Tarjetas MIFARE DESFire

¿Qué es una tarjeta MIFARE DESFire?

Una tarjeta MIFARE DESFire es una tarjeta inteligente sin contacto a 13.56 MHz basada en un chip DESFire de NXP, que almacena los datos en aplicaciones y archivos independientes protegidos por sus propias claves, con autenticación mutua AES-128 en EV1 y generaciones posteriores. Los integradores de sistemas, distribuidores y emisores de tarjetas especifican DESFire para control de acceso, llaves de hotel, tarjetas de campus y de transporte cuando una credencial debe autenticarse en lugar de simplemente leerse por su UID. La regla de selección es breve: especifique DESFire EV3 para un sistema nuevo y ajuste la generación, la memoria y el perfil de aplicación ya aprobados para uno existente.

DESFire es una familia, no una única referencia. EV1, EV2, EV3 y DESFire Light difieren en funciones de seguridad, memoria y estado del ciclo de vida de NXP, y el firmware del lector y el software determinan cuáles de esas funciones puede utilizar realmente el proyecto. Esta página es la guía de decisión de la familia; para un pedido repetido de la generación EV2, la página de tarjetas MIFARE DESFire EV2 cubre en profundidad referencias, tipos de archivo, comandos y pruebas de aceptación de EV2.

• Sistema nuevo de acceso, campus o multiaplicación: DESFire EV3, con la memoria dimensionada según el plan de aplicaciones; cualifique muestras de EV3 con el proveedor del lector y del software.
• Instalación EV2 existente: la referencia EV2 exacta y el perfil de credencial aprobado.
• Instalación EV1 existente: la especificación EV1 instalada, o EV3 en el modo compatible con versiones anteriores que utilice su sistema, una vez que los lectores superen una prueba de compatibilidad.
• Aplicación única, memoria limitada, credencial de menor coste: DESFire Light, si el lector y el software lo admiten y su estructura fija de archivos se ajusta a la aplicación.
• Llavero, pulsera o adhesivo en lugar de tarjeta: la misma generación con la variante de chip de alta capacitancia “H” (70 pF para EV1, EV2 y EV3; 50 pF para DESFire Light) cuando la antena más pequeña lo requiera.
• Actualización desde MIFARE Classic: DESFire EV3, o MIFARE Plus si los lectores deben mantener un modo compatible con Classic, con un periodo planificado de doble tecnología y gestión de claves.

DESFire EV1 frente a EV2, EV3 y DESFire Light

Las cuatro comparten la interfaz aérea ISO/IEC 14443 Type A y los comandos de archivo ISO/IEC 7816-4. Lo que cambia entre generaciones es el conjunto de funciones de seguridad, el nivel de certificación y si NXP sigue recomendando el chip para nuevos diseños. La tabla resume la información pública de producto de NXP; una función solo ayuda cuando el firmware del lector y la aplicación la implementan.

D40 (MF3ICD40) es la generación DESFire original, ya descatalogada, solo con DES y 3DES. EV1, EV2 y EV3 pueden ejecutar su modo de mensajería segura para lectores heredados, por lo que un parque D40 normalmente se reabastece con un chip más reciente una vez que los lectores superan una prueba de muestra en ese modo.

EV3 es la generación DESFire principal actual de NXP: mantiene el conjunto de funciones de EV2, añade SUN y el Temporizador de transacción, y NXP indica una distancia operativa de hasta 100 mm según el campo del lector y la geometría de la antena. SUN permite que un toque con el teléfono genere un código nuevo y verificable en una URL, el mismo mecanismo utilizado por las etiquetas NTAG 424 DNA; solo demuestra autenticidad cuando su backend verifica el código. Las clasificaciones Common Criteria cubren el chip y su sistema operativo, no una tarjeta terminada ni una implementación que siga utilizando claves predeterminadas.

¿Qué generación DESFire debe especificar?

• Por qué EV3 para nuevas construcciones: es la generación que NXP recomienda actualmente para nuevos diseños, mantiene el conjunto de funciones de EV2 y puede ejecutar modos de compatibilidad EV2, EV1 y D40 en un parque mixto.
• Por qué ajustarse a un parque EV2 existente: los lectores, las claves y el software de emisión ya están aprobados para esa generación; la página DESFire EV2 enumera las referencias 2K, 4K y 8K y las comprobaciones de aceptación de EV2.
• Por qué probar antes de sustituir EV1: EV3 puede sustituir a EV1 mediante su modo de mensajería segura compatible con EV1, pero solo después de que los lectores instalados, el software y la configuración de claves superen una prueba de muestra; la disponibilidad de una referencia EV1 exacta se confirma en la cotización.
• Por qué DESFire Light no es un sustituto directo: tiene una aplicación predefinida y un conjunto fijo de archivos, por lo que no puede sustituir a una tarjeta multiaplicación EV2 o EV3.
• Licitación o especificación de seguridad: confirme por escrito con el integrador el nivel Common Criteria, las funciones requeridas (MAC de transacción, Proximity Check, SUN) y cualquier ajuste de Random ID antes de la fase de muestras.

