Akıllı kartlar nasıl çalışır?

Akıllı kartlar nasıl çalışır?

Market alışverişinde ödeme yaparken, toplu taşımaya binerken veya bir binaya girişte kartınızı okuyucuya yaklaştırdığınızda birkaç saniye içinde birden fazla işlem gerçekleşir. Kart enerji alır, okuyucuyla iletişim kurar ve kullanılan sisteme göre kimlik doğrulama ya da işlem onaylama adımlarını yürütür. Peki, akıllı kartlar nasıl çalışır ve bu küçük kartları “akıllı” yapan nedir?

Akıllı kartların temelinde, bilgileri saklayabilen ve kartın türüne göre güvenlik işlemleri gerçekleştirebilen bir entegre devre, yani çip bulunur. Ancak her akıllı kart aynı şekilde çalışmaz. Temaslı banka kartları, temassız ulaşım kartları ve SIM kartlar benzer bir teknoloji ailesinin farklı uygulamalarıdır.

Akıllı kart nedir?

Akıllı kart, verileri üzerinde bulunan çipte saklayan ve uyumlu bir okuyucuyla veri alışverişi yapabilen karttır. Bazı modeller yalnızca bellek ve erişim denetimi sunarken mikroişlemcili modeller yazılım çalıştırabilir, kriptografik hesaplamalar yapabilir ve belirli bilgilere erişimi sınırlandırabilir.

Manyetik şeritli kartlar çoğunlukla şeritte kayıtlı sabit bilgilerin okunmasına dayanır. Mikroişlemcili akıllı kartlar ise yalnızca bilgi sunmakla kalmaz; kendilerine gönderilen komutları değerlendirip güvenli yanıtlar üretebilir. Bu nedenle kartın görünür numarasını bilmek, çipin yaptığı güvenlik işlemlerini taklit etmekle aynı şey değildir.

Akıllı kartın içinde hangi bileşenler bulunur?

• Çip: Verileri saklayan ve kartın özelliklerine bağlı olarak işlemleri yöneten elektronik bileşendir.
• Bellek: Uygulama verilerini, güvenlik bilgilerini ve gerekli diğer kayıtları tutar.
• Mikroişlemci: Mikroişlemcili kartlarda komutları işler, erişim kurallarını uygular ve kriptografik işlemleri yürütür.
• Temas yüzeyi veya anten: Okuyucuyla iletişim ve enerji aktarımı için kullanılır.
• Kart işletim sistemi ve uygulamalar: Gelişmiş kartlarda ödeme, kimlik doğrulama veya erişim kontrolü gibi işlevleri yönetir.

Akıllı kart türleri nelerdir?

Akıllı kartlar, okuyucuyla kurdukları bağlantıya göre temaslı, temassız ve çift arayüzlü olarak sınıflandırılabilir. Bu ayrım, kartın kullanım şeklini açıklar; güvenlik düzeyi ise çipin özelliklerine, kullanılan protokollere ve sistemin tasarımına bağlıdır.

Temaslı akıllı kartlar

Temaslı kartlarda, kartın üzerindeki metal yüzey okuyucunun bağlantı noktalarına değmelidir. Okuyucu karta enerji sağlar ve veri alışverişini bu fiziksel bağlantı üzerinden gerçekleştirir. Kartı POS cihazına takarak ödeme yapmak, bu çalışma biçiminin en bilinen örneklerinden biridir.

Temaslı entegre devreli kartlarda ISO/IEC 7816 standart ailesi önemli bir yere sahiptir. Bu standartlar, fiziksel özelliklerden komut ve yanıt yapılarına kadar çeşitli konuları kapsar.

Temassız akıllı kartlar

Temassız akıllı kartlarda, kart gövdesinin içine yerleştirilmiş bir anten bulunur. Okuyucu bir elektromanyetik alan oluşturur; kart bu alana yeterince yaklaştığında anteni aracılığıyla enerji toplar ve çipi çalıştırır. Ardından okuyucuyla kablosuz veri alışverişi başlar.

