Cartes MIFARE DESFire

Qu'est-ce qu'une carte MIFARE DESFire ?

Une carte MIFARE DESFire est une carte à puce sans contact à 13,56 MHz construite sur une puce DESFire de NXP, qui stocke les données dans des applications et des fichiers séparés, protégés par leurs propres clés, avec une authentification mutuelle AES-128 à partir de la génération EV1. Les intégrateurs de systèmes, les distributeurs et les émetteurs de cartes spécifient DESFire pour le contrôle d'accès, les clés d'hôtel, les cartes de campus et de transport, lorsqu'un identifiant doit être authentifié plutôt que simplement lu par son UID. La règle de sélection est simple : spécifiez DESFire EV3 pour un nouveau système, et respectez la génération, la mémoire et le profil d'application déjà approuvés pour un système existant.

DESFire est une famille, et non une seule référence. EV1, EV2, EV3 et DESFire Light diffèrent par leurs fonctions de sécurité, leur mémoire et le statut de cycle de vie chez NXP, et le micrologiciel du lecteur ainsi que le logiciel déterminent lesquelles de ces fonctions le projet peut réellement utiliser. Cette page est le guide de décision pour la famille ; pour une commande répétée de la génération EV2, la page des cartes MIFARE DESFire EV2 couvre en profondeur les références, les types de fichiers, les commandes et les tests d'acceptation EV2.

• Nouveau système d'accès, de campus ou multi-application : DESFire EV3, avec une mémoire dimensionnée à partir du plan d'application ; qualifiez des échantillons EV3 auprès du fournisseur du lecteur et du logiciel.
• Installation EV2 existante : la référence EV2 exacte et le profil d'identifiant approuvé.
• Installation EV1 existante : la spécification EV1 installée, ou EV3 dans le mode rétrocompatible utilisé par votre système, après que les lecteurs ont passé un test de compatibilité.
• Application unique, mémoire limitée, identifiant à moindre coût : DESFire Light, si le lecteur et le logiciel le prennent en charge et si sa structure de fichiers fixe convient à l'application.
• Porte-clés, bracelet ou autocollant au lieu d'une carte : la même génération avec la variante de puce « H » à haute capacité (70 pF pour EV1, EV2 et EV3 ; 50 pF pour DESFire Light), lorsque la plus petite antenne l'exige.
• Mise à niveau depuis MIFARE Classic : DESFire EV3, ou MIFARE Plus si les lecteurs doivent conserver un mode compatible Classic, avec une période bi-technologie planifiée et une gestion des clés.

DESFire EV1 vs EV2 vs EV3 vs DESFire Light

Les quatre partagent l'interface radio ISO/IEC 14443 Type A et les commandes de fichiers ISO/IEC 7816-4. Ce qui change d'une génération à l'autre, c'est l'ensemble des fonctions de sécurité, le niveau de certification et le fait que NXP recommande ou non la puce pour les nouvelles conceptions. Le tableau résume les informations publiques sur les produits NXP ; une fonction n'est utile que lorsque le micrologiciel du lecteur et l'application la mettent en œuvre.

D40 (MF3ICD40) est la génération DESFire d'origine, aujourd'hui abandonnée, avec DES et 3DES uniquement. EV1, EV2 et EV3 peuvent exécuter son mode de messagerie sécurisée pour les lecteurs hérités, de sorte qu'un parc D40 est normalement réapprovisionné avec une puce plus récente, après que les lecteurs ont passé un test d'échantillon dans ce mode.

EV3 est la génération DESFire principale actuelle de NXP : elle conserve l'ensemble des fonctions EV2, ajoute SUN et le Transaction Timer, et NXP indique une distance de fonctionnement pouvant atteindre 100 mm selon le champ du lecteur et la géométrie de l'antenne. SUN permet à un téléphone de produire, par un simple passage, un code frais et vérifiable dans une URL, le même mécanisme que celui utilisé par les étiquettes NTAG 424 DNA ; il ne prouve l'authenticité que lorsque votre backend vérifie le code. Les évaluations Common Criteria couvrent la puce et son système d'exploitation, et non une carte finie ni un déploiement qui utilise encore des clés par défaut.

Quelle génération DESFire spécifier ?

• Pourquoi EV3 pour les nouvelles installations : c'est la génération que NXP recommande actuellement pour les nouvelles conceptions, elle conserve l'ensemble des fonctions EV2 et peut exécuter les modes de compatibilité EV2, EV1 et D40 dans un parc mixte.
• Pourquoi respecter un parc EV2 existant : les lecteurs, les clés et le logiciel d'émission sont déjà approuvés pour cette génération ; la page DESFire EV2 énumère les références 2K, 4K et 8K et les contrôles d'acceptation EV2.
• Pourquoi tester avant de remplacer EV1 : EV3 peut remplacer EV1 grâce à son mode de messagerie sécurisée compatible EV1, mais seulement après que les lecteurs installés, le logiciel et la configuration des clés ont passé un test d'échantillon ; la disponibilité d'une référence EV1 exacte est confirmée dans le devis.
• Pourquoi DESFire Light n'est pas un substitut direct : il possède une seule application prédéfinie et un ensemble de fichiers fixe, il ne peut donc pas remplacer une carte multi-application EV2 ou EV3.
• Appel d'offres ou spécification de sécurité : confirmez par écrit avec l'intégrateur le niveau Common Criteria, les fonctions requises (Transaction MAC, Proximity Check, SUN) et tout paramètre Random ID, avant l'étape des échantillons.

DESFire 2K, 4K ou 8K : de quelle mémoire avez-vous besoin ?

Le chiffre de « DESFire 4K » ou « DESFire 8K » désigne l'EEPROM de la puce, en kilobytes. La taille adaptée dépend du nombre d'applications portées par la carte, de la taille de leurs fichiers et de leur nombre d'enregistrements, du stockage des clés et de la surcharge du système de fichiers, ainsi que de la place à prévoir pour les applications ajoutées ultérieurement. Une carte avec plus de mémoire que nécessaire coûte plus cher sans améliorer la sécurité ; une carte avec trop peu de mémoire ne peut pas accueillir l'application suivante. Considérez le tableau comme un point de départ pour la discussion avec votre intégrateur.

Les références standard conviennent aux antennes de cartes ID-1 ; les références « H » ont une capacité d'entrée plus élevée pour les antennes plus petites des porte-clés, des bracelets et des autocollants. La variante de puce et l'inlay sont choisis ensemble, et la portée de lecture est confirmée avec un échantillon sur votre lecteur.

Formats de carte, matériaux et personnalisation

La même génération DESFire peut être fournie sous plusieurs formats d'identifiant, de sorte qu'un site peut délivrer des cartes au personnel et des porte-clés ou des bracelets à d'autres utilisateurs sur un seul système. Pour chaque commande, notre usine de Shenzhen associe la puce à un inlay correspondant et produit le corps de carte, de sorte que le format est choisi pour l'utilisateur et l'environnement plutôt que pour une ligne de production fixe.

• Cartes ISO ID-1 (85,6 × 54 mm) : corps en PVC, PET ou composite, avec impression offset ou numérique, finition brillante ou mate, bande de signature, piste magnétique et numérotation variable. Consultez les cartes RFID imprimées pour les options de visuel et d'impression.
• Autres matériaux : cartes RFID en bois dans des bois tels que le cerisier, le bambou, l'érable ou le noyer noir, avec gravure laser ou impression UV, ainsi que des cartes en PLA (à base d'amidon de maïs) ou en papier ; confirmez la puce et la finition de résistance à l'eau pour l'usage prévu.
• Porte-clés et tags : corps en ABS, époxy, FR4 et autres, sur la page tag et porte-clés DESFire, pour les résidents et le personnel qui préfèrent un identifiant porte-clés.
• Bracelets : bracelets en silicone pour piscines, salles de sport et complexes hôteliers, et bracelets d'hôtel pour les chambres et les dépenses sans numéraire.
• Autocollants et étiquettes : autocollants MIFARE avec puces DESFire pour appareils et coques de téléphone, y compris les constructions pour métal.
• Cartes de transition : une carte combi peut associer une puce 13,56 MHz telle que DESFire à une puce 125 kHz pendant qu'un parc migre depuis des lecteurs de proximité ; confirmez la paire de puces dans le devis.

Les cartes DESFire numérotées sont livrées avec un fichier Excel, CSV ou XML donnant l'UID de chaque carte à côté de son numéro imprimé. Si des codes-barres ou des QR codes doivent également correspondre à des données encodées dans une application, indiquez la règle de correspondance dans la demande de devis, afin qu'elle soit vérifiée sur l'échantillon.

Encodage et gestion des clés : qui détient les clés DESFire ?

La sécurité DESFire dépend des clés, convenez donc de l'état de livraison avant de commander. Les cartes peuvent être fournies dans l'état de transport par défaut d'usine de la puce pour votre propre personnalisation, avec une liste d'UID si nécessaire, ou préparées via notre service d'encodage RFID avec les applications, les fichiers et les droits d'accès attendus par votre système ; chaque carte que nous personnalisons est relue pour confirmer ce qui a été écrit, et un rapport de données accompagne la commande. Les clés d'application et les clés maîtres restent chez le propriétaire du système, sauf si un schéma de clés et une méthode de remise sont convenus par écrit ; si votre politique conserve les clés en interne, commandez des cartes vierges et encodez-les sur votre propre équipement.

• Décrivez la structure de l'application, le type de clé et le schéma de diversification sans envoyer de valeurs secrètes dans la demande ou le visuel.
• Décidez si Random ID est activé. Il masque l'UID fixe lors de la sélection de la carte, mais un lecteur ou un logiciel qui identifie les cartes uniquement par l'UID cessera de fonctionner avec lui. La liste d'UID fournie avec les cartes numérotées donne l'UID fixe de chaque carte, que ce type de lecteur ne voit jamais.
• Convenez de qui modifie la clé maître par défaut de la carte, qui charge les clés de production dans les lecteurs ou les SAM, et qui enrôle les cartes finies.
• Conservez la configuration approuvée dans le dossier, afin que les commandes répétées soient préparées à l'identique.

Les cartes DESFire fonctionneront-elles avec mon lecteur ou ma serrure ?

Un lecteur qui affiche un numéro de carte n'a fait que lire l'UID ; il ne s'est pas authentifié auprès d'une application DESFire. Avant une commande en volume, demandez au fournisseur du lecteur, de la serrure ou du logiciel de confirmer les points ci-dessous, puis testez un échantillon dans le flux complet d'émission et d'accès.

• Protocole : le lecteur prend en charge ISO/IEC 14443-4 (ISO-DEP) et le jeu de commandes DESFire, et pas seulement la lecture d'UID à 13,56 MHz.
• Génération et mode : le micrologiciel prend en charge le mode de messagerie sécurisée utilisé par votre application (mode D40, EV1 ou EV2, clés AES ou clés 3DES héritées) et, pour les fonctions EV3 telles que le Transaction Timer, les commandes les plus récentes ; SUN exige un encodeur qui configure Secure Dynamic Messaging et un backend qui vérifie le code.
• Format d'identifiant : certaines plateformes d'accès utilisent leurs propres formats d'application DESFire. Nous fournissons des cartes pour les systèmes qui acceptent un identifiant DESFire standard ou défini par le projet ; confirmez auprès de votre fournisseur de système si son format peut être émis sur des cartes de tiers.
• Parcs mixtes : les lecteurs doivent continuer à accepter les cartes déjà sur le terrain pendant un changement de génération.
• Téléphones : avec une application NFC adaptée, la plupart des téléphones Android compatibles NFC et des iPhones peuvent détecter une carte DESFire, mais la lecture d'une application protégée exige votre application et les clés ; un simple passage de téléphone ne confirme pas la compatibilité du système.

