Carte MIFARE DESFire

Che cos'è una carta MIFARE DESFire?

Una carta MIFARE DESFire è una smart card contactless a 13.56 MHz basata su un chip NXP DESFire, che memorizza i dati in applicazioni e file separati protetti da chiavi proprie, con autenticazione reciproca AES-128 su EV1 e sulle generazioni successive. Integratori di sistema, distributori ed emittenti di carte specificano DESFire per controllo accessi, chiavi per hotel, carte per campus e trasporti quando una credenziale deve essere autenticata e non semplicemente letta tramite UID. La regola di scelta è breve: specifichi DESFire EV3 per un nuovo sistema e adegui la generazione, la memoria e il profilo applicativo già approvati per un sistema esistente.

DESFire è una famiglia, non un singolo componente. EV1, EV2, EV3 e DESFire Light differiscono per funzioni di sicurezza, memoria e stato del ciclo di vita NXP, e il firmware del lettore e il software decidono quali di queste funzioni il progetto può effettivamente utilizzare. Questa pagina è la guida decisionale per la famiglia; per un ordine ripetuto della generazione EV2, la pagina delle carte MIFARE DESFire EV2 tratta in dettaglio codici prodotto, tipi di file, comandi e test di accettazione EV2.

• Nuovo sistema di accesso, campus o multi-applicazione: DESFire EV3, con memoria dimensionata in base al piano applicativo; qualifichi campioni EV3 con il fornitore del lettore e del software.
• Installazione EV2 esistente: il codice EV2 esatto e il profilo di credenziale approvato.
• Installazione EV1 esistente: la specifica EV1 installata, oppure EV3 nella modalità retrocompatibile utilizzata dal Suo sistema dopo che i lettori superano un test di compatibilità.
• Singola applicazione, memoria limitata, credenziale a costo inferiore: DESFire Light, se il lettore e il software la supportano e la sua struttura di file fissa è adatta all'applicazione.
• Portachiavi, braccialetto o adesivo invece di una carta: la stessa generazione con la variante di chip “H” ad alta capacità (70 pF per EV1, EV2 ed EV3; 50 pF per DESFire Light) dove l'antenna più piccola lo richiede.
• Aggiornamento da MIFARE Classic: DESFire EV3, oppure MIFARE Plus se i lettori devono mantenere una modalità compatibile con Classic, con un periodo pianificato a doppia tecnologia e gestione delle chiavi.

DESFire EV1 vs EV2 vs EV3 vs DESFire Light

Tutte e quattro condividono l'interfaccia aerea ISO/IEC 14443 Type A e i comandi di file ISO/IEC 7816-4. Ciò che cambia tra le generazioni è l'insieme delle funzioni di sicurezza, il livello di certificazione e se NXP raccomanda ancora il chip per i nuovi progetti. La tabella riassume le informazioni pubbliche di prodotto di NXP; una funzione è utile solo quando il firmware del lettore e l'applicazione la implementano.

D40 (MF3ICD40) è la generazione DESFire originale, ora fuori produzione, con solo DES e 3DES. EV1, EV2 ed EV3 possono eseguire la sua modalità di messaggistica sicura per lettori legacy, quindi un parco D40 viene normalmente rifornito con un chip più recente dopo che i lettori superano un test con campioni in quella modalità.

EV3 è l'attuale generazione DESFire mainstream di NXP: mantiene l'insieme di funzioni EV2, aggiunge SUN e Transaction Timer, e NXP indica una distanza operativa fino a 100 mm a seconda del campo del lettore e della geometria dell'antenna. SUN consente a un tocco con lo smartphone di produrre un codice nuovo e verificabile in un URL, lo stesso meccanismo utilizzato dalle etichette NTAG 424 DNA; dimostra l'autenticità solo quando il Suo backend verifica il codice. Le valutazioni Common Criteria riguardano il chip e il suo sistema operativo, non una carta finita o un sistema che utilizza ancora chiavi predefinite.

Quale generazione DESFire dovrebbe specificare?

• Perché EV3 per le nuove realizzazioni: è la generazione che NXP raccomanda attualmente per i nuovi progetti, mantiene l'insieme di funzioni EV2 e può eseguire le modalità di compatibilità EV2, EV1 e D40 in un parco misto.
• Perché adeguarsi a un parco EV2 esistente: lettori, chiavi e software di emissione sono già approvati per esso; la pagina DESFire EV2 elenca i componenti 2K, 4K e 8K e i controlli di accettazione EV2.
• Perché testare prima di sostituire EV1: EV3 può sostituire EV1 tramite la sua modalità di messaggistica sicura compatibile con EV1, ma solo dopo che i lettori installati, il software e la configurazione delle chiavi superano un test con campioni; la disponibilità di un componente EV1 esatto è confermata nel preventivo.
• Perché DESFire Light non è un sostituto diretto: ha un'applicazione predefinita e un insieme di file fisso, quindi non può sostituire una carta multi-applicazione EV2 o EV3.
• Gara o specifica di sicurezza: confermi per iscritto con l'integratore il livello Common Criteria, le funzioni richieste (Transaction MAC, Proximity Check, SUN) e qualsiasi impostazione Random ID prima della fase dei campioni.

DESFire 2K, 4K o 8K: di quanta memoria ha bisogno?

Il numero in “DESFire 4K” o “DESFire 8K” è la EEPROM del chip in kilobyte. La dimensione giusta dipende da quante applicazioni porta la carta, dalle dimensioni dei file e dal numero di record, dalla memorizzazione delle chiavi e dall'overhead del file system, oltre allo spazio per le applicazioni aggiunte in seguito. Una carta con più memoria del necessario costa di più senza migliorare la sicurezza; una carta con memoria insufficiente non può accogliere la prossima applicazione. Consideri la tabella come punto di partenza per il confronto con il Suo integratore.

I componenti standard sono adatti alle antenne per carte ID-1; i componenti “H” hanno una capacità di ingresso maggiore per le antenne più piccole di portachiavi, braccialetti e adesivi. La variante di chip e l'inlay sono scelti insieme, e la portata di lettura è confermata con un campione sul Suo lettore.

Formati di carta, materiali e personalizzazione

La stessa generazione DESFire può essere fornita in diversi formati di credenziale, così un sito può emettere carte al personale e portachiavi o braccialetti ad altri utenti su un unico sistema. Per ogni ordine il nostro stabilimento di Shenzhen abbina il chip a un inlay corrispondente e produce il corpo carta, quindi il formato è scelto in base all'utente e all'ambiente e non in base a una linea di produzione fissa.

• Carte ISO ID-1 (85.6 × 54 mm): corpi in PVC, PET o composito, con stampa offset o digitale, finitura lucida o opaca, pannello firma, banda magnetica e numerazione variabile. Veda le carte RFID stampate per grafica e opzioni di stampa.
• Materiali alternativi: carte RFID in legno in legni come ciliegio, bambù, acero o noce nero con incisione laser o stampa UV, e carte in PLA (prodotto da amido di mais) o carta; confermi il chip e la finitura di resistenza all'acqua per l'uso previsto.
• Portachiavi e tag: corpi in ABS, resina epossidica, FR4 e altri materiali nella pagina tag e portachiavi DESFire, per residenti e personale che preferiscono una credenziale da portachiavi.
• Braccialetti: braccialetti in silicone per piscine, palestre e resort, e braccialetti per hotel per camere e spese cashless.
• Adesivi ed etichette: adesivi MIFARE con chip DESFire per dispositivi e custodie per telefoni, comprese costruzioni on-metal.
• Carte di transizione: una carta combi può abbinare un chip a 13.56 MHz come DESFire a un chip a 125 kHz mentre un parco passa dai lettori di prossimità; confermi la coppia di chip nel preventivo.

Le carte DESFire numerate sono consegnate con un file Excel, CSV o XML che riporta l'UID di ogni carta accanto al suo numero stampato. Se anche codici a barre o codici QR devono corrispondere a dati codificati in un'applicazione, indichi la regola di corrispondenza nella RFQ in modo che venga verificata sul campione.

Codifica e gestione delle chiavi: chi detiene le chiavi DESFire?

