To nie maszyna losująca
Jeśli myślicie, że bank wszystkie je losuje, to jesteście w błędzie. Ten ciąg cyfr to efekt naszej kochanej matematyki, która – co może szokować w dobie sztucznej inteligencji i kryptowalut – opiera się na prostym wzorze wymyślonym w 1954 roku przez inżyniera IBM. Tak, nasze finanse częściowo wiszą na patencie z czasów, gdy komputery były wielkimi szafami zajmującymi całe piętra.
Zacznijmy od tego, co widzi system, gdy wklepujecie numer karty w formularzu płatności. ISO/IEC 7812 – nie musicie pamiętać tego numerka, ale to właśnie dzięki niemu nasza karta płatnicza zadziała nie tylko w Polsce czy Unii Europejskiej, ale także np. w Stanach Zjednoczonych czy Japonii. Ciąg cyfr karty płatniczej to PAN (Primary Account Number), to dzięki niemu system wie, dokąd wysłać zapytanie o pieniądze.
Zacznijmy od początku: pierwsza cyfra mówi, z jakiej „rodziny” jest karta. Jeśli karta zaczyna się od cyfry 4, to jest to karta Visa. MasterCard ma do dyspozycji cyfrę 5 i 2, a American Express 3. Są oczywiście dostępne także inne kombinacje. Przez wiele lat pierwsze sześć cyfr PAN zawierało informację nie tylko o operatorze karty, ale także banku, do którego należy karta.
W ostatnich latach widzimy jednak rozwój fintechów, kart wirtualnych co sprawiło, że trzeba było zwiększyć liczbę numerów w puli. Od 2022 roku świat finansów przechodzi na standard 8-cyfrowy. System może teraz obsłużyć 100 razy więcej identyfikatorów banków kosztem liczby rachunków. Kolejne cyfry (oprócz ostatniej) identyfikują naszą konkretną kartę/rachunek w banku.
Ostatnia cyfra
No i wreszcie ona: ostatnia cyfra. Ta, która wygląda jak każda inna, ale pełni rolę kontrolera jakości. Nazywa się ją Cyfrą Kontrolną i jest obliczana za pomocą algorytmu Luhna. Wymyślił go inżynier IBM Hans Peter Luhn w latach 50., gdy największym zagrożeniem dla bezpieczeństwa kart nie był haker, tylko człowiek, który się myli przy przepisywaniu numerów. Idea jest prosta: system ma szybko wyłapać literówki lub przestawienia cyfr.
Jak to działa w praktyce? Weźmy wymyślony numer: 4246 7123 4567 890X. Wiemy, że jest to karta Visa. Sprawdziłem na stronie do wydobywania informacji z pierwszych sześciu cyfr z karty, i strona oznajmiła, że to karta wydana przez ING Bank Śląski. No to do dzieła, „odpalamy” algorytm Luhna na naszej karcie.
Patrzymy na pierwsze 15 cyfr i idziemy od prawej strony (od zera), podwajając co drugą cyfrę. Jeśli po podwojeniu wyjdzie liczba dwucyfrowa, to ją „spłaszczamy” do jednej cyfry, czyli dodajemy jej cyfry, więc np. 2 razy 6 równa się 12, więc dostajemy 3. Jedziemy: 0 zostaje 0, podwojenie 9 daje nam 9, 8 zostaje, podwojona 7 to 5, i tak dalej. Zsumujmy wszystko razem od prawej: 0+9+8+5+6+1+4+6+2+2+7+3+4+4+4=65. Żeby cały numer był poprawny w rozumieniu algorytmu Luhna, suma razem z ostatnią cyfrą ma się kończyć na 0, czyli być podzielna przez 10. Najbliższa dziesiątka powyżej 65 to 70, więc 70-65=5. To oznacza, że X=5, więc numer karty kończy się na 5.
To nie najważniejsze zabezpieczenie
Spokojnie, to nie na algorytmie Luhna wiszą wszystkie zabezpieczenia. To lokalny test matematyczny, który ma wyłapać głupią literówkę. Luhn nie mówi, czy karta istnieje, czy ma środki, czy nie jest zastrzeżona, ani czy to ty masz prawo nią płacić. On tylko mówi: „ten ciąg cyfr jest logicznie zbudowany i wygląda jak numer karty, a nie jak przypadkowe stukanie w klawiaturę”.
Właśnie dlatego da się wygenerować mnóstwo numerów, które przejdą Luhna, ale to nadal nie czyni z nich działających kart. Prawdziwe bezpieczeństwo siedzi gdzie indziej: w kodzie CVV/CVC, w chipie EMV, który przy transakcji tworzy jednorazowy kryptograficzny „podpis”, oraz w tokenizacji (czyli sytuacji, gdy w Apple Pay/Google Pay często nawet nie widzi twojego prawdziwego numeru karty, tylko jego bezpieczny zastępnik).
Ale to jak, numer karty nic nie znaczy? Nic z tych rzeczy. Numer karty to wciąż dane, których nie rozdaje się „bo kolega pyta”. Matematyka jest wspaniała elegancka i dzięki niej ten świat jakoś działa, ale nie zastępuje zdrowego rozsądku.
