NTAG424-DNA-NFC-Etiketten

Etikett und Lieferzustand spezifizieren

Setzen Sie NTAG424 DNA ein, wenn Ihr Projekt eine kryptografische Etikettenverifizierung über einen statischen Produktlink hinaus benötigt. Wählen Sie das Etikett für die tatsächliche Verpackung und stimmen Sie anschließend Personalisierung und Verifizierungsablauf ab. Eine gültige Tag-Nachricht allein beweist nicht, dass der Inhalt einer Verpackung echt ist.

NTAG424-DNA-Chipfunktionen

Dies sind Chipmerkmale aus dem NXP-NTAG424-DNA-Datenblatt. Das Etikettenbild auf dieser Seite ist ein generisches Formatbeispiel; der angebotene Chip und die Konstruktion müssen vor der Bestellung bestätigt werden.

So funktioniert Secure Dynamic Messaging (SUN)

Secure Dynamic Messaging (SDM) erzeugt die Secure-Unique-NFC-(SUN-)Nachricht. Bei aktiviertem SDM fügt der Chip beim Lesen Authentifizierungsdaten in eine NDEF-URL ein. Der Verifizierungsserver prüft die Nachricht und den Zählerverlauf; das Lesen einer gewöhnlichen statischen URL ist keine SUN-Verifizierung.

• Antippen. Ein kompatibles Smartphone liest die konfigurierte NDEF-URL. Bestätigen Sie im Pilotbetrieb die Smartphone-Modelle und das Leseverhalten.
• Auf dem Chip. Der Chip erzeugt die konfigurierten SDM-Felder, etwa verschlüsselte UID- und Zählerdaten sowie einen AES-CMAC. Aufeinanderfolgende Lesevorgänge innerhalb derselben Lesesequenz können denselben Zähler verwenden.
• Öffnen. Das Smartphone öffnet die URL mit den Authentifizierungsfeldern, zum Beispiel `https://verify.example.com/t?picc_data=…&cmac=…`.
• Prüfen. Der Server prüft die konfigurierten kryptografischen Felder und den Zählerverlauf dieses Etiketts.
• Ergebnis. Der Dienst zeigt das vereinbarte Ergebnis für eine gültige Nachricht, eine bereits gesehene Nachricht oder ungültige Daten an.

Der Prüfer sollte Zähler ablehnen, die er bereits gesehen hat oder in falscher Reihenfolge erhält. Damit werden solche Replay-Angriffe erkannt; eine früher abgefangene, aber nie übermittelte Nachricht kann eine spätere Prüfung jedoch trotzdem bestehen. Dieses Restrisiko beschreibt NXP in Datenblatt Abschnitt 9.3. Ihr Integrator muss entscheiden, ob das für die Anwendung akzeptabel ist; Zählerprüfungen beweisen kein live durchgeführtes Antippen. Für Konfigurations- und Verifizierungsdetails nutzen Sie NXP AN12196.

Warum ein SUN-Etikett das Klonen erschwert: der CMAC-Authentifizierungstag

Im AES-Modus ist der CMAC-Authentifizierungstag von NTAG424 DNA ein auf 8 Byte gekürzter AES-CMAC (NIST SP 800-38B). Der Chip berechnet ihn bei jedem neuen Antippen aus einem Sitzungsschlüssel, der aus einem geheimen Schlüssel sowie — je nach Konfiguration — der UID und dem Zähler abgeleitet wird, und spiegelt ihn in die URL (Datenblatt 9.3.7–9.3.9). Nur ein Prüfer, der den Schlüssel besitzt, kann ihn neu berechnen: Ein geklontes Etikett kann nur Nachrichten wiedergeben, die das echte Etikett erzeugt hat, während eine kopierte statische URL wie das Original funktioniert.