DESFire 2K, 4K u 8K: ¿cuánta memoria necesita?

El número en “DESFire 4K” o “DESFire 8K” es la EEPROM del chip en kilobytes. El tamaño adecuado depende de cuántas aplicaciones lleve la tarjeta, del tamaño de sus archivos y del número de registros, del almacenamiento de claves y de la sobrecarga del sistema de archivos, además del espacio para aplicaciones que se añadan posteriormente. Una tarjeta con más memoria de la necesaria cuesta más sin mejorar la seguridad; una tarjeta con demasiado poca no puede incorporar la siguiente aplicación. Considere la tabla como punto de partida para la conversación con su integrador.

Las referencias estándar se adaptan a antenas de tarjeta ID-1; las referencias “H” tienen mayor capacitancia de entrada para las antenas más pequeñas de llaveros, pulseras y adhesivos. La variante de chip y el inlay se eligen conjuntamente, y el alcance de lectura se confirma con una muestra en su lector.

Formatos de tarjeta, materiales y personalización

La misma generación DESFire puede suministrarse en varios formatos de credencial, de modo que un sitio puede emitir tarjetas al personal y llaveros o pulseras a otros usuarios en un mismo sistema. Para cada pedido, nuestra fábrica de Shenzhen combina el chip con un inlay adecuado y produce el cuerpo de la tarjeta, por lo que el formato se elige según el usuario y el entorno, y no según una línea de producción fija.

• Tarjetas ISO ID-1 (85.6 × 54 mm): cuerpos de PVC, PET o composite, con impresión offset o digital, acabado brillante o mate, panel de firma, banda magnética y numeración variable. Consulte las tarjetas RFID impresas para conocer las opciones de arte y de impresión.
• Materiales alternativos: tarjetas RFID de madera en maderas como cerezo, bambú, arce o nogal negro con grabado láser o impresión UV, y tarjetas de PLA (fabricado a partir de almidón de maíz) o papel; confirme el chip y el acabado de resistencia al agua para el uso previsto.
• Llaveros y etiquetas: cuerpos de ABS, epoxi, FR4 y otros materiales en la página de etiquetas y llaveros DESFire, para residentes y personal que prefieran una credencial de llavero.
• Pulseras: pulseras de silicona para piscinas, gimnasios y resorts, y pulseras de hotel para habitaciones y gasto sin efectivo.
• Adhesivos y etiquetas: adhesivos MIFARE con chips DESFire para dispositivos y fundas de teléfono, incluidas construcciones sobre metal.
• Tarjetas de transición: una tarjeta combi puede combinar un chip de 13.56 MHz como DESFire con un chip de 125 kHz mientras un parque migra desde lectores de proximidad; confirme el par de chips en la cotización.

Las tarjetas DESFire numeradas se entregan con un archivo Excel, CSV o XML que indica el UID de cada tarjeta junto con su número impreso. Si los códigos de barras o códigos QR también deben coincidir con datos codificados en una aplicación, indique la regla de correspondencia en la solicitud de cotización (RFQ) para que se verifique en la muestra.

Codificación y gestión de claves: ¿quién guarda las claves DESFire?

La seguridad de DESFire depende de las claves, por lo que convenga el estado de entrega antes de realizar el pedido. Las tarjetas pueden suministrarse en el estado de transporte predeterminado de fábrica del chip para su propia personalización, con lista de UID si se requiere, o preparadas mediante nuestro servicio de codificación RFID con las aplicaciones, los archivos y los derechos de acceso que su sistema espera; cada tarjeta que personalizamos se vuelve a leer para confirmar lo escrito, y el pedido va acompañado de un informe de datos. Las claves de aplicación y las claves maestras quedan en manos del propietario del sistema, salvo que se acuerde por escrito un esquema de claves y un método de entrega; si su política mantiene las claves internamente, pida tarjetas en blanco y codifíquelas en su propio equipo.

• Describa la disposición de aplicaciones, el tipo de clave y el esquema de diversificación sin enviar valores secretos en la consulta ni en el arte.
• Decida si Random ID está activado. Oculta el UID fijo durante la selección de la tarjeta, pero un lector o software que identifique las tarjetas únicamente por UID dejará de funcionar con él. La lista de UID suministrada con las tarjetas numeradas indica el UID fijo de cada tarjeta, que ese lector nunca ve.
• Acuerde quién cambia la clave maestra de tarjeta predeterminada, quién carga las claves de producción en los lectores o SAM y quién da de alta las tarjetas terminadas.
• Conserve la configuración aprobada archivada para que los pedidos repetidos se preparen de forma idéntica.

¿Funcionarán las tarjetas DESFire con mi lector o cerradura?

