Giorgio Porazzi
Cosa sta a indicare HCE ?
C’è una definizione genuina… indicata come soluzione ai problemi che hanno fino ad oggi condizionato gli insuccessi ed i ritardi nell’adozione su larga scala di soluzioni NFC su piattaforma mobile, soluzione che ha avuto il benestare ed il supporto dei circuiti internazionali.
Ma ce n’è una seconda, mia e diciamo di fantasia, a indicare tre termini che hanno permesso un salto di qualità in termini di funzionalità e di sicurezza nella diffusione d’uso delle carte di pagamento.
Con l’HCE, e da qui intendo nella sua definizione genuina, si elimina la necessità di inserire nel Secure Element hardware del telefonino (sim, sd … dispositivo) i dati della cartai i quali, diversamente, risultano memorizzati presso il centro autorizzativo dell’emittente in modalità “cloud”. Tale spostamento però non è da intendersi dal solo punto di vista logistico (lo spostamento dei dati) bensì nella rinuncia ad utilizzare la capacità crittografica hardware protetta del secure element nel memorizzare e processare tali dati in una sessione sicura con il terminale.
Il telefonino diventa a questo punto un semplice trasduttore che mette in comunicazione il terminale POS con l’immagine carta memorizzata nella “rete”. Il processo attuale tra POS e Secure Element viene diviso in due parti demandando l’attività (locale) del SE alle applicazioni sulle immagini carta dell’issuer (in remoto).
Sotto un certo punto di vista, e sempre con parallelismo alle carte, è come se si togliesse alla carta di pagamento il chip e la si utilizzasse con la banda magnetica (in modalità online) o, a guardare un pò oltre, è impostare il modello operativo del mondo brick&mortar come quello del mondo dell’e-commerce: rendere inutile la presenza fisica della carta.
Certo, l’HCE permette una maggior libertà di sviluppo e quindi di proposizione al mercato, favorendo sicuramente un maggior dinamismo e sviluppo dell’NFC, grazie alla possibilità di memorizzare i dati carta nel “cloud” piuttosto che nel Secure Element del telefonino.
Le applicazioni meno sensibili al problema della sicurezza troveranno sicuramente un boost enorme sia nello sviluppo che nella diffusione, fatti salvi eventuali problemi legati alla necessità della connessione ed al “timing” di tali applicazioni, come nel caso del ticketing. In generale, comunque, il modello HCE dell’NFC è sicuramente efficace, garantendo una enorme libertà soprattutto ai servizi degli esercenti (e non solo).
Anche i pagamenti potranno essere effettuati tramite delle APP del telefonino più semplici da realizzare e da diffondere. Ciò permetterà in definitiva una enorme libertà agli emittenti degli strumenti di pagamento, che potranno con accresciuta efficacia sviluppare le loro APP per soddisfare le esigenze dei consumatori (che comunque ignorano la tecnica sottostante).
Nessun condizionamento da SIM, dalla presenza di slot SD o altro add-on esterno; qualunque telefonino potrà scaricare una APP per iniziare la nuova esperienza d’utilizzo.
In definitiva, l’HCE è la risposta al problema dell’allungamento della filiera che il pagamento NFC con il telefonino aveva evidenziato. Scompaiono le barriere legate al bisogno di collaborazione tra una folta schiera di attori che includono oltre al tradizionale ecosistema di Banche, Processor, Issuer ed Acquirer anche gli Operatori Telco, i Trusted Service Manager (TSM) ed i SIM providers. Così come scompaiono gli ostacoli tecnici che le relative implementazioni avevano incontrato.
Sembra fin troppo semplice, ma non esiste un prezzo da pagare per questa adozione e soprattutto è sostenibile nel tempo ed a vantaggio di chi?
L’esperienza ci ha infatti insegnato che esiste sempre l’altra faccia di ogni medaglia. E in un sistema dove i numeri in gioco sono interessanti, è difficile contrastare iniziative che cercano di sfruttare possibili “brecce” delle soluzioni immesse nel mercato.
E anche l’HCE presenta, a mio modo di vedere, delle brecce.
La prima è legata alla sicurezza.
Togliere l’approccio hardware a favore di routine software semplifica sicuramente il processo, ma rende più vulnerabile il servizio, essendo lo smartphone un computer con un sistema operativo che, al pari appunto dei PC, permette attacchi ben più facili da effettuarsi e ben più difficili da evitare, se non ricorrendo a ulteriori elementi a protezione delle transazioni. Come per le APP bancarie, nelle nuove APP di pagamento che si rilasceranno, per proteggere efficacemente l’approccio Cloud, e quindi il canale di comunicazione del telefonino con il sistema autorizzativo, si proporranno utilizzi di PIN, Password o genericamente di Token, anche con approcci time variant (e con l’uso di hardware crittografici presso l’issuer).
Conseguentemente si modificheranno le nostre user experience dipendentemente dai canali in uso, a svantaggio del consumatore e di fatto vanificando la semplificazione che si ritiene di ottenere.
Ma questo potrebbe modificare l’efficacia della soluzione, oltre che snaturare la caratteristica di vedere il telefonino come un sostituto della carta.
Ma, da un punto di vista strategico, non è la sicurezza il punto più delicato che viene messo in discussione nell’attuale ecosistema.
Togliere dal telefonino il Secure Element Hardware e ricorrere al Cloud per il processo autorizzativo (e parte di quello di handshaking dove carta e terminale si riconoscono reciprocamente come genuini), abbiamo detto, è come togliere il chip dalla Carta ovvero, usando toni decisi, passare da un approccio alla sicurezza tipico dell’ambiente Card-Present a quello tipica dell’ambiente Card-Not-Present.
Questo, e siamo alla seconda “breccia”, permetterà a chiunque più libertà nel veicolare al mercato delle APP di pagamento NFC anche senza essere l’issuer delle carte, ma confidando in accordi commerciali con essi, facendo leva sulle proprie proposizioni commerciali.
Se inizialmente l’HCE sembra spostare l’ago operative dalla parte delle Banche, a lungo termine potrebbe quindi rivelarsi una scelta pericolosa. La iniziale indipendenza dalle Telco e dai tecnicismi correlati all’uso del SE, che con troppa fretta si sta cercando di eliminare, potrebbe alla lunga trasformarsi in … indipendenza dalla Banche.
Il mondo dell’e-commerce e la recente sfida sui wallet non sono parchi di segnali in tal senso.
In internet, il modello Card-Not-Present ha permesso la nascita e quindi il rafforzamento di soggetti terzi che hanno via via eroso la posizione di ruolo di quelli tradizionali, sicuramente non sempre penalizzanti l’esperienza dei consumatori, ma altrettanto sicuramente svantaggiando coloro che maggiormente sostengono i costi dei sistemi di pagamento e le emissioni di Carte e lasciando anche testimonianza di una incidenza del fenomeno fraudolento, assolutamente non comparabile percentualmente con il mondo fisico.
E’ strano non vedere azioni che possano portare il modello Card-Present anche nell’e-commerce mentre viceversa l’attività è fervida e sempre più si assiste al varo di esperienze di pagamento che cercano di togliere tale modello anche dal mondo reale.
Ma questa forse è una considerazione romantica di chi ha visto le “Carte” come parte fondamentale della propria vita lavorativa, la cui centralità vorrebbe mantenere anche con il telefonino, e che a fatica prende atto dei cambiamenti di paradigma in atto.
Oppure di chi ha visto tanti approcci alternativi software e che ritiene che “con il sotware si può fare tutto mentre con l’hardware … un pò meno, nel bene e non”.
Nel frattempo, il mercato plaude giustamente all’iniziativa.
