Carte MIFARE Classic

MIFARE Classic en bref

• Deux tailles de mémoire : la 1K (S50, 16 secteurs), l'identifiant habituel pour portes, hôtels et adhésions, est détaillée sur cette page ; la 4K (S70, 40 secteurs) est traitée sur la page de la carte MIFARE Classic 4K.
• Génération actuelle : Classic EV1, dans les deux tailles. NXP la déconseille pour les nouvelles conceptions.
• Sécurité : Crypto-1 est cassé, et EV1 ne change rien à cela. Utilisez Classic pour correspondre à un système installé ou comme identifiant de commodité ; pour un nouveau système sécurisé, choisissez MIFARE DESFire ou MIFARE Plus.
• Ce que nous fabriquons : cartes, porte-clés, bracelets et autocollants sur puces NXP MIFARE Classic EV1 authentiques (MF1S50 pour la 1K, MF1S70 pour la 4K), imprimés et livrés vierges ou encodés.

Caractéristiques de la carte MIFARE Classic

Les chiffres de puces proviennent des fiches techniques NXP MIFARE Classic EV1. Le matériau de la carte, l'impression et la distance de lecture sont confirmés pour votre commande et vérifiés sur un échantillon avec votre lecteur.

Ce qu'est une carte MIFARE Classic

Une puce MIFARE Classic utilise l'interface radio ISO/IEC 14443 Type A, parties 1 à 3, avec son propre jeu de commandes Classic et l'authentification Crypto-1 au lieu de la couche de protocole ISO/IEC 14443-4 utilisée par DESFire. La mémoire est une grille fixe de secteurs et de blocs, et chaque secteur a sa propre paire de clés, de sorte que plusieurs applications peuvent partager une carte sous des clés séparées. Les systèmes de contrôle d'accès, d'hôtel et de billetterie construits sur Classic n'acceptent une carte que lorsque le lecteur, son micrologiciel et le format de carte correspondent tous, confirmez donc la prise en charge du système exact, et non de la seule fréquence.

1K ou 4K : comment les deux tailles se comparent

Commandes, clés, Crypto-1 et options d'UID sont identiques dans les deux tailles, mais un système peut n'accepter que la taille pour laquelle il a été conçu. Un identifiant de porte ou d'hôtel n'a besoin que de quelques blocs, la 1K est donc la commande habituelle. Lorsque plusieurs applications ou des enregistrements sur carte exigent plus de secteurs, voir quand la mémoire 4K est nécessaire.

MIFARE Classic EV1 en 1K et 4K

Les puces Classic actuelles de NXP sont de génération EV1 : MF1S50 pour la 1K et MF1S70 pour la 4K. Elles conservent l’organisation de la mémoire et le jeu de commandes Classic, elles fonctionnent donc dans les systèmes Classic existants. NXP présente EV1 comme la plus haute évolution de la famille, succédant à toutes les versions précédentes, et lui attribue une grande robustesse aux décharges électrostatiques et des performances RF très efficaces. Par rapport aux fiches techniques de 2011 de NXP pour les précédents MF1S50yyX et MF1S70yyX, EV1 ajoute trois choses :

• Durcissement contre les premières attaques ne nécessitant que la carte. EV1 génère un nonce de carte vraiment aléatoire et ne laisse plus fuiter de flux de clé par un code d'erreur chiffré après un échec d'authentification, les deux failles à l'origine des attaques nested et darkside. Le chiffrement est inchangé, de sorte que l'attaque hardnested de 2015 récupère toujours ses clés (voir la section sécurité ci-dessous).
• Option de modulation de charge. La force de modulation de charge de la carte peut passer de forte (par défaut) à normale lorsqu'un système de lecteur l'exige.
• Contrôle d'originalité. La 1K EV1 prend en charge le contrôle d'originalité de NXP ; la 4K EV1 ne le prend pas en charge.

Repris sans changement des puces précédentes : le choix d'un UID de 7 octets ou d'un NUID de 4 octets, avec identifiant aléatoire et personnalisation de l'UID effectuée une seule fois sur les versions 7 octets (expliqués dans la section suivante), 200 000 cycles d'écriture en typique (100 000 minimum), au moins 10 ans de rétention des données et une distance de fonctionnement jusqu'à 100 mm. NXP signale Classic EV1 comme non recommandé pour les nouvelles conceptions et nomme MIFARE DESFire Light comme alternative.

NUID de 4 octets ou UID de 7 octets

L'identifiant se trouve dans le bloc 0 du secteur 0, le bloc fabricant, que NXP programme et protège en écriture en production. Classic EV1 se commande dans l'une des deux variantes, et le choix compte pour tout système qui enrôle ou recherche des cartes par leur identifiant.

Un UID de 7 octets peut surprendre les logiciels anciens. Au premier niveau de cascade, la carte renvoie l'étiquette de cascade 88h et seulement les trois premiers octets de l'UID, de sorte qu'un contrôleur qui ne stocke que cette première réponse enregistre un numéro différent de l'UID complet. Les versions 7 octets peuvent plutôt être personnalisées pour répondre avec un identifiant aléatoire de taille simple, ou avec un NUID de 4 octets calculé à partir de l'UID de 7 octets. La commande Personalize UID Usage définit cela une fois puis le verrouille, et NXP recommande de l'envoyer pendant la personnalisation même lorsque la valeur par défaut est conservée. Indiquez-nous pour quel identifiant le système a été conçu, ou envoyez une carte en état de marche, et testez un échantillon dans les vrais lecteurs avant une commande importante.

Organisation de la mémoire 1K : secteurs, blocs et bloc de contrôle de secteur (sector trailer)

Une puce 1K compte 16 secteurs, chacun de 4 blocs de 16 octets : 1 024 octets. Le dernier bloc de chaque secteur (bloc 3) est le bloc de contrôle de secteur (sector trailer) ; les autres contiennent des données. Le secteur 0, bloc 0 est le bloc fabricant avec l'UID et les données NXP, programmé et protégé en écriture en production. Il reste 47 blocs de données, environ 752 octets. La disposition 4K, avec ses huit grands secteurs, est exposée sur la page de la carte MIFARE Classic 4K.

Deux clés gardent chaque secteur : la clé A et la clé B, conservées dans le bloc de contrôle de secteur avec les bits d'accès (tableau ci-dessous). Les bits d'accès décident, bloc par bloc, quelle clé peut lire, écrire, incrémenter ou décrémenter. Un schéma courant donne aux lecteurs de terrain la clé A pour la lecture et garde la clé B, qui peut écrire, à la station d'émission. La clé A se relit toujours comme des zéros, et la clé B aussi sauf si les bits d'accès la rendent lisible, auquel cas elle sert de données plutôt que de clé. À la livraison, chaque clé est FFFFFFFFFFFF et les octets d'accès sont FF0780, la configuration de transport ; la clé B est lisible dans cet état, une carte neuve s'authentifie donc avec la clé A. La puce vérifie le format des bits d'accès à chaque accès et bloque irréversiblement tout le secteur si le format est erroné, écrivez donc les blocs de contrôle de secteur avec un script testé.

Un bloc de valeur contient une valeur signée de 4 octets dans un format redondant qui permet la détection d'erreurs et la gestion de sauvegarde, et prend en charge l'incrémentation, la décrémentation, la restauration et le transfert. C'est ainsi que les porte-monnaie en boucle fermée et les compteurs ont été construits sur Classic. Rien de cette structure n'est secret : la protection repose entièrement sur les clés de secteur et le chiffrement.

