GN⁺: Apple Pay 작동 방식에 대한 오해

디지털 지갑과 "오직 애플 페이만이 이것을 한다"는 신화

• 애플 페이는 훌륭하지만, 그 작동 방식에 대해 오해가 있는 것 같음.
• 애플 페이를 통한 지불은 실제 신용카드 번호를 숨겨 소매업체가 고객을 추적하는 것을 방지함.
• DPAN과 FPAN의 차이점을 설명함. FPAN은 실제 카드에 인쇄된 번호이고, DPAN은 기기에 할당된 고유 번호임.
• DPAN은 DNS 레코드와 비슷하며, 애플 페이를 사용할 때마다 다른 DPAN이 생성됨.
• DPAN은 애플 페이만의 기능이 아니라 모든 디지털 지갑의 표준 기능임. 구글 페이와 삼성 페이도 동일한 기능을 제공함.
• 아마존 페이와 샵 페이 버튼도 실제 FPAN을 소매업체로부터 숨김.
• 은행들도 자체 디지털 지갑을 통해 DPAN을 사용하여 실제 계좌 번호를 보호함.

고객 추적 문제

• DPAN이 거래마다 바뀐다는 주장은 사실이 아님. 같은 소매업체에서의 연속 거래에 대해 DPAN은 동일함.
• DPAN은 여러 소매업체 간의 거래 데이터를 결합하여 쇼핑 경향을 파악하는 것을 어렵게 만들지만, 단일 소매업체가 고객의 거래 내역을 추적하는 것을 막지는 못함.
• 데이터 유출 시 DPAN이 고객에게 더 안전함. DPAN은 각 거래마다 고유한 암호화된 번들의 일부로 제출될 때만 작동하기 때문에 해커가 사용할 수 없음.

애플 페이의 개인 정보

• 애플 페이가 개인 정보를 숨긴다는 생각은 사실이 아님.
• 실제 애플 페이 거래를 테스트하여 상인 수준의 보고서를 확인함. 거래 시 청구 및 집 주소, 전체 이름, 이메일 주소가 상인에게 전달됨.
• 애플 페이 SDK는 상인이 고객으로부터 얻고자 하는 개인 정보를 선택할 수 있게 함.
• 애플 페이 결제 카드가 나타날 때, 그 카드에 있는 모든 정보가 상인에게 전송됨.

결론

• 애플 페이는 훌륭한 지불 방법이며 디지털 지갑을 대중화하는 데 큰 역할을 함.
• 애플 페이가 제공하는 기능은 업계에서 독특하지 않음. DPAN은 여러 소매업체 간의 구매 추적을 어렵게 하고 데이터 유출 시 고객을 보호함.
• 모든 디지털 지갑의 작동 방식에 대해 모든 사람이 알고 있을 것으로 기대하는 것은 비현실적임. 이러한 정보를 공유하는 것이 유용함.

GN⁺의 의견

• 이 기사는 디지털 지갑과 관련된 일반적인 오해를 해소하는 데 도움이 됨. 특히 애플 페이가 업계에서 유일하게 제공하는 기능을 가지고 있다는 잘못된 인식을 바로잡음.
• 기사는 DPAN과 같은 기술이 고객의 개인 정보 보호에 어떻게 기여하는지 설명함으로써, 사용자들이 디지털 지갑을 더 안전하게 사용할 수 있도록 교육하는 데 기여함.
• 비판적인 시각에서 볼 때, 기사는 디지털 지갑이 완벽한 개인 정보 보호 솔루션은 아니라는 점을 강조함. 예를 들어, 단일 소매업체가 고객의 거래 내역을 추적하는 것을 막지 못한다는 점을 지적함.
• 업계에는 애플 페이와 유사한 기능을 제공하는 다양한 디지털 지갑이 존재함. 예를 들어, 구글 페이나 삼성 페이는 사용자의 신용카드 정보를 보호하는 유사한 기능을 제공함.
• 기술을 도입할 때 고려해야 할 사항으로는, 사용자의 개인 정보 보호 수준과 해당 기술이 실제로 제공하는 보안 수준을 이해하는 것이 중요함. DPAN을 사용함으로써 얻는 이점은 데이터 유출 시 고객의 신용카드 정보가 직접적으로 노출되는 것을 방지할 수 있다는 점임.

