Hintergrundfrage zu Apple Pay

[Bananenlaterne]

Ahoi!

Ich habe mich soweit schon über Apple Pay informiert und dass sie eine Art virtuelle Einmal-Kredikarte erzeugen usw.

Was ich mich nur frage ist Folgendes: Dem Bezahlterminal muss ja eigentlich die richtige Banknummer gesagt werden, sonst kann diese die Karte ja nicht belasten. Das bedeutet wiederum, dass das iPhone meine echte Kartennummer weiß.

Wo wird diese Info gespeichert? Nur lokal? Was ist wenn ich ein iCloud Backup mache? Ist dann meine Kreditkarte in der iCloud (Backup File) gespeichert?

Kenn mir das wer ein bißchen detaillierter erklären, wie das genau im Hintergrund abläuft?

 

[SomeUser]

Apple Pay – Wikipedia

de.wikipedia.org

Funktionsweise

 

[Bananenlaterne]

Natürlich komm ich als Letztes auf die offensichtliche Website. -.-

Aber eine Frage ist dann immer noch offen. Oben steht, dass die Kartendaten auf dem Secure Chip gespeichert werden und weiter unten steht dann aber "Laut Apple werden die für Apple Pay erforderlichen Kartendaten weder auf dem Gerät noch auf Apples Servern gespeichert.". Das widerspricht sich doch.

 

[_macminimal]

Also ich habe meine KK in der Bank-App der Anbieter-Bank "freigeschaltet". D.h. von dort aus wird "die Karte" an Wallet "übergeben". Das ermöglicht theoretisch, das Apple keine Daten "irgendwo" speichern muss, sondern lediglich die Authentifizierung bereitstellt. Worauf zielt die Analyse hier genau ab?

edit: Sehe gerade bzw fiel mir ein, dass man auch in Wallet direkt Karten erstellen kann. Es geht also so und so...

 

[SomeUser]

Nein, die Secure Enclave ist ein eigenes, abgeschottes System.

Secure Enclave

Die Secure Enclave ist ein dediziertes sicheres Subsystem in den aktuellen Versionen von iPhone, iPad, Mac, Apple TV, Apple Watch und HomePod.

support.apple.com

Letztlich "teilen" sich die beiden Systeme das Gehäuse, i.w.S..

 

[Bananenlaterne]

Worauf zielt die Analyse hier genau ab?

Naja, ich bin ziemlich auf Datenschutz unterwegs, weshalb ich auch lange Zeit GrapheneOS genutzt habe und PC seitig auf Linux unterwegs bin. Gerade bei Bankdaten will ich haarklein wissen wer welche Daten hat. Immerhin kommt mit Apple Pay ja eine vierte Partei (Apple) mit ins Spiel. Bei Kartenzahlung nur drei und bei Bargeld nur 2.

 

[_macminimal]

Das ist korrekt. Wie zahlst du zZ im AppStore?

edit: Ok, du meinst sicher die Daten wann und wo du einkaufst. Nunja, einen Tod wirst du sterben müssen, wenn du dich schon mit dem Thema beschäftigst. Ich hatte dabei auch Bedenken. Allerdings habe ich mich entschieden Apple meine Daten anzuvertrauen, statt überall meine Karte mit hinzunehmen, was zB das nicht zu unterschätzende Risiko des physischen Verlusts inkl. Missbrauchs mit sich bringt. Im Internet nutze ich nur Shops die Apple Pay anbieten. Mein KK-Daten bei einzelnen Shops einzugeben mag ich gar nicht.

 

[Bananenlaterne]

Das ist korrekt. Wie zahlst du zZ im AppStore?

Tatsächlich mit Prepaid Guthaben.

Aber unterm Strich heißt das, dass Apple meine KK-Daten lokal auf diesem Spezial Chip speichert und sonst nichts?

 

[mainzer999]

Tatsächlich mit Prepaid Guthaben.

Aber unterm Strich heißt das, dass Apple meine KK-Daten lokal auf diesem Spezial Chip speichert und sonst nichts?

Ja, und bei einem iPhone-Wechsel müssen die Karten wieder über die Bank aktiviert werden.
Sie sind somit nicht so gespeichert das sie über in Backup oder die Cloud geladen werden können.

