Etiquetas NFC NTAG424 DNA

Especifique la etiqueta y el estado de entrega

Utilice NTAG424 DNA cuando su proyecto necesite verificación criptográfica de la etiqueta más allá de un enlace estático de producto. Seleccione la etiqueta adecuada para el embalaje real y acuerde después el flujo de trabajo de personalización y verificación. Un mensaje de etiqueta válido por sí solo no demuestra que el contenido de un paquete sea auténtico.

Capacidades del chip NTAG424 DNA

Estas son funciones del chip descritas en la hoja de datos NXP NTAG424 DNA. La imagen de etiqueta de esta página es un ejemplo genérico de formato, y el chip y la construcción cotizados deben confirmarse antes de realizar el pedido.

Cómo funciona Secure Dynamic Messaging (SUN)

Secure Dynamic Messaging (SDM) impulsa el mensaje Secure Unique NFC (SUN). Cuando se configura para SDM, el chip inserta datos de autenticación en una URL NDEF a medida que se lee. El servidor de verificación comprueba el mensaje y el historial del contador; leer una URL estática ordinaria no es una verificación SUN.

• Toque. Un teléfono compatible lee la URL NDEF configurada. Confirme los modelos de teléfono y el comportamiento de lectura en la prueba piloto.
• En el chip. El chip genera los campos SDM configurados, como UID y datos del contador cifrados y un AES-CMAC. Las lecturas sucesivas dentro de la misma secuencia de lectura pueden utilizar el mismo contador.
• Apertura. El teléfono abre la URL con los campos de autenticación, por ejemplo `https://verify.example.com/t?picc_data=…&cmac=…`.
• Verificación. El servidor comprueba los campos criptográficos configurados y el historial del contador de esa etiqueta.
• Resultado. El servicio muestra el resultado acordado para un mensaje válido, un mensaje ya visto o datos no válidos.

El verificador debe rechazar los contadores que ya haya visto o que reciba fuera de orden. Esto detecta esas reproducciones, pero un mensaje recopilado antes y nunca enviado aún puede superar una comprobación posterior. NXP describe este riesgo restante en la sección 9.3 de la hoja de datos. Su integrador debe decidir si eso es aceptable para la aplicación; las comprobaciones de contador no son prueba de un toque en vivo. Para detalles de configuración y verificación, utilice NXP AN12196.

Por qué una etiqueta SUN resiste la clonación: la etiqueta de autenticación CMAC

En modo AES, la etiqueta de autenticación CMAC de NTAG424 DNA es un AES-CMAC truncado de 8 bytes (NIST SP 800-38B). El chip la calcula en cada toque nuevo a partir de una clave de sesión derivada de una clave secreta y, según la configuración, del UID y del contador, y la refleja en la URL (hoja de datos 9.3.7–9.3.9). Solo un verificador que posea la clave puede recalcularla: una etiqueta clonada solo puede reproducir mensajes que produjo la etiqueta auténtica, mientras que una URL estática copiada funciona como la original.

Qué debe comprobar el servidor de verificación de la marca

1. Descifre el UID y el contador con la clave de meta-lectura SDM, si están cifrados.
2. Recalcule el CMAC a partir de la clave de lectura de archivo de la etiqueta, el UID, el contador y cualquier dato de URL cubierto; rechace cualquier discrepancia.
3. Rechace un contador repetido o fuera de orden y almacene después el nuevo.
4. Consulte el UID: emitido o no, y su producto, pedido y mercado; compruebe cualquier estado TagTamper reflejado en el mensaje.

Las cinco claves AES-128 y la función de cada una

NTAG424 DNA contiene cinco claves AES-128 independientes, numeradas de la clave 0 a la clave 4. La clave 0 está fijada como clave maestra de la aplicación. Las otras cuatro se asignan a funciones por el integrador durante la personalización; la correspondencia siguiente es una disposición habitual, no una asignación fija.

En producción, la clave de lectura de archivo SDM suele diversificarse por etiqueta a partir de la clave maestra del propietario de la clave, de modo que una clave recuperada no expone otras etiquetas. Si el UID está cifrado en la URL, la clave de meta-lectura no debe diversificarse por UID, porque el servidor descifra el UID con ella; esa clave compartida necesita una protección especialmente sólida (sección 3.4.2 de AN12196). Por separado, la firma de originalidad de NXP respalda una comprobación de procedencia del chip. No autentica el contenido del paquete y es distinta de la verificación de un mensaje SDM.

