây là PayPass) – MasterCard
- Visa Contactless (trước đây là payWave) – Visa
- QuickPass – UnionPay
- JCB Contactless (trước đây là J/Speedy), QUICPay (không tương thích với EMV Contactless/ISO/IEC 14443) – JCB
- RuPay Contactless - RuPay
- Zip – Discover

Quá trình triển khai bắt đầu vào năm 2005 tại Hoa Kỳ, và 2006 tại một số nơi ở châu Âu và châu Á (Singapore). Tại Hoa Kỳ, các giao dịch không tiếp xúc (không yêu cầu PIN) hỗ trợ khoảng giá trị ~$5–$100.

Nói chung, có hai loại thẻ ngân hàng không tiếp xúc: dữ liệu dải từ (MSD) và EMV không tiếp xúc.

Thẻ MSD không tiếp xúc sử dụng giao diện không tiếp xúc để truyền dữ liệu ở dạng tương tự như các mẫu thẻ dải từ trước đây. Chúng chỉ được phân phối tại Hoa Kỳ. Quá trình thanh toán diễn ra theo cách tương tự như thẻ dải từ, không yêu cầu nhập PIN và thường là ở chế độ ngoại tuyến (tùy vào tham số của thiết bị đầu cuối). Mức độ bảo mật của giao dịch thẻ MSD không tiếp xúc tốt hơn so với thẻ dải từ, do con chip trong thẻ có khả năng tạo mật mã để hệ thống của đơn vị cung cấp thẻ xác nhận.

Thẻ EMV không tiếp xúc có hai giao diện (có tiếp xúc và không tiếp xúc) và hoạt động như một chiếc thẻ EMV bình thường thông qua giao diện có tiếp xúc. Giao diện không tiếp xúc cũng cung cấp dữ liệu ở dạng tương tự như giao dịch EMV có tiếp xúc, nhưng thường bị hạn chế một số chức năng (ví dụ, nhà phát hành thẻ thường không cho phép tăng số dư qua giao diện không tiếp xúc, mà yêu cầu người dùng phải đưa thẻ vào thiết bị sử dụng giao diện có tiếp xúc). Thẻ EMV có thể lưu một "số dư ngoại tuyến" trong chip, tương tự như ví điện tử trong các loại thẻ thông minh cho giao thông công cộng.

=== Nhận dạng ===
Một ứng dụng đang ngày càng được sử dụng phổ biến là thẻ căn cước số. Trong trường hợp này, thẻ được sử dụng cho mục đích xác thực danh tính. Phổ biến nhất là sử dụng thẻ kết hợp với một PKI. Thẻ thông minh sẽ lưu trữ một chứng nhận số mã hóa được cấp bởi PKI cùng với bất cứ thông tin liên quan hoặc cần thiết nào về chủ thẻ. Một số ví dụ bao gồm Thẻ Truy cập chung (CAC) của Bộ Quốc phòng Hoa Kỳ (DoD), và nhiều mẫu thẻ thông minh được các chính phủ sử dụng làm thẻ căn cước cho công dân của mình. Khi kết hợp với thông tin sinh trắc học, thẻ thông minh có thể cung cấp khả năng xác thực hai hoặc ba yếu tố. Thẻ thông minh không phải lúc nào cũng là công nghệ nâng cao quyền riêng tư, bởi thông tin trong chiếc thẻ mà chủ thẻ luôn mang theo có thể bị sử dụng để gây hại cho chính họ. Chủ thẻ còn có thể sử dụng các loại thẻ thông minh không tiếp xúc có thể được đọc mà không cần bỏ ra khỏi ví hay quần áo để việc xác thực tiện lợi hơn.

=== Khác ===
Chính phủ Malaysia sử dụng công nghệ thẻ thông minh trong mẫu thẻ căn cước của tất cả công dân và thường trú nhân Malaysia. Thông tin cá nhân trong thẻ thông minh (có tên gọi là MyKad) có thể được đọc bằng các lệnh APDU đặc biệt.

== Bảo mật ==
Thẻ thông minh đã được quảng bá là phù hợp cho các tác vụ nhận dạng cá nhân, nhờ thiết kế chống truy cập trái phép. Vi mạch nhúng bên trong thẻ thường triển khai một số thuật toán mật mã. Tuy nhiên, vẫn có một số cách thức để phục hồi một vài trạng thái bên trong của thuật toán này.

=== Phân tích năng lượng vi sai ===
Phân tích năng lượng vi sai
là thuật ngữ để chỉ việc đo khoảng thời gian và dòng điện chính xác cần thiết cho một thao tác mã hóa hoặc giải mã nhất định. Phương pháp này thường được sử dụng nhiều nhất cho các thuật toán khóa công khai như RSA để suy đoán ra khóa riêng tư trên vi mạch, mặc dù một số cách triển khai mật mã đối xứng cũng dễ chịu nguy hiểm trước các cuộc tấn công phân thích thời gian hoặc năng lượng.

=== Tháo rời vật lý ===
Thẻ thông minh có thể bị tháo rời bằng cách sử dụng acid, chất ăn mòn, hoặc các kỹ thuật khác để có thể truy cập trực tiếp vào bộ vi xử lý trên vi mạch của thẻ. Mặc dù việc áp dụng những kỹ thuật như vậy luôn tạo rủi ro khá lớn làm hư hại vĩnh viễn con chip trên thẻ, chúng lại cho phép trích xuất được lượng thông tin chi tiết hơn nhiều (ví dụ như chụp ảnh chi tiết các bộ phận phần cứng mã hóa).

=== Nghe lén giao tiếp NFC ===
Thẻ cần được đặt ở khoảng cách gần (≈10 cm hoặc 4″) để được cấp nguồn. Tuy nhiên, tần số vô tuyến có thể bị nghe lén ở khoảng cách vài mét.

== Lo ngại ==
- Tỷ lệ sử dụng thất bại
- Quyền riêng tư
- Trộm cắp và giả mạo
- Sử dụng ở nước ngoài
- Phát hiện khi có nhiều thẻ

== Xem thêm ==
- Thẻ truy cập
- Điều khiển truy cập
- Mã hóa ổ đĩa
- Khóa thẻ chìa
- Bảo mật vật lý
- Google Wallet
- Apple Pay
- Samsung Pay
- Hộ chiếu sinh trắc học
- Common Access Card
- Thanh toán không tiếp xúc
- Chứng chỉ
- Tiền kỹ thuật số
- EMV
- Giấy tờ tùy thân
- Java Card
- Danh sách thẻ thông minh giao thông công cộng
- Thẻ dải từ
- Cấy microchip dưới da con người
- MULTOS
- NFC
- Thẻ Octopus
- PCI DSS
- Thẻ tiệm cận
- RFID
- Kỹ thuật bảo mật
- Đăng nhập một lần
- Thẻ thông minh
- SNAPI
- SIM (điện thoại)
- Thẻ điện thoại