Ödeme ve ulaşım uygulamalarında yaygın kullanılan yakınlık kartları 13,56 MHz frekansında çalışır ve çoğunlukla ISO/IEC 14443 standart ailesine dayanır. Kullanıcıdan genellikle kartını okuyucuya birkaç santimetre yaklaştırması beklenir. Gerçek çalışma mesafesi antene, okuyucuya ve uygulama koşullarına bağlıdır.

Çift arayüzlü akıllı kartlar

Çift arayüzlü kartlarda aynı çipe hem metal temas noktaları hem de anten üzerinden erişilebilir. Banka kartınızı bir işlemde POS cihazına takıp başka bir işlemde temassız kullanabilmeniz buna örnektir. Tek kart gövdesinde birbirinden bağımsız çipler bulunduran hibrit kartlar ise teknik olarak farklı bir yapıdadır.

Akıllı kartın çalışma prensibi: Adım adım işlem süreci

Her uygulamanın ayrıntıları farklı olsa da mikroişlemcili bir akıllı kartın çalışma süreci genellikle şu aşamalardan oluşur.

1. Kart enerji alır ve etkinleşir

Temaslı kart, okuyucuya takıldığında elektriksel bağlantı üzerinden beslenir. Yaygın temassız kartlar ise okuyucunun oluşturduğu elektromanyetik alandan enerji sağlar. Bu nedenle günlük hayatta kullanılan akıllı kartların büyük bölümünde pil bulunmaz.

2. Okuyucu ve kart iletişimi başlatır

Okuyucu, kartın desteklediği iletişim özelliklerini belirler ve kullanılacak uygulamayı seçer. Temassız sistemlerde aynı anda birden fazla kart algılanırsa, uygun protokoller kartların birbirinden ayrılmasına yardımcı olur. Bununla birlikte cüzdandaki birkaç kartı aynı anda okutmak, uygulama düzeyinde hata veya yanlış kart seçimiyle sonuçlanabilir.

3. Gerekli güvenlik kontrolleri yapılır

Uygulamaya göre kartın, okuyucunun veya her iki tarafın yetkili olup olmadığı kontrol edilir. Bu işlem kriptografik anahtarlar, dijital sertifikalar veya benzeri mekanizmalar kullanılarak gerçekleştirilebilir. Her akıllı kart sistemi aynı doğrulama yöntemlerini uygulamaz.

Örneğin bir sistem, karta her işlemde değişen bir veri gönderip karttan buna özel bir yanıt üretmesini isteyebilir. Doğru yanıtı oluşturmak için gizli anahtar gerektiğinden, daha önceki bir iletişimin kaydedilip tekrar gönderilmesi tek başına yeterli olmayabilir.

4. Komutlar işlenir ve veriler değerlendirilir

Okuyucu; veri okuma, yetki kontrolü, kayıt güncelleme veya işlem doğrulama gibi komutlar gönderir. Mikroişlemcili kart bu komutları kendi erişim kuralları çerçevesinde değerlendirir. Birçok uygulamada komut ve yanıt alışverişi APDU adı verilen veri birimleriyle yapılır.

Hassas anahtarların doğrudan dışarı verilmesi yerine, gerekli kriptografik işlemin kartın içinde yapılması temel güvenlik yaklaşımlarından biridir. Böylece kart, gizli anahtarı paylaşmadan belirli bir işlemi doğrulayabilir.

5. İşlem sonuçlandırılır

Son aşamada kart, terminal ve gerekiyorsa merkezi sistem birlikte işlem sonucunu belirler. Bu sonuç bir ödemenin onaylanması, turnikenin açılması veya kapıya giriş izni verilmesi olabilir. Karar her zaman yalnızca kart tarafından verilmez; bazı uygulamalarda banka ya da merkezi sunucu belirleyici rol oynar.

Temassız ödeme sırasında neler olur?