Was der Verifizierungsserver der Marke prüfen muss

1. Die UID und den Zähler entschlüsseln mit dem SDM-Meta-Read-Schlüssel, sofern verschlüsselt.
2. Den CMAC neu berechnen aus dem File-Read-Schlüssel des Etiketts, der UID, dem Zähler und allen abgedeckten URL-Daten; bei Abweichung ablehnen.
3. Einen wiederholten oder in falscher Reihenfolge erhaltenen Zähler ablehnen und anschließend den neuen speichern.
4. Die UID nachschlagen: ausgegeben oder nicht, sowie zugehöriges Produkt, Auftrag und Markt; einen in der Nachricht gespiegelten TagTamper-Status prüfen.

Die fünf AES-128-Schlüssel und ihre Aufgaben

NTAG424 DNA verfügt über fünf unabhängige AES-128-Schlüssel, nummeriert als Schlüssel 0 bis Schlüssel 4. Schlüssel 0 ist fest als Application Master Key festgelegt. Die übrigen vier werden bei der Personalisierung vom Integrator Rollen zugewiesen; die folgende Zuordnung ist eine übliche Praxis und keine fest verdrahtete Vorgabe.

In der Produktion wird der SDM-File-Read-Schlüssel in der Regel pro Etikett aus dem Masterschlüssel des Schlüsselinhabers diversifiziert, sodass ein kompromittierter Schlüssel keine anderen Etiketten gefährdet. Ist die UID in der URL verschlüsselt, darf der Meta-Read-Schlüssel nicht UID-diversifiziert sein, weil der Server die UID damit entschlüsselt; dieser gemeinsame Schlüssel erfordert einen besonders starken Schutz (AN12196 Abschnitt 3.4.2). Davon getrennt ermöglicht die NXP-Originalitätssignatur eine Prüfung der Chip-Herkunft. Sie authentifiziert nicht den Verpackungsinhalt und ist von der Verifizierung einer SUN-Nachricht zu unterscheiden.

Die TagTamper-Variante

NTAG424 DNA TagTamper (NT4H2421Tx) ist eine separate Chipvariante, die mit einer Erkennungsschleife im Etikett verbunden ist. Bei aktivierter Funktion prüft der Chip die Schleife, sobald er mit Strom versorgt und aktiviert wird oder ein entsprechender Befehl eine Messung auslöst. Sobald er den permanenten Status „Open“ feststellt, kann dieser Status nicht mehr auf „Closed“ zurückgesetzt werden — auch nicht durch eine erneute Personalisierung. Der permanente und der aktuelle Zustand können in SDM einbezogen werden. Siehe NXP-TagTamper-Datenblatt, Abschnitt 10. Ein Projekt zur Öffnungserkennung benötigt zudem ein Etikett, das die Schleife über die Versiegelung führt; bestätigen Sie die angebotene Variante und Konstruktion im Angebot.

Sichere NFC-Etiketten für die Echtheitsprüfung von Luxusbekleidung

Für Luxusbekleidung verwenden Sie ein Etikett, das jedem Antippen einen neuen Authentifizierungscode hinzufügt — etwa NTAG424 DNA mit SUN — statt eines festen Links: Ein kopiertes Etikett kann keinen neuen gültigen Code erzeugen. Proud Tek liefert die Etiketten und jede vereinbarte Konfiguration; der Systemanbieter der Marke betreibt die Verifizierung. NXP nennt die Echtheitsprüfung von Waren und die Identifizierung von Verkäufen außerhalb autorisierter Märkte als Anwendungen (Datenblatt Abschnitt 3).

Proud Tek fertigt NFC-Etiketten und maßgefertigte Tags; jede Konstruktion wird pro Auftrag bestätigt und an Mustern getestet.

Luxusbekleidung für den Verkauf in den USA

Dasselbe 13,56-MHz-Etikett eignet sich für den US-Verkauf; die Smartphones unterscheiden sich. iPhone XS und neuere lesen https-URL-Tags ohne App im Hintergrund (Apple); führen Sie einen Pilotbetrieb mit iPhone- und Android-Modellen durch. Ein US-Händler kann zudem einen UHF-Tag für die Bestandsführung verlangen (RFID für Handel und Bekleidung); Proud Tek fertigt auch UHF-Etiketten und -Hang-Tags. Testen Sie beides gemeinsam.

