MIFARE-DESFire-Karten

Was ist eine MIFARE-DESFire-Karte?

Eine MIFARE-DESFire-Karte ist eine kontaktlose Chipkarte mit 13,56 MHz auf Basis eines NXP-DESFire-Chips. Sie speichert Daten in getrennten Applikationen und Dateien, die jeweils durch eigene Schlüssel geschützt sind; ab EV1 erfolgt die gegenseitige Authentifizierung mit AES-128. Systemintegratoren, Distributoren und Kartenherausgeber spezifizieren DESFire für Zutrittskontrolle, Hotelschlüssel, Campus- und Verkehrskarten, wenn ein Ausweismedium authentifiziert und nicht nur über seine UID ausgelesen werden soll. Die Auswahlregel ist kurz: Spezifizieren Sie DESFire EV3 für ein neues System, und übernehmen Sie bei einem bestehenden System die bereits freigegebene Generation, Speichergröße und das Applikationsprofil.

DESFire ist eine Produktfamilie, kein einzelner Chip. EV1, EV2, EV3 und DESFire Light unterscheiden sich in Sicherheitsfunktionen, Speicher und NXP-Lebenszyklusstatus, und Firmware und Software der Lesegeräte entscheiden, welche dieser Funktionen das Projekt tatsächlich nutzen kann. Diese Seite ist der Entscheidungsleitfaden für die gesamte Familie; für eine Nachbestellung der EV2-Generation behandelt die Seite zu MIFARE-DESFire-EV2-Karten Typbezeichnungen, Dateitypen, Befehle und die EV2-Abnahmeprüfung im Detail.

• Neues Zutritts-, Campus- oder Multi-Applikations-System: DESFire EV3, mit einer aus dem Applikationsplan abgeleiteten Speichergröße; qualifizieren Sie EV3-Muster gemeinsam mit dem Lesegeräte- und Softwareanbieter.
• Bestehende EV2-Installation: der exakte EV2-Chip und das freigegebene Ausweisprofil.
• Bestehende EV1-Installation: die installierte EV1-Spezifikation oder EV3 in dem abwärtskompatiblen Modus, den Ihr System verwendet, nachdem die Lesegeräte einen Kompatibilitätstest bestanden haben.
• Eine Applikation, begrenzter Speicher, kostengünstigeres Ausweismedium: DESFire Light, sofern Lesegerät und Software es unterstützen und die feste Dateistruktur zur Applikation passt.
• Schlüsselanhänger, Armband oder Aufkleber statt Karte: dieselbe Generation mit der „H“-Chipvariante mit erhöhter Eingangskapazität (70 pF bei EV1, EV2 und EV3; 50 pF bei DESFire Light), wo die kleinere Antenne dies erfordert.
• Umstieg von MIFARE Classic: DESFire EV3 oder MIFARE Plus, falls die Lesegeräte einen Classic-kompatiblen Modus beibehalten müssen, mit geplanter Parallelphase beider Technologien und abgestimmtem Schlüsselmanagement.

DESFire EV1, EV2, EV3 und DESFire Light im Vergleich

Alle vier nutzen die Luftschnittstelle nach ISO/IEC 14443 Typ A und Dateibefehle nach ISO/IEC 7816-4. Zwischen den Generationen ändern sich der Umfang der Sicherheitsfunktionen, die Zertifizierungsstufe und die Frage, ob NXP den Chip noch für neue Designs empfiehlt. Die Tabelle fasst die öffentlichen Produktinformationen von NXP zusammen; eine Funktion nützt nur, wenn Firmware des Lesegeräts und Applikation sie umsetzen.

D40 (MF3ICD40) ist die ursprüngliche, inzwischen abgekündigte DESFire-Generation und beherrscht nur DES und 3DES. EV1, EV2 und EV3 können deren Secure-Messaging-Modus für ältere Lesegeräte ausführen; eine D40-Installation wird daher in der Regel mit einem neueren Chip nachversorgt, nachdem die Lesegeräte einen Mustertest in diesem Modus bestanden haben.

EV3 ist die aktuelle DESFire-Hauptgeneration von NXP: Sie übernimmt den Funktionsumfang von EV2, ergänzt SUN und den Transaction Timer, und NXP gibt eine Betriebsreichweite von bis zu 100 mm an, abhängig vom Feld des Lesegeräts und der Antennengeometrie. Mit SUN erzeugt ein Antippen mit dem Smartphone einen neuen, überprüfbaren Code in einer URL – derselbe Mechanismus wie bei NTAG-424-DNA-Etiketten; die Echtheit ist jedoch nur belegt, wenn Ihr Backend den Code prüft. Common-Criteria-Zertifizierungen gelten für den Chip und sein Betriebssystem, nicht für eine fertige Karte oder eine Installation, die weiterhin Standardschlüssel verwendet.

