Étiquettes NFC NTAG424 DNA

Précisez l'étiquette et l'état de livraison

Utilisez NTAG424 DNA lorsque votre projet exige une vérification cryptographique de l'étiquette au-delà d'un simple lien produit statique. Choisissez l'étiquette adaptée à l'emballage réel, puis convenez du processus de personnalisation et de vérification. Un message d'étiquette valide ne prouve pas, à lui seul, que le contenu d'un emballage est authentique.

Capacités de la puce NTAG424 DNA

Il s'agit de fonctionnalités de puce décrites dans la fiche technique NXP NTAG424 DNA. L'image d'étiquette de cette page est un exemple de format générique, et la puce et la construction devisées doivent être confirmées avant la commande.

Fonctionnement de Secure Dynamic Messaging (SUN)

Secure Dynamic Messaging (SDM) alimente le message Secure Unique NFC (SUN). Lorsqu'elle est configurée pour le SDM, la puce insère des données d'authentification dans une URL NDEF au moment de la lecture. Le serveur de vérification contrôle le message et l'historique des compteurs ; la lecture d'une URL statique ordinaire n'est pas une vérification SUN.

• Lecture. Un téléphone compatible lit l'URL NDEF configurée. Confirmez les modèles de téléphone et le comportement de lecture lors du pilote.
• Sur la puce. La puce génère les champs SDM configurés, tels que l'UID et les données de compteur chiffrés et un AES-CMAC. Des lectures successives au sein d'une même séquence de lecture peuvent utiliser le même compteur.
• Ouverture. Le téléphone ouvre l'URL avec les champs d'authentification, par exemple `https://verify.example.com/t?picc_data=…&cmac=…`.
• Vérification. Le serveur contrôle les champs cryptographiques configurés et l'historique des compteurs pour cette étiquette.
• Résultat. Le service affiche le résultat convenu pour un message valide, un message déjà vu ou des données invalides.

Le vérificateur doit rejeter les compteurs qu'il a déjà vus ou qu'il reçoit dans le désordre. Cela détecte ces rejeux, mais un message collecté plus tôt et jamais soumis peut encore passer un contrôle ultérieur. NXP décrit ce risque résiduel dans la section 9.3 de la fiche technique. Votre intégrateur doit décider si cela est acceptable pour l'application ; les contrôles de compteur ne prouvent pas une lecture en direct. Pour les détails de configuration et de vérification, utilisez NXP AN12196.

Pourquoi une étiquette SUN résiste à la copie : le code d'authentification CMAC

En mode AES, le code d'authentification CMAC de NTAG424 DNA est un AES-CMAC tronqué à 8 octets (NIST SP 800-38B). La puce le calcule à chaque nouvelle lecture à partir d'une clé de session dérivée d'une clé secrète et, selon la configuration, de l'UID et du compteur, et le reflète dans l'URL (fiche technique 9.3.7–9.3.9). Seul un vérificateur détenant la clé peut le recalculer : une étiquette clonée ne peut que rejouer des messages produits par l'étiquette authentique, tandis qu'une URL statique copiée fonctionne comme l'originale.

Ce que le serveur de vérification de la marque doit contrôler

1. Déchiffrez l'UID et le compteur avec la clé SDM meta-read, s'ils sont chiffrés.
2. Recalculez le CMAC à partir de la clé SDM file-read de l'étiquette, de l'UID, du compteur et de toute donnée d'URL couverte ; rejetez en cas de discordance.
3. Rejetez un compteur répété ou hors ordre, puis enregistrez le nouveau.
4. Recherchez l'UID : émise ou non, ainsi que son produit, sa commande et son marché ; vérifiez tout état TagTamper reflété dans le message.

Les cinq clés AES-128 et le rôle de chacune

NTAG424 DNA contient cinq clés AES-128 indépendantes, numérotées de la clé 0 à la clé 4. La clé 0 est fixée comme application master key. Les quatre autres sont attribuées à des rôles par l'intégrateur lors de la personnalisation ; la correspondance ci-dessous est un agencement courant plutôt qu'une attribution câblée.

En production, la clé SDM file-read est généralement diversifiée par étiquette à partir de la clé maîtresse du détenteur de la clé, de sorte qu'une clé récupérée n'expose pas les autres étiquettes. Si l'UID est chiffré dans l'URL, la clé meta-read ne doit pas être diversifiée par UID, car le serveur déchiffre l'UID avec elle ; cette clé partagée exige une protection particulièrement forte (AN12196, section 3.4.2). Par ailleurs, la signature d'originalité NXP appuie un contrôle de provenance de la puce. Elle n'authentifie pas le contenu de l'emballage et se distingue de la vérification d'un message SDM.