Überproduktion und Graumarkt: Was die NFC-Echtheitsprüfung belegen kann und was nicht

Eine verifizierte SUN-Nachricht belegt, dass ein Etikett mit Ihrem Schlüssel sie erzeugt hat — nicht, wie die Ware zum Verkäufer gelangte. Überproduktion sind Einheiten, die Ihr Auftragsfertiger über die autorisierte Menge hinaus produziert (Beispiel des US-Justizministeriums) und außerhalb Ihrer Kanäle verkauft — mit echten Etiketten, wenn im Werk noch personalisierte Etiketten vorrätig sind. Umgeleitete Ware ist autorisierte Ware, die außerhalb des vereinbarten Markts verkauft wird. Kontrollmaßnahmen rund um das Etikett:

• Schlüssel und Personalisierung kontrollieren: Etiketten pro Bestellung ausgeben; verbrauchte und verdorbene abgleichen.
• Jede Chip-UID erfassen mit Produkt, Fabrik, Auftrag und Markt.
• Bei Erhalt aktivieren, sodass überschüssige Etiketten „nicht ausgegeben“ melden.
• Scan-Standorte beobachten: Scans außerhalb des Ausgabemarkts einer UID können auf eine mögliche Umleitung hinweisen, nicht sie beweisen. Scan-IP-Adressen und -Standorte können personenbezogene Daten sein (DSGVO Art. 4 Abs. 1); vereinbaren Sie, was protokolliert wird.

Vereinbaren Sie, wer welchen Teil liefert

Proud Tek kann eine vereinbarte Etikettenkonfiguration über den RFID-Kodierservice vorbereiten. Das Angebot muss angeben, welche Arbeiten enthalten sind. Etiketten, die wir konfigurieren, werden einzeln rückgelesen, und der Auftrag wird mit einem Datenbericht versendet; Etiketten mit aufgedruckter Seriennummer erhalten zusätzlich eine Datei, die jede UID mit ihrer Seriennummer verknüpft — beide als Excel, CSV oder XML. Käufer und Integrator legen Konfiguration und Abnahmekriterien fest; senden Sie geheime Schlüssel niemals über ein Anfrageformular, eine gewöhnliche E-Mail oder eine Druckvorlagendatei.

Abnahme-Checkliste für Muster

NTAG424 DNA im Vergleich zu anderen Fälschungsschutzoptionen

Für eine Produktinformations-URL ohne kryptografische Verifizierungsanforderung sind NTAG213-NFC-Etiketten die einfachere und kostengünstigere Wahl. Falls Sie noch zwischen Antippen und gedrucktem Code für denselben Link abwägen, vergleicht der RFID-vs.-QR-Code-Leitfaden beide. Wählen Sie NTAG424 DNA, wenn Ihr Integrator eine kryptografische Verifizierung benötigt und den Konfigurations- und Verifizierungsablauf bereitstellen kann. Für geschlossene Lesegerätsysteme statt Verbraucher-Taps vergleichen Sie alternativ einen DESFire-Tag.

Angebot für NTAG424-DNA-Etiketten anfordern

Senden Sie Etikettenabmessungen oder verfügbaren Platz, Montagefläche, Menge, Druckanforderungen, Zielort und Wunschtermin. Ergänzen Sie die Chipvariante, den gewünschten Lieferzustand und die nicht geheime Konfigurationszusammenfassung Ihres Integrators. Ist ein Detail unbekannt, benennen Sie es, damit es vor der Mustererstellung geklärt werden kann. Nutzen Sie die Angebots- oder Musterschaltfläche des Produkts, um das NTAG424-Etikett ausgewählt zu halten; weitere Optionen finden Sie unter Musterkonditionen und im RFID-Etikettensortiment.