Sécurité : Crypto-1 est cassé, y compris sur EV1

Classic protège ses secteurs avec Crypto-1, un chiffrement par flot propriétaire à clés de 48 bits, exécuté dans une authentification mutuelle en trois passes avant que tout bloc puisse être lu ou écrit. NXP ne l'a jamais publié. En décembre 2007, Karsten Nohl et Henryk Plötz ont présenté une rétro-ingénierie partielle à partir du silicium, et en 2008 des chercheurs de l'université Radboud de Nimègue l'ont achevée et ont publié des attaques pratiques de récupération de clés. Les attaques ne nécessitant que la carte qui ont suivi, nested et darkside, utilisaient deux failles de mise en œuvre : un nonce de carte prévisible et un code d'erreur chiffré après un échec d'authentification.

Classic EV1 et les autres cartes « durcies » suppriment ces deux failles sans rompre la compatibilité avec les lecteurs Classic. Elles ne changent pas le chiffrement. En 2015, Carlo Meijer et Roel Verdult ont publié l'attaque hardnested, qui utilise une fuite de bit de parité intégrée au protocole Classic, exige une clé connue (les secteurs inutilisés conservent souvent une clé par défaut) et a récupéré une clé d'une carte durcie en environ cinq minutes sur un seul cœur de processeur, avec du matériel grand public. Leur conclusion : toute carte compatible Classic doit être traitée comme une simple carte mémoire.

La conséquence est permanente. Une fois une clé de secteur connue, ce qui selon Meijer et Verdult est presque toujours le cas en pratique, quiconque dispose de quelques minutes d'accès à une carte Classic, EV1 comprise, peut récupérer ses autres clés de secteur, la lire en entier et copier son contenu, et aucun changement de micrologiciel ne corrige Crypto-1. Traitez MIFARE Classic, EV1 comprise, comme un identifiant de commodité, et non de sécurité : acceptable lorsque la carte identifie seulement un porteur que le système central vérifie, inadapté comme seule protection pour une valeur stockée, des portes devant résister au clonage, ou des données personnelles. Pour les applications sensibles à la sécurité, NXP elle-même renvoie les clients vers MIFARE DESFire et MIFARE Plus.

Lorsqu'une base installée maintient pour l'instant un système sur Classic, ces mesures limitent les dégâts sans rendre la carte sécurisée :

• Diversifiez les clés par carte. Dérivez les clés de secteur de chaque carte à partir de son UID et d'une clé maîtresse conservée dans un module sécurisé, de sorte qu'une clé récupérée ne déverrouille qu'une carte plutôt que tout le parc.
• Vérifiez côté système central, pas sur la carte. Traitez la carte comme un identifiant et vérifiez les droits, la validité et le lieu côté serveur ; un UID ou une valeur de secteur seul ne prouve rien, car il existe des cartes clones à UID inscriptible.
• Surveillez les anomalies. Signalez le même identifiant apparaissant en deux lieux dans un délai de déplacement impossible, ou des échecs d'authentification répétés, pour transformer un clonage illimité en une poignée d'incidents détectables.
• Planifiez la migration. Passez à MIFARE Plus, qui peut fonctionner dans les lecteurs Classic actuels en niveau de sécurité 1 et passer à l'AES en niveau de sécurité 3 à mesure que les lecteurs sont mis à niveau (en SL1, il utilise toujours Crypto-1, le gain de sécurité vient donc avec SL3), ou à MIFARE DESFire pour un nouveau système sécurisé.

Classic reste la bonne commande lorsque les lecteurs et serrures installés sont uniquement Classic, ou lorsque la carte ne porte qu'un identifiant vérifié par le système central et que le risque de clonage est faible : la plupart des clés d'hôtel, des adhésions de salle de sport, des badges visiteurs et des identifiants d'événements.