 

[_macminimal]

So verstehe ich es, ja. Mangels Expertise bin ich aber eh in der Position, so etwas bis zu einem tragfähigen Gegenbeweis zu glauben. Aber unterm Strich vage ich zu behaupten, dass wenn alles so funktioniert, die Nutzung der biometrischen Legitimation von Zahlungen über Apple Pay am sichersten ist, ggü alternativen Nutzungsarten. Vermutlich auch was die Datenübermittlung angeht. Welche (biometrische) Authentifizierung du nutzt, ist deine Wahl.

 

[SomeUser]

Aber unterm Strich heißt das, dass Apple meine KK-Daten lokal auf diesem Spezial Chip speichert und sonst nichts?

Ja, so wie ich es oben schon dargestellt habe bzw. in den verlinkten Artikeln zu entnehmen ist.
Ob das Konzept faktisch der Beschreibung entspricht, gilt es zu widerlegen.

Gerade bei Bankdaten will ich haarklein wissen wer welche Daten hat. Immerhin kommt mit Apple Pay ja eine vierte Partei (Apple) mit ins Spiel. Bei Kartenzahlung nur drei und bei Bargeld nur 2.

Mit welcher Zielsetzung und zur Abwehr welcher konkreter Gefahren/Risiken?
Geht es generell um Datenschutz, wäre eine Nicht-Nutzung von Smartphones, ohnehin der bessere Weg. Alleine der Umstand, wie viele Geräte in deiner Umgegebung, Funkmasten, ggf. Apps, Sicherheitslücken in iOS oder Apps, etc. pp. dein Tracking bzw. das Erheben von Meta-Daten erlauben, spricht dafür, diesenfalls auf ein solches Gerät zu verzichten.

Ich habe an der Stelle häufig das Gefühl, dass es eine sehr, sehr, sehr abstrakte Angst vor "irgendwas" gibt - nur, dass dieses "irgendwas" nicht benannt werden kann. Weder, was die Gefahr sein soll, noch was sie einem konkret anhaben soll. Insofern: Butter, Fische. Und so.

 

[Verlon]

Aber unterm Strich heißt das, dass Apple meine KK-Daten lokal auf diesem Spezial Chip speichert und sonst nichts?

Nein, Apple speichert nirgendwo deine Kreditkartennummer. Sie wird nur temporär bei der Einrichtung gespeichert (und der Bank gesendet) und danach wieder gelöscht. Es wird eine Device Account Number erzeugt, die die Bank deiner Kreditkarte zuordnen kann. Weder das Terminal bekommt deine Kreditkartennummer, noch ist sie auf dem Gerät oder bei Apple gespeichert. Die Device Account Number ist in der Secure Enclave und somit vom restlichen System abgeschottet. Sie kann daher auch nicht in der cloud oder im Backup gespeichert werden.

 

[Bananenlaterne]

Ich habe an der Stelle häufig das Gefühl, dass es eine sehr, sehr, sehr abstrakte Angst vor "irgendwas" gibt - nur, dass dieses "irgendwas" nicht benannt werden kann.

Es geht ums Prinzip. Ich habe lange Zeit GrapheneOS genutzt, eben weil es komplett ohne Google Services auskommt, also ein "Android ohne Google". Das ist auch das einzige OS, das im Flugmodus die Verbindung zum Sendemast kappt. Es gibt keine akute Bedrohung, aber jedes Bit an Daten das NICHT von mir im Interwebs oder irgendwelchen Firmenservern landet ist schon mal gut. Google mal "Deanonymisierung". Ich habe es damals schon gehasst, wenn die Lehrerin bei einer Klassenarbeit hinter mir stand und mir über die Schulter schaute. Das ist bei Smartphones nichts Anderes, nur, dass hier ein Konzern hinter dir steht. Ist eh nur wegen dem "guten Gefühl".

Nein, Apple speichert nirgendwo deine Kreditkartennummer. Sie wird nur temporär bei der Einrichtung gespeichert (und der Bank gesendet) und danach wieder gelöscht.

Sprich, es ist wie bei encryption, dass die Bank meine Public Key hat. Ich meine, irgendwie muss die virtuelle Nummer ja einer realen Nummer zugewiesen werden. Wie sonst soll das Geschäft wo ich bezahle dann das Geld von meiner Bank bekommen.

 

[fLuP]

Das Geschäft bekommt nicht das Geld von deiner Bank sondern von seinem Zahlungsdienstleister.

 

[Paule187]

Erklärt vllt. auch einiges: