Tarjetas MIFARE DESFire EV2

Muestras y pedidos por volumen de tarjetas DESFire EV2

Para una instalación EV2 existente, empiece con el chip y la especificación de tarjeta aprobados. Solicite juntos la capacidad de memoria requerida, el cuerpo de tarjeta, la impresión y el estado de entrega para que el presupuesto y la muestra aborden el mismo proyecto. El suministro actual de la pieza EV2 exacta y las opciones de tarjeta terminada disponibles se confirman en el presupuesto.

• Cuerpo de tarjeta: especifique dimensiones, grosor y material, como una tarjeta ID-1 (85.6 × 54 mm). Confirme la construcción propuesta y el diseño de antena; comente otros formatos a través de la página de etiqueta y llavero DESFire.
• Impresión y acabados: envíe el diseño de ambas caras, el acabado, la numeración visible, los códigos de barras o códigos QR, y cualquier requisito de banda magnética o panel de firma. Confirme qué opciones están incluidas en la muestra y el presupuesto.
• Codificación y personalización: acuerde la entrega con claves de fábrica por defecto o de transporte frente a tarjetas preparadas con su aplicación, archivos y permisos. Una tarjeta visualmente en blanco no está necesariamente en un estado de chip intacto. Proporcione el perfil de entrega requerido y el esquema de numeración, sin claves secretas activas en la solicitud de presupuesto.
• Traspaso de gestión de claves: cualquier carga de claves de producción se acuerda por separado con la parte responsable de la emisión, y la codificación se realiza solo para la organización que administra el sistema.
• Muestras y plazo de entrega: hay muestras estándar gratuitas disponibles (una muestra personalizada conlleva una tarifa de preparación), y el plazo estándar para productos estándar es generalmente de dos a tres semanas; el calendario y la disponibilidad de una pieza EV2 específica se confirman en el presupuesto.

Compare los requisitos de tarjetas EV2 2K, 4K y 8K

Esta tabla compara los requisitos de tarjetas de 2K, 4K y 8K; no es el rango completo de memoria EV2. La hoja de datos resumida pública de NXP también enumera dispositivos de 16 KB y 32 KB. Confirme la pieza exacta y la disponibilidad actual de tarjetas terminadas en el presupuesto. Elija la capacidad según el plan de aplicación y archivos de su integrador, incluidos la sobrecarga de memoria del sistema de archivos y el crecimiento previsto, porque el tamaño de memoria por sí solo no hace intercambiables las tarjetas.

Las piezas estándar indicadas tienen una capacitancia de entrada de 17 pF; las piezas «H» tienen 70 pF, que NXP ofrece para diseños de antena de factor de forma pequeño. El diseño del inlay aún necesita validación en la tarjeta o etiqueta terminada. NXP especifica 25 años de retención de datos y 500.000 ciclos de escritura típicos a 22 °C en la hoja de datos resumida; estas cifras del CI no garantizan la vida útil de una tarjeta impresa. Envíe la pieza exacta o la especificación de tarjeta aprobada para que la muestra pueda comprobarse con el sistema que usa.

Compatibilidad de lectores y firmware

Un número de tarjeta mostrado demuestra identificación, no una autenticación de aplicación exitosa. Antes de un pedido repetido o una migración, pida al proveedor del lector o la cerradura que confirme los puntos siguientes y pruebe la tarjeta propuesta con el software de emisión y el firmware instalado.

• Interfaz aérea: el lector implementa ISO/IEC 14443-2/3 tipo A y el protocolo de transmisión ISO/IEC 14443-4 (T=CL) que usa DESFire. Una clasificación de 13.56 MHz por sí sola no confirma la compatibilidad con 14443-4.
• Conjunto de comandos: el firmware admite los comandos DESFire e ISO/IEC 7816-4 que su aplicación necesita — seleccionar la aplicación, autenticar, y leer o escribir los tipos de archivo que usa — no solo la lectura de UID.
• Mensajería segura: confirme el modo D40, EV1 o EV2, el tipo de clave y los ajustes de comunicación de archivos que usa su aplicación. Compruebe cada función EV2 requerida con el firmware del lector y el perfil de tarjeta aprobado.
• Compatibilidad hacia atrás: si las tarjetas EV1 o D40 (MF3ICD40) aún están en campo, verifique que el lector siga leyéndolas junto a EV2 durante una migración.
• Claves y diversificación: acuerde quién guarda las claves maestras de aplicación, cómo se diversifican por tarjeta y cómo se cargan los lectores con ellas.
• Prueba de muestra: autentique y ejecute la transacción real — emisión, lectura y escritura, una transacción interrumpida y su recuperación — con firmware y software de lector de producción antes de cualquier pedido por volumen.

Antes de pedir: lista de comprobación EV2

1. Pieza EV2 exacta y capacidad de memoria, o la especificación de tarjeta aprobada por su integrador; la comparación 2K/4K/8K de esta página no es todo el rango de la familia de chips.
2. Si es un pedido repetido que debe coincidir con una especificación instalada, o un proyecto nuevo para el que se evaluó primero EV3.
3. Marca, modelo y firmware del lector, el modo de mensajería segura y el tipo de clave, y el plan de aplicación y archivos.
4. Perfil de entrega: ajustes de fábrica por defecto/transporte o tarjetas personalizadas para el proyecto, además de quién carga las claves de producción, inscribe tarjetas y aprueba la muestra.
5. Construcción de tarjeta, diseño, numeración, cantidad, destino y fecha requerida.
6. Aceptación de muestra: verifique la autenticación de aplicación y las transacciones de lectura/escritura requeridas en el software de emisión y los lectores reales; conserve la configuración aprobada para pedidos repetidos.

Qué es MIFARE DESFire EV2

MIFARE DESFire EV2 es un CI multiaplicación sin contacto de NXP que funciona a 13.56 MHz en la interfaz aérea ISO/IEC 14443 tipo A y se comunica con el protocolo de transmisión ISO/IEC 14443-4. Los datos se guardan en una estructura de aplicación y archivos direccionada con comandos ISO/IEC 7816-4, y las aplicaciones pueden usar criptografía por hardware: DES, 2K3DES y 3K3DES por compatibilidad, y AES con claves de 128 bits para diseños actuales. NXP marca EV2 como no recomendada para nuevos diseños y dirige los nuevos proyectos a DESFire EV3; esta página atiende consultas para instalaciones que ya la especifican. Las secciones siguientes describen el CI. La disponibilidad de una pieza EV2 específica, y de cualquier lote de tarjetas terminadas, se confirma en el presupuesto.

EV1, EV2 y EV3: qué cambió

Estas tres generaciones DESFire comparten la interfaz ISO/IEC 14443 tipo A de 13.56 MHz, los comandos de archivo ISO/IEC 7816-4 y el motor criptográfico DES/2K3DES/3K3DES/AES-128, y cada chip más nuevo mantiene modos de compatibilidad hacia atrás para los más antiguos. Lo que cambia entre generaciones es el conjunto de funciones de seguridad de aplicación y el nivel de certificación. Una función solo beneficia a su proyecto cuando el chip, el firmware del lector y la aplicación la implementan.

EV2 proporciona modos de mensajería segura D40 y EV1 compatibles hacia atrás, pero una tarjeta de sustitución aún necesita la configuración de aplicación, las claves y la compatibilidad del lector que espera el sistema instalado. Funciones EV2 como múltiples conjuntos de claves, MAC de transacción, Proximity Check y gestión delegada de aplicaciones necesitan la configuración y la compatibilidad de comandos pertinentes. Pida al integrador que confirme y pruebe las funciones que el proyecto realmente usa.

Estructura de aplicación y archivos

Una tarjeta DESFire se comporta como un pequeño sistema de archivos en tarjeta con tres niveles. En la parte superior está el PICC — la propia tarjeta — que contiene la clave maestra de tarjeta, la configuración general de la tarjeta y la lista de aplicaciones. Cada aplicación se direcciona con un ID de aplicación (AID) de 3 bytes y lleva sus propias claves y su propio conjunto de archivos: EV1 permite hasta 28 aplicaciones, mientras que EV2 y EV3 eliminan el límite práctico y solo están limitadas por la memoria disponible. Cada aplicación contiene hasta 32 archivos (ID de archivo 0x00–0x1F), y cada archivo tiene sus propios derechos de acceso y modo de comunicación, así que una tarjeta puede guardar una credencial de acceso, un monedero de valor almacenado y un billete uno junto a otro sin que ninguno comparta una clave.

Cada archivo lleva cuatro campos de derechos de acceso — lectura, escritura, lectura y escritura, y cambio de derechos de acceso — y cada campo nombra una de las claves de la aplicación, o se establece como «libre» (sin autenticación) o «denegar» (nunca). Los archivos de respaldo, valor y registros participan en transacciones: un conjunto de escrituras se prepara y luego se confirma de forma atómica, así que un toque interrumpido nunca deja un saldo de tarifa o un registro escrito a medias.

Autenticación y mensajería segura

Leer un UID no autentica una aplicación DESFire. En la autenticación mutua, la tarjeta y el lector demuestran la posesión de la clave requerida y establecen protección de sesión. El modo de autenticación seleccionado y los ajustes de acceso y comunicación de cada archivo determinan qué puede leerse, escribirse o transmitirse en forma clara. La tarjeta, el firmware del lector y la aplicación deben implementar la configuración acordada.

• Modo de compatibilidad D40: conservado para instalaciones antiguas que usan el esquema DES/2K3DES original. Confirme el tipo de clave configurado y los requisitos del lector; no suponga que esto proporciona protección AES.
• Mensajería segura EV1: AuthenticateISO admite claves 2K3DES o 3K3DES, mientras que AuthenticateAES usa claves AES. Estas conservan el modo de compatibilidad EV1 correspondiente.
• Mensajería segura EV2: AuthenticateEV2First y AuthenticateEV2NonFirst usan claves AES. La primera inicia la autenticación EV2 de la transacción; la segunda admite autenticaciones posteriores dentro de esa transacción. Confirme los comandos y ajustes requeridos con el integrador.

La comunicación de archivos puede ser clara, protegida con una suma de comprobación criptográfica, o cifrada, según la autenticación y los ajustes de archivo. La autenticación por sí sola no significa que cada archivo esté cifrado o que cada lectura requiera una clave. La hoja de datos resumida pública EV2 de NXP describe estas opciones y los comandos de autenticación admitidos; use la documentación detallada del producto para la implementación. La diversificación de claves se trata por separado en la nota de aplicación AN10922 de NXP.

Gestión de claves: claves, versiones y conjuntos de claves

Las claves viven en dos niveles. El PICC contiene una clave maestra de tarjeta que rige la gestión a nivel de tarjeta. Cada aplicación puede contener hasta 14 claves y tiene sus propios ajustes de clave y derechos de acceso a archivos. La información de versión de clave ayuda a un emisor a gestionar actualizaciones, pero no sustituye a la clave secreta ni a los permisos requeridos. Confirme el procedimiento ChangeKey o ChangeKeyEV2 seleccionado con la configuración exacta de la aplicación.

EV2 admite múltiples conjuntos de claves por aplicación, lo que permite al emisor preparar y pasar a otro conjunto de claves cuando el parque de lectores admite ese proceso. Un integrador puede usar diversificación por tarjeta, como el esquema de la AN10922 de NXP, con almacenamiento protegido de claves maestras en un HSM o SAM. Esta es una decisión de diseño de implantación, no una propiedad automática de una tarjeta en blanco. Acuerde quién crea, guarda y carga las claves y cómo obtienen los lectores las credenciales requeridas antes de pedir. No ponga claves secretas activas en una solicitud de presupuesto.

El conjunto de comandos DESFire

DESFire admite comandos nativos y encapsulado ISO/IEC 7816-4 sobre ISO/IEC 14443-4. La descripción siguiente ayuda a identificar qué debe implementar la pila del lector; no es una especificación de codificación. La hoja de datos resumida pública EV2 de NXP enumera familias de comandos, y la documentación detallada del producto define sus parámetros y requisitos de seguridad. La configuración de la tarjeta, el firmware del lector y la aplicación deben admitir las operaciones seleccionadas por el integrador.

Certificación de seguridad

Las generaciones difieren en su evaluación Common Criteria además de en sus funciones. El material público de NXP califica DESFire EV1 con Common Criteria EAL4+ y tanto EV2 como EV3 con EAL5+ — el hardware y el sistema operativo de EV3 están evaluados a EAL5+ aumentado con AVA_VAN.5. La certificación cubre el chip y su sistema operativo, no una tarjeta terminada ni una implantación: una tarjeta dejada con claves por defecto no es segura cualquiera que sea la calificación del chip. Trate el nivel EAL como una entrada para un requisito de licitación y confirme la pieza certificada exacta con su integrador.

Por qué actualizar de MIFARE Classic a DESFire

MIFARE Classic usa Crypto-1, cuyas debilidades de seguridad publicadas hacen inadecuado tratarlo como equivalente a la autenticación de aplicación AES moderna. Una instalación que autoriza una tarjeta solo por su UID también tiene un problema separado: el UID es un identificador, no una prueba de que la tarjeta contiene un secreto de aplicación. Evalúe tanto la tecnología de credencial como el comportamiento de autenticación real del lector al planificar una migración.

DESFire admite autenticación mutua AES-128 y permisos de archivo y protección de comunicación configurables. Copiar solo un UID no reproduce una aplicación autenticada, pero instalar un chip DESFire no asegura automáticamente el sistema. Los archivos configurados para acceso libre o comunicación clara pueden exponer datos; las claves por defecto y las claves de emisor mal protegidas también debilitan la implantación. Configure los derechos de acceso de la aplicación, la mensajería segura y la gestión de claves, y haga que el lector autentique la aplicación. El ID aleatorio puede reducir la divulgación del UID fijo durante la selección de tarjeta; no sustituye a la autenticación ni garantiza que una tarjeta no pueda rastrearse.

• Firmware del lector: pase los lectores a una versión que autentique la aplicación DESFire con las claves del proyecto, en lugar de aceptar el UID.
• Ceremonia de claves: genere las claves maestras en un HSM o SAM, elija el esquema de diversificación AN10922, y registre quién guarda y carga las claves antes de codificar la primera tarjeta.
• Periodo de doble tecnología: use lectores multitecnología que acepten juntos las tarjetas antiguas y las nuevas tarjetas DESFire, reemita tarjetas por desgaste natural, y luego establezca una fecha firme para desactivar los tipos de tarjeta antiguos en el software de acceso para que las copias antiguas dejen de funcionar.

Para un sistema nuevo, NXP dirige los diseños a DESFire EV3; pida EV2 para coincidir con una instalación que ya lo especifica, y trate cualquier cambio de generación como un cambio en la especificación aprobada. Véase tarjetas MIFARE Classic, la familia MIFARE DESFire y tarjetas MIFARE Plus para las opciones de migración.

Opciones relacionadas: familia MIFARE DESFire, tarjetas MIFARE Plus, la etiqueta y llavero DESFire y todas las tarjetas RFID.

Referencias técnicas: página de producto y ciclo de vida NXP MIFARE DESFire EV2, la hoja de datos resumida DESFire EV2 y la página NXP DESFire EV3. La documentación del chip describe las capacidades del CI; no establece las existencias de Proud Tek ni la compatibilidad de una tarjeta terminada.