Temassız banka kartınızı POS cihazına yaklaştırdığınızda kart ve terminal ödeme uygulamasına uygun biçimde iletişim kurar. Çipli ödemelerde yaygın kullanılan EMV teknolojisi, işlemin doğrulanmasına yardımcı olan dinamik güvenlik verileri üretir. Bu yaklaşım, yalnızca sabit kart bilgilerinin okunmasına dayanan yöntemlerden farklıdır.

• POS cihazı ödeme tutarı ve işlemle ilgili diğer bilgileri hazırlar.
• Kart ve terminal gerekli ödeme verilerini paylaşır.
• Kart, uygulamaya uygun kriptografik işlem verisi üretir.
• İşlem çevrim içi yürütülüyorsa ilgili ödeme altyapısı üzerinden bankaya yetkilendirme talebi gönderilir.
• Terminal, aldığı sonuç ve uygulanan kurallar doğrultusunda işlemi tamamlar veya reddeder.

PIN gerekip gerekmediği; ülke düzenlemeleri, işlem tutarı, birikimli kullanım kontrolleri, kart ve terminal özellikleri gibi etkenlere bağlıdır. Temassız ödeme, her durumda şifresiz ödeme anlamına gelmez.

Toplu taşıma kartlarında bakiye nasıl tutulur?

Ulaşım kartlarının tamamında bakiye aynı yerde saklanmaz. Kart tabanlı sistemlerde bakiye, bilet veya kullanım hakkıyla ilgili bilgiler kart üzerinde tutulabilir ve yolculuk sırasında güvenli biçimde güncellenebilir.

Hesap tabanlı sistemlerde ise kart, merkezi sistemdeki bir hesabı tanımlayan araç olarak çalışır. Yolculuk kayıtları ve ücret hesaplamaları arka uç sisteminde yönetilir. Kart ve merkezi kayıtları birlikte kullanan karma çözümler de vardır.

Bu ayrım, çevrim içi yüklenen bakiyenin neden bazen karta ayrıca aktarılması gerektiğini açıklar. Bazı altyapılarda yükleme talimatı, kart uygun bir okuyucuya okutulduğunda kartın belleğine işlenir.

Akıllı kartlar ne kadar güvenlidir?

Modern ve doğru yapılandırılmış akıllı kartlar güçlü güvenlik özellikleri sunabilir. Ancak çip bulunması tek başına güvenlik garantisi değildir. Kullanılan algoritmalar, anahtarların korunması, okuyucuların güvenliği ve merkezi sistemin tasarımı birlikte değerlendirilmelidir.

• Kriptografik doğrulama: Kartın veya işlem verisinin gerçekliğini kontrol etmeye yardımcı olur.
• Erişim yetkileri: Belirli verilerin yalnızca yetkili uygulamalar tarafından okunmasını ya da değiştirilmesini sağlar.
• Dinamik işlem verileri: Kaydedilmiş eski verilerin yeniden kullanılmasını zorlaştırır.
• Deneme sınırları: Bazı kartlarda yanlış PIN girişlerinin sayısı sınırlandırılır.
• Donanımsal korumalar: Güvenli çiplerde fiziksel müdahalelere ve belirli analiz yöntemlerine karşı önlemler bulunabilir.

Buna karşılık eski veya zayıf kart teknolojileri, hatalı yapılandırmalar ve kötü anahtar yönetimi risk oluşturabilir. Yalnızca kartın UID adı verilen tanımlayıcısını kontrol eden bir kapı sistemi, kriptografik doğrulama kullanan bir sistemle aynı güvenlik düzeyinde değildir. Kart tanımlayıcısı, gizli parola gibi değerlendirilmemelidir.

Ayrıca temassız iletişimin kısa mesafeli olması, bütün saldırıları kendiliğinden engellemez. Kart ile terminal arasındaki iletişimi başka bir noktaya ileten aktarma saldırıları gibi risklere karşı sistem düzeyinde ek önlemler gerekebilir.

Akıllı kart, RFID ve NFC arasındaki fark nedir?