Puces « compatibles MIFARE », et pourquoi nous utilisons NXP EV1

MIFARE Classic est un produit NXP, mais des puces compatibles d'autres fabricants, le plus souvent la famille FM11RF08 de Fudan, mettent en œuvre la couche ISO/IEC 14443-3A et les commandes Crypto-1 d'assez près pour fonctionner dans de nombreux lecteurs Classic, et un lecteur qui ne vérifie que l'ATQA et le SAK peut ne pas les distinguer. Ce ne sont pas les mêmes puces. En août 2024, Philippe Teuwen de Quarkslab a publié une clé de porte dérobée matérielle dans la FM11RF08S de Fudan, et une clé de porte dérobée plus ancienne partagée par les puces Fudan FM11RF08 et FM11RF32 et par les anciennes puces Philips (aujourd'hui NXP) MF1ICS5003 et MF1ICS5004 fabriquées vers 1998 à 2001 et les cartes Infineon SLE66R35. Avec une telle clé, toutes les clés de secteur peuvent être récupérées en quelques minutes même lorsqu'elles sont diversifiées. Il a trouvé les cartes Fudan dans des hôtels aux États-Unis, en Europe et en Inde ; les échantillons NXP Classic EV1 qu'il a testés ont rejeté les commandes non documentées.

Cette recherche est l'une des raisons pour lesquelles nous construisons chaque carte, porte-clés, bracelet et autocollant MIFARE Classic sur une puce NXP MIFARE Classic EV1 authentique, MF1S50 ou MF1S70, et ne proposons pas de puce Fudan ou autre puce « compatible MIFARE » comme option Classic. Où que vous achetiez, précisez la puce exacte sur le bon de commande, par exemple « NXP MIFARE Classic EV1 1K, MF1S50, UID de 7 octets » plutôt que « 1K compatible MIFARE », et testez un échantillon dans les vrais lecteurs et serrures avant une commande en volume. Une pièce qui s'authentifie dans un lecteur de banc peut toujours être rejetée par un système d'accès qui identifie ses cartes par empreinte, et un clone à UID inscriptible doit être traité comme une menace de clonage par tout système qui établit une liste blanche de cartes à partir de leurs UID. Préciser NXP EV1 évite les familles de puces dans lesquelles ces clés de porte dérobée ont été trouvées ; cela ne corrige pas la faiblesse Crypto-1 décrite ci-dessus.

La famille MIFARE en un coup d'œil

MIFARE est une famille de puces, et non un seul produit, et « MIFARE » sur une spécification n'indique pas au lecteur quel membre est visé. Le tableau oppose Classic à ses proches pour que vous puissiez associer la carte à ce dont le système a réellement besoin ; une puce nommée dans la spécification de votre intégrateur l'emporte toujours sur ce résumé.

Lire les cartes Classic avec des téléphones et des lecteurs

• Lecteurs et serrures d'accès : recherchez une prise en charge explicite de MIFARE Classic, la longueur d'UID requise et le format d'encodage du système. « MIFARE » nomme une famille et ne confirme pas à lui seul la prise en charge de Classic. Lire un UID et s'authentifier sur des données de secteur sont des capacités différentes.
• Téléphones Android : la prise en charge de MifareClassic dépend du matériel et est facultative. Vérifiez le téléphone et l'application exacts, et fournissez les bonnes clés de secteur pour les opérations sur données protégées.
• iPhones : ne choisissez pas Classic pour une application qui doit lire ou écrire des données de secteur via Core NFC. Pour du contenu NDEF destiné aux téléphones, envisagez un tag NFC Forum comme ceux de nos autocollants NFC et testez le téléphone et l'application prévus.
• Lecteurs/graveurs de bureau : l'ACR122U mentionne la prise en charge de MIFARE Classic via des commandes PC/SC ; le µFR Classic CS propose des opérations Classic via son SDK. PC/SC est une interface hôte, vérifiez donc aussi les commandes propres à la carte et la prise en charge logicielle, en plus du modèle de lecteur.

Formats et matériaux des cartes

• Carte standard ID-1 : 85,6 × 54 mm, 0,76 à 0,84 mm d'épaisseur, en PVC, PVC recyclé, PET-G ou polycarbonate ; le format pour les badges du personnel, les adhésions et les clés d'hôtel.
• Cartes fines et papier : PVC de 0,3 à 0,5 mm ou papier couché pour les billets jetables et les laissez-passer d'événements ; voir notre carte RFID papier.
• Cartes en bois et bambou : un corps en bois ou en bambou à la place du PVC ; voir la carte RFID en bois.
• Porte-clés, bracelets et autocollants : la même puce S50 ou S70 dans des porte-clés ABS, des bracelets en silicone ou en tissu et des autocollants MIFARE.
• Cartes combi : une puce Classic et une puce 125 kHz ou UHF dans un seul corps de carte, chacune lue par son propre système ; voir la carte combi. Une carte à double interface est un produit différent : une seule puce accessible à la fois par un plot de contact et une antenne.