Un lector que muestra un número de tarjeta solo ha leído el UID; no se ha autenticado en una aplicación DESFire. Antes de un pedido en volumen, pida al proveedor del lector, la cerradura o el software que confirme los puntos siguientes y, a continuación, pruebe una muestra en el flujo completo de emisión y acceso.

• Protocolo: el lector admite ISO/IEC 14443-4 (ISO-DEP) y el conjunto de comandos DESFire, no solo la lectura de UID a 13.56 MHz.
• Generación y modo: el firmware admite el modo de mensajería segura que utiliza su aplicación (modos D40, EV1 o EV2, claves AES o 3DES heredadas) y, para funciones EV3 como el Temporizador de transacción, los comandos más recientes; SUN requiere un codificador que configure Secure Dynamic Messaging y un backend que verifique el código.
• Formato de credencial: algunas plataformas de acceso utilizan sus propios formatos de aplicación DESFire. Suministramos tarjetas para sistemas que aceptan una credencial DESFire estándar o definida por el proyecto; confirme con su proveedor de sistema si su formato puede emitirse en tarjetas de terceros.
• Parques mixtos: los lectores deben seguir aceptando las tarjetas que ya están en campo durante un cambio de generación.
• Teléfonos: con una aplicación NFC adecuada, la mayoría de los teléfonos Android con NFC y de los iPhone pueden detectar una tarjeta DESFire, pero leer una aplicación protegida requiere su aplicación y las claves; un toque con el teléfono por sí solo no confirma la compatibilidad del sistema.

Migración de MIFARE Classic o MIFARE Plus a DESFire

MIFARE Classic utiliza el algoritmo Crypto-1, cuyas debilidades publicadas hacen que las tarjetas Classic sean fáciles de copiar, y muchos sistemas Classic conceden el acceso únicamente con el UID. DESFire lo sustituye con autenticación de aplicación AES-128, pero solo cuando los lectores se reconfiguran para autenticar la aplicación. MIFARE Plus es la alternativa cuando los lectores deben mantener un nivel de seguridad compatible con Classic durante la migración; DESFire se adapta a proyectos que pasan a un modelo de aplicación y archivo.

• Actualice el firmware del lector para que autentique la aplicación DESFire con las claves del proyecto en lugar de aceptar un UID.
• Genere y almacene las claves maestras de forma segura, con un esquema de diversificación por tarjeta acordado con el integrador.
• Mantenga un periodo de doble tecnología, reemita las credenciales según un calendario planificado y, a continuación, desactive los tipos de tarjeta heredados en el software de acceso.
• Mantenga coherente el esquema de número de tarjeta o de ID impreso para que la migración de la base de datos sea sencilla.

DESFire para llaves de hotel y control de acceso

En hoteles, el sistema de cerraduras decide la credencial. Algunas plataformas de cerraduras utilizan DESFire para separar el acceso a la habitación de otras aplicaciones, como el spa o el gasto sin efectivo; la tarjeta debe coincidir con la codificación del fabricante de la cerradura y con el codificador de recepción, lo que se confirma con el proveedor de cerraduras y una muestra. Consulte la guía de tarjetas llave de hotel para conocer los requisitos específicos de cerraduras. Para oficinas, residencias y campus, la guía de llaveros para control de acceso RFID compara llaveros de proximidad de 125 kHz con credenciales MIFARE Classic y DESFire.

Pedido de tarjetas DESFire y muestras

Las muestras estándar de DESFire son gratuitas a través del pack de muestras; las muestras personalizadas con su arte o codificación conllevan una tarifa de preparación que se confirma antes de iniciar el trabajo. Los productos estándar generalmente se envían en dos a tres semanas, y los pedidos grandes se programan de forma individual. Respondemos en un día laborable y enviamos una cotización en un día laborable a partir de una consulta viable. La cantidad mínima de pedido (MOQ), el flete y la disponibilidad de una referencia DESFire específica se confirman en la cotización. Nuestros sólidos canales de suministro de chips y nuestra propia producción nos permiten cotizar de forma competitiva según la especificación, la cantidad y la calidad que usted establezca; consulte cómo fabricamos y suministramos tarjetas RFID para conocer el alcance de la certificación y el proceso.

• Generación DESFire y referencia exacta si se conoce, tamaño de memoria y si el pedido es nuevo o debe ajustarse a una especificación instalada.
• Marca, modelo y firmware del lector o cerradura, y el software que emite las tarjetas.
• Estado de entrega: predeterminado de fábrica con lista de UID, o codificado según un perfil de aplicación acordado.
• Formato y material de la tarjeta, dimensiones, arte, numeración, cantidad, destino y fecha objetivo.

Envíe estos datos a través de la página de contacto. Referencias de chips: NXP MIFARE DESFire EV3 y NXP MIFARE DESFire EV2. La documentación de chips describe las capacidades del circuito integrado; no establece el stock ni la compatibilidad de una tarjeta terminada con su sistema.