Migration de MIFARE Classic ou MIFARE Plus vers DESFire

MIFARE Classic utilise l'algorithme Crypto-1, dont les faiblesses publiées rendent les cartes Classic faciles à copier, et de nombreux systèmes Classic accordent l'accès sur le seul UID. DESFire remplace ce mécanisme par une authentification d'application AES-128, mais seulement lorsque les lecteurs sont reconfigurés pour authentifier l'application. MIFARE Plus est l'alternative lorsque les lecteurs doivent conserver un niveau de sécurité compatible Classic pendant la migration ; DESFire convient aux projets qui passent à un modèle d'application et de fichiers.

• Mettez à jour le micrologiciel du lecteur afin qu'il authentifie l'application DESFire avec les clés du projet, au lieu d'accepter un UID.
• Générez et stockez les clés maîtres en toute sécurité, avec un schéma de diversification par carte convenu avec l'intégrateur.
• Menez une période bi-technologie, réémettez les identifiants selon un calendrier planifié, puis désactivez les anciens types de cartes dans le logiciel d'accès.
• Conservez le numéro de carte ou le schéma d'identifiant imprimé de façon cohérente, afin que la migration de la base de données reste simple.

DESFire pour les clés d'hôtel et le contrôle d'accès

Dans les hôtels, c'est le système de serrure qui décide de l'identifiant. Certaines plateformes de serrures utilisent DESFire pour séparer l'accès à la chambre d'autres applications telles que le spa ou les dépenses sans numéraire ; la carte doit correspondre à l'encodage du fabricant de serrures et à l'encodeur de la réception, ce qui est confirmé avec le fournisseur de serrures et un échantillon. Consultez le guide des cartes de clé d'hôtel pour les exigences propres aux serrures. Pour les bureaux, les résidences et les campus, le guide des porte-clés de contrôle d'accès compare les porte-clés de proximité 125 kHz avec les identifiants MIFARE Classic et DESFire.

Commander des cartes DESFire et des échantillons

Les échantillons standard DESFire sont gratuits via le pack d'échantillons ; les échantillons personnalisés avec votre visuel ou votre encodage entraînent des frais de mise en route confirmés avant le début des travaux. Les produits standard sont généralement expédiés sous deux à trois semaines, et les grosses commandes sont planifiées individuellement. Nous répondons sous un jour ouvré et envoyons un devis sous un jour ouvré à compter d'une demande exploitable. Le MOQ, le fret et la disponibilité d'une référence DESFire précise sont confirmés dans le devis. Des circuits d'approvisionnement en puces solides et notre propre production nous permettent de proposer des prix compétitifs par rapport à la spécification, à la quantité et à la qualité que vous définissez ; consultez comment nous fabriquons et fournissons les cartes RFID pour la portée de certification et le processus.

• La génération DESFire et la référence exacte si elle est connue, la taille de mémoire, et s'il s'agit d'une nouvelle commande ou d'une commande devant correspondre à une spécification installée.
• La marque, le modèle et le micrologiciel du lecteur ou de la serrure, ainsi que le logiciel qui émet les cartes.
• L'état de livraison : état par défaut d'usine avec liste d'UID, ou encodé selon un profil d'application convenu.
• Le format et le matériau de la carte, les dimensions, le visuel, la numérotation, la quantité, la destination et la date cible.

Envoyez ces informations via la page de contact. Références de puces : NXP MIFARE DESFire EV3 et NXP MIFARE DESFire EV2. La documentation des puces décrit les capacités des circuits intégrés ; elle n'établit ni le stock ni la compatibilité d'une carte finie avec votre système.