Impression et personnalisation

• Impression : impression offset CMJN, couleurs d'accompagnement Pantone, sérigraphie, impression UV et numérique sur les deux faces ; finition mate, brillante ou givrée ; fonds métalliques et holographiques.
• Données variables : numérotation imprimée ou gravée au laser, codes-barres, codes QR, noms et photos d'identité à partir de votre fichier de données. Lorsque l'UID ou un numéro attribué est imprimé sur chaque carte, vous recevez un fichier Excel, CSV ou XML qui associe l'UID de chaque carte à son numéro imprimé.
• Fonctions supplémentaires : piste magnétique HiCo ou LoCo, panneau de signature, panneau à gratter, perforation pour attache, gaufrage.
• Encodage : vierge dans la configuration de transport, ou écrite avec vos données de secteur via notre service d'encodage RFID. Chaque carte que nous encodons est relue ensuite, et un rapport de données est expédié avec chaque commande encodée. Le chargement de vos propres clés de secteur est confirmé dans le devis : convenez séparément de toute remise de clés et n'envoyez jamais de clés dans une demande. L'encodage n'est effectué que pour l'organisation qui administre le système.

Où les cartes MIFARE Classic sont utilisées

• Contrôle d'accès : badges du personnel et des résidents pour bureaux, appartements et parkings ; voir les porte-clés RFID pour le contrôle d'accès.
• Hôtels : cartes-clés d'hôtel pour les nombreux systèmes de serrures construits sur Classic 1K ; guide sur les cartes-clés d'hôtel.
• Adhésions et fidélité : salles de sport, clubs, bibliothèques et cartes de campus.
• Transport et événements : billets aller simple et abonnements, laissez-passer d'événements et bracelets de festival sans espèces.
• Paiement et cantine : porte-monnaie en boucle fermée sur blocs de valeur Classic dans les systèmes anciens ; prévoyez les nouveaux sur MIFARE Plus ou DESFire.

Avant de commander

1. Puce : 1K (S50) ou 4K (S70), et NUID de 4 octets ou UID de 7 octets, selon les indications de votre intégrateur ou fournisseur de serrures ; envoyez une carte en état de marche si la spécification n'est pas claire.
2. Format et matériau : carte PVC standard, carte fine, bois, porte-clés, bracelet ou autocollant.
3. Visuels, finition et toute donnée variable, piste magnétique ou panneau de signature.
4. Encodage et numérotation : vierge, imprimée avec l'UID ou un numéro, ou écrite avec vos données de secteur (le chargement de vos propres clés est confirmé dans le devis).
5. Quantité et date de livraison ; des échantillons sont disponibles pour tester lecteurs et serrures.

Ce que Proud Tek fabrique

Nous fabriquons des cartes, porte-clés, bracelets et autocollants MIFARE Classic avec des puces NXP MIFARE Classic EV1 authentiques, imprimés et personnalisés selon vos spécifications. Nous ne fournissons pas de lecteurs, serrures ou logiciels de contrôle d'accès, et nous ne dupliquons pas de cartes de systèmes que l'acheteur n'administre pas. Si votre système doit faire l'objet d'une mise à niveau de sécurité, comparez la carte MIFARE Plus et les cartes MIFARE DESFire, ou voyez toutes nos cartes RFID.

Référence technique : fiche technique NXP MIFARE Classic EV1 1K et page produit MIFARE Classic. La documentation des puces décrit les capacités des circuits ; elle n'établit ni le stock ni la compatibilité d'une carte finie avec votre système.