[neo]

Hacker News 의견

• 애플과 구글 페이의 작동 원리에 대해 ELI5(5살 아이에게 설명하듯이)로 설명해달라는 요청이 있음. 사용자는 이 서비스들이 신용카드 정보를 가맹점이나 결제 게이트웨이에 전달한다고 생각했으나, 애플/구글이 결제 게이트웨이나 결제 방식 역할을 하는 것 같은 인상을 받음. 이들이 모든 거래 데이터를 수집하며, 애플/구글 페이를 지원하기 위해 결제 단말기에 특별한 지원이 필요한 것으로 보임. 그러나 다른 댓글에서는 애플 페이가 표준에 깊이 뿌리박고 있다고 주장함. 애플과 구글의 독점적인 요소는 무엇이며, 왜 이 앱들을 오픈소스 대안으로 대체하기 어려운지, NFC 칩에 대한 애플/구글의 전용 접근 때문인지 궁금해함.
  • 애플 페이가 일반화되기 시작했을 때, 한 사용자는 자신의 소매 결제 처리 경험을 통해 애플 페이를 면밀히 조사함. 당시 애플 페이가 업계 표준에 얼마나 깊이 뿌리박혀 있는지에 대해 인상 깊었음. 무선 통신 기술부터 애플 특유의 것이 전혀 없었으며, 이는 현재까지도 유지되고 있음. 일부 가맹점들이 애플 페이를 의도적으로 수락하지 않으려고 시스템을 변경해야 했던 사례가 있음(CVS가 특히 기억남). 이는 가맹점이 경쟁 결제 시스템을 차별화하려는 의도에서 비롯됨. 저자가 최근의 상황에 대해 다시 검토한 것에 대해 긍정적으로 평가함.*
  • 애플 페이와 같은 디지털 지갑 거래가 기존 카드 번호를 사용하는 거래만큼 추적 가능하다는 점이 논의에서 빠져 있음. 디지털 지갑 결제가 기존 카드나 카드 번호를 사용하는 결제보다 더 개인정보 보호가 되는 것으로 기대하지 말 것을 조언함.*
  • 매트 버치러의 포스트가 DPAN(디바이스별 결제 계좌 번호)이 가맹점별로 다르다는 잘못된 정보를 수정함. 애플의 공식 문서에 따르면 DPAN은 디바이스별로만 고유하며, 카드가 제거되고 다시 추가되지 않는 한 변경되지 않음. 따라서 두 개의 다른 디바이스(예: 아이폰과 애플 워치)에서 동일한 카드를 사용할 때 추적될 수 없지만, 동일한 디바이스에서 다른 가맹점을 거래할 때 데이터 브로커에 의해 추적될 수 있음을 지적함.*
  • SSO(단일 로그인)와 모바일 결제가 표준 인터페이스가 아니며, 왜 "구글로 로그인"이나 "애플로 로그인" 대신 "내가 설정한 기본 SSO 제공자로 로그인"이 아닌지에 대한 의문을 제기함. 또한 많은 벤더나 사이트가 이러한 제공자 중 일부만 지원하여 SSO가 실제로 SSO가 아니게 됨. 공통된 사양에 모든 벤더가 따라야 하며, 그렇지 않으면 미래에 법으로 이러한 표준이 정해질 것이라고 예상함.*
  • 애플 페이가 결제 시 개인 정보 수집을 얼마나 할지 가맹점이 결정하며, 애플 페이가 체크아웃 시 정보 요청을 막지 않음. 실제 상점에서 쇼핑할 때도 이런 일이 발생하는지, 애플/구글이 명백히 필요하지 않은 정보를 공유하는 데 동의를 요구하는지에 대한 의문을 제기함.*
  • 애플 페이가 호주에서 출시되었을 때, 이미 현지 대형 은행들이 수년간 무접촉 결제 사용을 증가시키기 위해 노력했음. 애플이 들어와 미국식 수수료를 요구했을 때, 모든 인프라는 이미 은행들에 의해 구축되어 있었음. 현지 대형 은행들은 고객 압력이 너무 커져서 결국 애플 페이를 지원하기로 함. 은행들은 여전히 이에 대해 불만을 가지고 있으며, 규제기관이 NFC 칩을 강제로 개방하도록 하면 애플 페이를 즉시 중단할 것임.*
  • 애플 페이가 거래 승인 전에 결제할 금액을 화면에 표시하지 않는 이유에 대한 의문을 제기함. 이는 UX 문제가 아니라 애플 기기가 결제 금액을 알지 못하기 때문일 것이라고 추측함.*
  • 그루버가 "오직 애플 페이만 이것을 한다"고 말한 부분이 어디인지에 대한 질문이 있음. 작성자는 그루버가 몇 가지 실수를 했거나 세부 사항을 정확히 파악하지 못했다고 지적함.*
  • 애플이 이와 같은 디지털 지갑을 대중화하는 데 훌륭한 일을 했으며, 애플 페이가 처음 출시되었을 때는 상당히 독특했으나, 지금은 업계에서 독특하지 않음을 언급함. 초기의 다른 전화 결제 시스템들은 카드 번호를 직접 기계로 전송했음을 회상함.*