Welche DESFire-Generation sollte ich spezifizieren?

• Warum EV3 für neue Systeme: Es ist die Generation, die NXP derzeit für neue Designs empfiehlt; sie übernimmt den Funktionsumfang von EV2 und kann in einem gemischten Bestand die Kompatibilitätsmodi für EV2, EV1 und D40 ausführen.
• Warum bei einem bestehenden EV2-Bestand bleiben: Lesegeräte, Schlüssel und Ausgabesoftware sind bereits dafür freigegeben; die Seite zu DESFire EV2 listet die 2K-, 4K- und 8K-Chips sowie die EV2-Abnahmeprüfungen auf.
• Warum vor dem Ersatz von EV1 testen: EV3 kann EV1 über seinen EV1-kompatiblen Secure-Messaging-Modus ersetzen, jedoch erst, nachdem die installierten Lesegeräte, die Software und die Schlüsselkonfiguration einen Mustertest bestanden haben; die Verfügbarkeit eines exakten EV1-Chips wird im Angebot bestätigt.
• Warum DESFire Light kein direkter Ersatz ist: Es verfügt über eine vordefinierte Applikation und einen festen Dateisatz und kann daher keine Multi-Applikations-Karte mit EV2 oder EV3 ersetzen.
• Ausschreibung oder Sicherheitsspezifikation: Lassen Sie sich die Common-Criteria-Stufe, die erforderlichen Funktionen (Transaction MAC, Proximity Check, SUN) und eine etwaige Random-ID-Einstellung vor der Musterphase schriftlich vom Systemintegrator bestätigen.

DESFire 2K, 4K oder 8K: Wie viel Speicher benötigen Sie?

Die Zahl in „DESFire 4K“ oder „DESFire 8K“ bezeichnet das EEPROM des Chips in Kilobyte. Die passende Größe richtet sich nach der Zahl der Applikationen auf der Karte, der Größe ihrer Dateien und der Zahl der Datensätze, nach dem Speicherbedarf für Schlüssel und Verwaltungsdaten des Dateisystems sowie nach Reserven für später hinzukommende Applikationen. Eine Karte mit mehr Speicher als nötig kostet mehr, ohne die Sicherheit zu erhöhen; eine Karte mit zu wenig Speicher kann die nächste Applikation nicht aufnehmen. Verstehen Sie die Tabelle als Ausgangspunkt für die Abstimmung mit Ihrem Integrator.

Die Standardchips eignen sich für Antennen im ID-1-Kartenformat; die „H“-Chips haben eine höhere Eingangskapazität für die kleineren Antennen in Schlüsselanhängern, Armbändern und Aufklebern. Chipvariante und Inlay werden gemeinsam ausgewählt, und die Lesereichweite wird mit einem Muster auf Ihrem Lesegerät bestätigt.

Kartenformate, Materialien und Personalisierung

Dieselbe DESFire-Generation ist in mehreren Ausweisformaten lieferbar, sodass ein Standort in einem System Karten an Mitarbeitende und Schlüsselanhänger oder Armbänder an andere Nutzer ausgeben kann. Für jeden Auftrag kombiniert unsere Fabrik in Shenzhen den Chip mit einem passenden Inlay und fertigt den Kartenkörper, sodass sich das Format nach Nutzer und Einsatzumgebung richtet und nicht nach einer festen Produktionslinie.

• ISO-ID-1-Karten (85,6 × 54 mm): Kartenkörper aus PVC, PET oder Verbundmaterial, mit Offset- oder Digitaldruck, glänzender oder matter Oberfläche, Unterschriftsfeld, Magnetstreifen und fortlaufender Nummerierung. Druckvorlagen und Druckoptionen finden Sie unter bedruckte RFID-Karten.
• Alternative Materialien: RFID-Karten aus Holz aus Hölzern wie Kirsche, Bambus, Ahorn oder Schwarznuss mit Lasergravur oder UV-Druck sowie Öko-Karten aus PLA oder auf Papierbasis; stimmen Sie Chip und wasserabweisende Oberfläche auf den Einsatz ab.
• Schlüsselanhänger und Tags: Gehäuse aus ABS, Epoxidharz, FR4 und weiteren Materialien auf der Seite DESFire-Tags und Schlüsselanhänger, für Bewohner und Mitarbeitende, die ein Ausweismedium am Schlüsselbund bevorzugen.
• Armbänder: Silikonarmbänder für Schwimmbäder, Fitnessstudios und Resorts sowie Hotelarmbänder für Gästezimmer und bargeldloses Bezahlen.
• Aufkleber und Etiketten: MIFARE-Aufkleber mit DESFire-Chips für Geräte und Smartphone-Hüllen, auch in On-Metal-Ausführung.
• Übergangskarten: Eine Kombikarte vereint einen 13,56-MHz-Chip wie DESFire mit einem 125-kHz-Chip, solange ein Bestand noch von Proximity-Lesegeräten umgestellt wird; die Chipkombination wird im Angebot bestätigt.