Bu kavramlar birbiriyle ilişkilidir ancak aynı anlama gelmez. Akıllı kart, çip üzerinde veri saklama ve gerektiğinde işleme yeteneği bulunan kartı tanımlar. RFID, radyo frekanslarıyla tanımlama ve veri iletişimi sağlayan geniş bir teknoloji ailesidir. Her RFID etiketi, gelişmiş güvenlik işlevleri olan bir akıllı kart değildir.

NFC, 13,56 MHz bandında çalışan kısa menzilli iletişim teknolojisidir. Uyumlu NFC cihazları belirli temassız kartlarla iletişim kurabilir. Ancak bir telefonda NFC bulunması, o telefonun her kartı okuyabileceği, karttaki korumalı verilere erişebileceği veya kartı kopyalayabileceği anlamına gelmez.

Akıllı kart kullanırken nelere dikkat edilmeli?

• Kartınızı aşırı bükmeyin; çip bağlantıları veya gövde içindeki anten zarar görebilir.
• Kart kaybolduğunda ilgili banka, kurum veya ulaşım işletmesi üzerinden gerekli bildirim ve iptal işlemlerini yapın.
• PIN kodunuzu kartın üzerine yazmayın ve başkalarıyla paylaşmayın.
• Ödeme öncesinde terminaldeki tutarı kontrol edin.
• Okuma sorunlarını azaltmak için kullanacağınız temassız kartı diğer kartlardan ayırarak okutun.
• Özellikle kurumsal kullanımda, kartı nerelerde kullanabileceğinize ilişkin kurumun güvenlik kurallarına uyun.

Akıllı kartlar hakkında sık sorulan sorular

Akıllı kart internet olmadan çalışır mı?

Evet, kartın enerji alması ve okuyucuyla iletişim kurması için internet bağlantısı şart değildir. Ancak işlemin tamamlanması kullanılan sisteme bağlıdır. Bazı erişim veya ulaşım uygulamaları çevrim dışı çalışabilirken bazı ödeme ve hesap tabanlı işlemler merkezi sistem bağlantısı gerektirir.

Akıllı kartın pili biter mi?

Standart temaslı kartlarda ve yaygın pasif temassız kartlarda pil yoktur. Bu kartlar enerjilerini okuyucudan alır. Ekran veya özel elektronik işlevler içeren bazı kart tasarımları ise pil kullanabilir.

Akıllı kartlar kopyalanabilir mi?

Bu sorunun yanıtı kartın teknolojisine bağlıdır. Bazı eski veya yalnızca sabit tanımlayıcıya dayanan sistemler kopyalama ve taklit risklerine daha açıktır. Modern kriptografik kartlarda görünen bilgilerin kopyalanması, gizli anahtarların ve doğrulama işlevlerinin de kopyalandığı anlamına gelmez. Bununla birlikte hiçbir sistem için koşulsuz güvenlik garantisi verilemez.

SIM kart da bir akıllı kart mıdır?

Evet. Yaygın olarak SIM kart adıyla anılan fiziksel kartlar, mobil şebekede abone kimliğinin doğrulanmasına yardımcı olan güvenli çip ve uygulamalar içerir. eSIM ise bu işlevleri çıkarılabilir bir kart yerine cihaza gömülü, uzaktan profillendirilebilen güvenli bir bileşen üzerinden sunar.

Sonuç: Akıllı kartın asıl gücü güvenli işlem yapabilmesidir

Akıllı kartların çalışma prensibi; okuyucudan enerji alma, iletişim kurma, uygulamanın gerektirdiği kontrolleri yapma ve işlem sonucunu üretme adımlarına dayanır. Mikroişlemcili kartları basit veri taşıyıcılarından ayıran temel özellik, hassas bilgileri korurken kart içinde güvenlik işlemleri gerçekleştirebilmeleridir.

Ödeme, ulaşım veya bina erişimi için kullanılsa da bir kartın nasıl çalıştığını anlamanın en doğru yolu yalnızca görünüşüne bakmak değil; iletişim yöntemini, doğrulama mekanizmasını ve bağlı olduğu sistemi birlikte değerlendirmektir.