La variante TagTamper

NTAG424 DNA TagTamper (NT4H2421Tx) es una variante de chip independiente conectada a un bucle de detección en la etiqueta. Con la función habilitada, el chip comprueba el bucle al alimentarse y activarse o cuando un comando pertinente activa una medición. Una vez que registra el estado permanente como Open, ese estado no puede restablecerse a Closed, ni siquiera mediante una nueva personalización. Los estados permanente y actual pueden incluirse en SDM. Véase la sección 10 de la hoja de datos NXP TagTamper. Un proyecto de detección de apertura también necesita una etiqueta que dirija el bucle a través del precinto; confirme la variante y la construcción ofrecidas en la cotización.

Etiquetas NFC seguras para autenticación de prendas de lujo

Para prendas de lujo, utilice una etiqueta que añada un código de autenticación nuevo a cada toque, como NTAG424 DNA con SUN, en lugar de un enlace fijo: una etiqueta copiada no puede generar un código nuevo válido. Proud Tek suministra las etiquetas y cualquier configuración acordada; el proveedor de sistemas de la marca gestiona la verificación. NXP menciona la autenticación de productos y la identificación de ventas fuera de los mercados autorizados como usos (sección 3 de la hoja de datos).

Proud Tek produce etiquetas NFC y etiquetas personalizadas; cada construcción se confirma por pedido y se prueba en muestras.

Prendas de lujo vendidas en Estados Unidos

La misma etiqueta de 13.56 MHz sirve para las ventas en EE. UU.; los teléfonos varían. El iPhone XS y posteriores leen etiquetas URL https en segundo plano sin una aplicación (Apple); realice la prueba piloto con modelos de iPhone y Android. Un minorista estadounidense también puede requerir una etiqueta UHF para inventario (RFID para retail y moda); Proud Tek también fabrica etiquetas y etiquetas colgantes UHF. Pruebe ambas juntas.

Excedentes de fábrica y desvío: qué puede y qué no puede demostrar la autenticación NFC

Un mensaje SUN verificado muestra que una etiqueta que posee su clave lo produjo, no cómo llegó el artículo al vendedor. Los excedentes son unidades que su fabricante por contrato produce más allá de la cantidad autorizada (ejemplo del Departamento de Justicia de EE. UU.) y vende fuera de sus canales, con etiquetas auténticas si quedan etiquetas personalizadas sobrantes en la fábrica. Los productos desviados son existencias autorizadas vendidas fuera del mercado acordado. Controles en torno a la etiqueta:

• Controle las claves y la personalización: emita etiquetas por pedido de compra; concilie las utilizadas y las estropeadas.
• Registre cada UID de chip por producto, fábrica, pedido y mercado.
• Active en la recepción, para que las etiquetas sobrantes devuelvan «no emitida».
• Vigile las ubicaciones de escaneo: los escaneos fuera del mercado emitido de un UID pueden indicar un posible desvío, no demostrarlo. Las direcciones IP y ubicaciones de escaneo pueden ser datos personales (artículo 4, apartado 1, del RGPD); acuerde qué se registra.

Acuerde quién entrega cada parte

Proud Tek puede preparar una configuración de etiqueta acordada a través del servicio de codificación RFID. La cotización debe indicar qué trabajo está incluido. Las etiquetas que configuramos se leen de nuevo una a una, y el pedido se envía con un informe de datos; las etiquetas con un número de serie impreso también reciben un archivo que vincula cada UID con su número de serie, y ambos se entregan como Excel, CSV o XML. El comprador y el integrador definen la configuración y los criterios de aceptación; nunca envíe claves secretas en un formulario de consulta, un correo electrónico ordinario o un archivo de arte final.

Lista de comprobación para la aceptación de muestras

Cómo se compara NTAG424 DNA con otras opciones antifalsificación

Para una URL de información de producto sin requisito de verificación criptográfica, las etiquetas NFC NTAG213 son la opción más sencilla y de menor coste. Si aún está sopesando un toque frente a un código impreso para el mismo enlace, la guía RFID frente a código QR los compara. Elija NTAG424 DNA cuando su integrador requiera verificación criptográfica y pueda aportar el flujo de trabajo de configuración y verificación. Para sistemas de lectores de circuito cerrado en lugar de toques de consumidor, compare en cambio una etiqueta DESFire.

Solicite una cotización de etiquetas NTAG424 DNA

Envíe las dimensiones de la etiqueta o el espacio disponible, la superficie de montaje, la cantidad, las necesidades de arte final, el destino y la fecha requerida. Añada la variante de chip, el estado de entrega solicitado y el resumen de configuración no secreta de su integrador. Si algún detalle se desconoce, indíquelo para que pueda resolverse antes de la preparación de muestras. Utilice el botón de cotización o muestra del producto para mantener seleccionada la etiqueta NTAG424; consulte las condiciones de muestras y la gama de etiquetas RFID para más opciones.