Aufgedruckte Nummern, Barcodes oder QR-Codes, die mit den kodierten Chipdaten übereinstimmen müssen, erfordern eine festgelegte Zuordnungs- und Prüfregel; nennen Sie diese in der Anfrage, damit sie im Angebot bestätigt und am Muster geprüft wird.

Kodierung und Schlüsselmanagement: Wer verwaltet die DESFire-Schlüssel?

Die Sicherheit von DESFire hängt von den Schlüsseln ab, legen Sie daher den Lieferzustand vor der Bestellung fest. Karten können im werkseitigen Transportzustand des Chips für Ihre eigene Personalisierung geliefert werden, auf Wunsch mit UID-Liste, oder über unseren RFID-Kodierservice mit den Applikationen, Dateien und Zugriffsrechten vorbereitet werden, die Ihr System erwartet. Applikations- und Masterschlüssel verbleiben beim Systembetreiber, sofern nicht ein Schlüsselkonzept und ein Übergabeverfahren schriftlich vereinbart sind; sieht Ihre Richtlinie vor, Schlüssel intern zu halten, bestellen Sie Blankokarten und kodieren Sie diese mit Ihrer eigenen Ausrüstung.

• Beschreiben Sie Applikationsaufbau, Schlüsseltyp und Diversifizierungsverfahren, ohne geheime Werte in der Anfrage oder in der Druckvorlage zu übermitteln.
• Legen Sie fest, ob Random ID aktiviert wird. Sie verbirgt die feste UID bei der Kartenauswahl, doch ein Lesegerät oder eine Software, die Karten nur anhand der UID erkennt, funktioniert damit nicht mehr.
• Vereinbaren Sie, wer den Standard-Kartenmasterschlüssel ändert, wer die Produktionsschlüssel in Lesegeräte oder SAMs lädt und wer die fertigen Karten registriert.
• Bewahren Sie die freigegebene Konfiguration auf, damit Nachbestellungen identisch vorbereitet werden.

Funktionieren DESFire-Karten mit meinem Lesegerät oder Schloss?

Ein Lesegerät, das eine Kartennummer anzeigt, hat nur die UID gelesen; es hat sich nicht gegenüber einer DESFire-Applikation authentifiziert. Lassen Sie sich vor einer Serienbestellung die folgenden Punkte vom Anbieter des Lesegeräts, des Schlosses oder der Software bestätigen, und testen Sie anschließend ein Muster im vollständigen Ausgabe- und Zutrittsablauf.

• Protokoll: Das Lesegerät unterstützt ISO/IEC 14443-4 (ISO-DEP) und den DESFire-Befehlssatz, nicht nur das Auslesen der UID bei 13,56 MHz.
• Generation und Modus: Die Firmware unterstützt den Secure-Messaging-Modus, den Ihre Applikation verwendet (D40-, EV1- oder EV2-Modus, AES- oder ältere 3DES-Schlüssel), und für EV3-Funktionen wie den Transaction Timer die neueren Befehle; SUN erfordert ein Kodiergerät, das Secure Dynamic Messaging konfiguriert, und ein Backend, das den Code prüft.
• Ausweisformat: Manche Zutrittsplattformen verwenden eigene DESFire-Applikationsformate. Wir liefern Karten für Systeme, die ein standardisiertes oder projektspezifisch definiertes DESFire-Ausweisformat akzeptieren; klären Sie mit Ihrem Systemanbieter, ob sein Format auf Karten von Drittanbietern ausgegeben werden kann.
• Gemischte Bestände: Bei einem Generationswechsel müssen die Lesegeräte die bereits im Umlauf befindlichen Karten weiterhin akzeptieren.
• Smartphones: Mit einer geeigneten NFC-App können die meisten NFC-fähigen Android-Smartphones und iPhones eine DESFire-Karte erkennen, doch das Lesen einer geschützten Applikation erfordert Ihre App und die Schlüssel; ein Antippen mit dem Smartphone allein bestätigt keine Systemkompatibilität.