La variante TagTamper

NTAG424 DNA TagTamper (NT4H2421Tx) est une variante de puce distincte reliée à une boucle de détection dans l'étiquette. Lorsque la fonction est activée, la puce contrôle la boucle lorsqu'elle est alimentée et activée, ou lorsqu'une commande pertinente déclenche une mesure. Dès qu'elle enregistre l'état permanent Open, cet état ne peut pas être réinitialisé à Closed, y compris par une nouvelle personnalisation. Les états permanent et actuel peuvent être inclus dans le SDM. Voir la fiche technique NXP TagTamper, section 10. Un projet de détection d'ouverture exige aussi une étiquette dont la boucle traverse le scellé ; confirmez la variante et la construction proposées dans le devis.

Étiquettes NFC sécurisées pour l'authentification des vêtements de luxe

Pour les vêtements de luxe, utilisez une étiquette qui ajoute un nouveau code d'authentification à chaque lecture, comme NTAG424 DNA avec SUN, plutôt qu'un lien fixe : une étiquette copiée ne peut pas générer un nouveau code valide. Proud Tek fournit les étiquettes et toute configuration convenue ; le prestataire système de la marque assure la vérification. NXP cite l'authentification des marchandises et l'identification des ventes hors marchés autorisés parmi les usages (fiche technique, section 3).

Proud Tek produit des étiquettes NFC et des étiquettes personnalisées ; chaque construction est confirmée par commande et testée sur échantillons.

Vêtements de luxe vendus aux États-Unis

La même étiquette 13,56 MHz convient aux ventes aux États-Unis ; les téléphones varient. L'iPhone XS et les modèles ultérieurs lisent les étiquettes URL https en arrière-plan sans application (Apple) ; pilotez avec des modèles iPhone et Android. Un détaillant américain peut aussi exiger une étiquette UHF pour l'inventaire (RFID pour le commerce de détail et l'habillement) ; Proud Tek fabrique aussi des étiquettes et étiquettes suspendues UHF. Testez les deux ensemble.

Surproduction en usine et détournement : ce que l'authentification NFC peut et ne peut pas prouver

Un message SUN vérifié montre qu'une étiquette détenant votre clé l'a produit, et non la manière dont l'article est parvenu au vendeur. Les surproductions sont des unités que votre fabricant contractuel produit au-delà de la quantité autorisée (exemple du ministère américain de la Justice) et vend hors de vos circuits, avec des étiquettes authentiques si des étiquettes personnalisées de rechange se trouvent à l'usine. Les marchandises détournées sont des stocks autorisés vendus hors du marché convenu. Contrôles autour de l'étiquette :

• Contrôlez les clés et la personnalisation : émettez les étiquettes par commande d'achat ; rapprochez les étiquettes utilisées et celles mises au rebut.
• Enregistrez chaque UID de puce en regard du produit, de l'usine, de la commande et du marché.
• Activez à la réception, pour que les étiquettes excédentaires renvoient « non émise ».
• Surveillez les lieux de lecture : des lectures hors du marché d'émission d'un UID peuvent signaler un éventuel détournement, sans le prouver. Les adresses IP et les lieux de lecture peuvent être des données à caractère personnel (article 4, paragraphe 1, du RGPD) ; convenez de ce qui est journalisé.

Convenez de qui fournit chaque partie

Proud Tek peut préparer une configuration d'étiquette convenue via le service d'encodage RFID. Le devis doit indiquer quels travaux sont inclus. Les étiquettes que nous configurons sont chacune relues, et la commande est expédiée avec un rapport de données ; les étiquettes avec un numéro de série imprimé reçoivent aussi un fichier qui relie chaque UID à son numéro de série, et les deux sont fournis aux formats Excel, CSV ou XML. L'acheteur et l'intégrateur définissent la configuration et les critères d'acceptation ; n'envoyez jamais de clés secrètes dans un formulaire de demande, un courriel ordinaire ou un fichier de visuels.

Liste de contrôle d'acceptation des échantillons

Comparaison de NTAG424 DNA avec d'autres options de lutte contre la contrefaçon

Pour une URL d'information produit sans exigence de vérification cryptographique, les étiquettes NFC NTAG213 sont le choix le plus simple et le moins coûteux. Si vous hésitez encore entre une lecture et un code imprimé pour le même lien, le guide RFID contre QR code les compare. Choisissez NTAG424 DNA lorsque votre intégrateur exige la vérification cryptographique et peut fournir la configuration et le processus de vérification. Pour les systèmes de lecteurs en boucle fermée plutôt que les lectures par les consommateurs, comparez plutôt une étiquette DESFire.

Demandez un devis pour des étiquettes NTAG424 DNA

Envoyez les dimensions de l'étiquette ou l'espace disponible, la surface de pose, la quantité, les besoins en visuels, la destination et la date requise. Ajoutez la variante de puce, l'état de livraison demandé et le résumé de configuration non secret de votre intégrateur. Si un détail est inconnu, signalez-le pour qu'il puisse être résolu avant la préparation des échantillons. Utilisez le bouton de devis ou d'échantillon du produit pour garder l'étiquette NTAG424 sélectionnée ; consultez les modalités d'échantillons et la gamme d'étiquettes RFID pour d'autres options.