Umstieg von MIFARE Classic oder MIFARE Plus auf DESFire

MIFARE Classic verwendet den Crypto-1-Algorithmus, dessen veröffentlichte Schwachstellen Classic-Karten leicht kopierbar machen, und viele Classic-Systeme gewähren Zutritt allein anhand der UID. DESFire ersetzt dies durch eine Applikationsauthentifizierung mit AES-128, allerdings nur, wenn die Lesegeräte so umkonfiguriert werden, dass sie die Applikation authentifizieren. MIFARE Plus ist die Alternative, wenn die Lesegeräte während der Migration eine Classic-kompatible Sicherheitsstufe beibehalten müssen; DESFire eignet sich für Projekte, die auf ein Modell aus Applikationen und Dateien umstellen.

• Aktualisieren Sie die Firmware der Lesegeräte, sodass sie die DESFire-Applikation mit Projektschlüsseln authentifizieren, statt eine UID zu akzeptieren.
• Erzeugen und speichern Sie die Masterschlüssel sicher, mit einem kartenindividuellen Diversifizierungsverfahren, das mit dem Integrator abgestimmt ist.
• Planen Sie eine Übergangsphase mit beiden Technologien, geben Sie die Ausweise nach einem festgelegten Zeitplan neu aus und deaktivieren Sie anschließend die alten Kartentypen in der Zutrittssoftware.
• Behalten Sie das Schema für Kartennummern oder aufgedruckte IDs bei, damit die Datenbankmigration unkompliziert bleibt.

DESFire für Hotelschlüssel und Zutrittskontrolle

Im Hotel bestimmt das Schließsystem das Ausweismedium. Einige Schließsystemplattformen nutzen DESFire, um den Zimmerzugang von anderen Applikationen wie Spa oder bargeldlosem Bezahlen zu trennen; die Karte muss zur Kodierung des Schlossherstellers und zum Kodiergerät an der Rezeption passen, was mit dem Schlossanbieter und anhand eines Musters bestätigt wird. Schlossspezifische Anforderungen finden Sie im Leitfaden zu Hotelschlüsselkarten. Für Büros, Wohnanlagen und Campus vergleicht der Leitfaden zu Schlüsselanhängern für die Zutrittskontrolle 125-kHz-Proximity-Anhänger mit MIFARE-Classic- und DESFire-Ausweismedien.

DESFire-Karten und Muster bestellen

Standardmuster für DESFire sind über das Musterpaket kostenlos; für individuelle Muster mit Ihrer Druckvorlage oder Kodierung fällt eine Einrichtungsgebühr an, die vor Arbeitsbeginn bestätigt wird. Standardprodukte werden in der Regel innerhalb von zwei bis drei Wochen versandt, große Aufträge werden individuell eingeplant. Wir antworten innerhalb eines Werktags und senden innerhalb eines Werktags nach Eingang einer vollständigen Anfrage ein Angebot. Mindestbestellmenge, Fracht und die Verfügbarkeit eines bestimmten DESFire-Chips werden im Angebot bestätigt. Dank starker Bezugskanäle für Chips und unserer eigenen Produktion können wir wettbewerbsfähige Angebote auf Basis der von Ihnen festgelegten Spezifikation, Menge und Qualität erstellen; Umfang der Zertifizierungen und Ablauf finden Sie unter So fertigen und liefern wir RFID-Karten.

• DESFire-Generation und, falls bekannt, der exakte Chip, Speichergröße sowie die Angabe, ob es sich um ein neues Projekt handelt oder ob die Karten einer bereits installierten Spezifikation exakt entsprechen müssen.
• Marke, Modell und Firmware des Lesegeräts oder Schlosses sowie die Software, mit der die Karten ausgegeben werden.
• Lieferzustand: werkseitiger Standardzustand mit UID-Liste oder kodiert nach einem vereinbarten Applikationsprofil.
• Kartenformat und Material, Abmessungen, Druckvorlage, Nummerierung, Menge, Lieferort und Wunschtermin.

Senden Sie diese Angaben über die Kontaktseite. Chipreferenzen: NXP MIFARE DESFire EV3 und NXP MIFARE DESFire EV2. Die Chipdokumentation beschreibt die Fähigkeiten des ICs; sie belegt weder die Lagerverfügbarkeit noch die Kompatibilität einer fertigen Karte mit Ihrem System.