La sicurezza DESFire dipende dalle chiavi, quindi concordi lo stato di consegna prima dell'ordine. Le carte possono essere fornite nello stato di trasporto predefinito di fabbrica del chip per la Sua personalizzazione, con un elenco UID se richiesto, oppure preparate tramite il nostro servizio di codifica RFID con le applicazioni, i file e i diritti di accesso attesi dal Suo sistema; ogni carta da noi personalizzata viene riletta per confermare quanto scritto, e un report dati accompagna l'ordine. Le chiavi applicative e master restano al proprietario del sistema, salvo che uno schema di chiavi e un metodo di consegna siano concordati per iscritto; se la Sua policy prevede di tenere le chiavi internamente, ordini carte vergini e le codifichi con le Sue attrezzature.

• Descriva il layout applicativo, il tipo di chiave e lo schema di diversificazione senza inviare valori segreti nella richiesta o nella grafica.
• Decida se Random ID è attivato. Nasconde l'UID fisso durante la selezione della carta, ma un lettore o un software che identifica le carte solo tramite UID smetterà di funzionare con esso. L'elenco UID fornito con le carte numerate riporta l'UID fisso di ogni carta, che un tale lettore non vede mai.
• Concordi chi modifica la chiave master predefinita della carta, chi carica le chiavi di produzione nei lettori o nei SAM e chi registra le carte finite.
• Conservi la configurazione approvata in archivio, in modo che gli ordini ripetuti siano preparati in modo identico.

Le carte DESFire funzioneranno con il mio lettore o la mia serratura?

Un lettore che mostra un numero di carta ha solo letto l'UID; non ha autenticato un'applicazione DESFire. Prima di un ordine in volume, chieda al fornitore del lettore, della serratura o del software di confermare i punti seguenti, quindi testi un campione nell'intero flusso di emissione e accesso.

• Protocollo: il lettore supporta ISO/IEC 14443-4 (ISO-DEP) e il set di comandi DESFire, non solo la lettura UID a 13.56 MHz.
• Generazione e modalità: il firmware supporta la modalità di messaggistica sicura utilizzata dalla Sua applicazione (modalità D40, EV1 o EV2, chiavi AES o 3DES legacy) e, per le funzioni EV3 come il Transaction Timer, i comandi più recenti; SUN richiede un codificatore che configuri Secure Dynamic Messaging e un backend che verifichi il codice.
• Formato della credenziale: alcune piattaforme di accesso utilizzano propri formati applicativi DESFire. Forniamo carte per sistemi che accettano una credenziale DESFire standard o definita dal progetto; confermi con il Suo fornitore di sistema se il suo formato può essere emesso su carte di terze parti.
• Parchi misti: i lettori devono continuare ad accettare le carte già in campo durante un cambio di generazione.
• Smartphone: con un'app NFC adatta, la maggior parte degli smartphone Android con NFC e degli iPhone può rilevare una carta DESFire, ma la lettura di un'applicazione protetta richiede la Sua app e le chiavi; un semplice tocco con lo smartphone da solo non conferma la compatibilità del sistema.

Migrazione da MIFARE Classic o MIFARE Plus a DESFire

MIFARE Classic utilizza l'algoritmo Crypto-1, le cui vulnerabilità pubblicate rendono le carte Classic facili da copiare, e molti sistemi Classic concedono l'accesso in base al solo UID. DESFire lo sostituisce con l'autenticazione applicativa AES-128, ma solo quando i lettori sono riconfigurati per autenticare l'applicazione. MIFARE Plus è l'alternativa quando i lettori devono mantenere un livello di sicurezza compatibile con Classic durante la migrazione; DESFire è adatto a progetti che passano a un modello ad applicazioni e file.

• Aggiorni il firmware del lettore in modo che autentichi l'applicazione DESFire con chiavi di progetto invece di accettare un UID.
• Generi e conservi le chiavi master in modo sicuro, con uno schema di diversificazione per carta concordato con l'integratore.
• Preveda un periodo a doppia tecnologia, riemetta le credenziali secondo un programma pianificato, quindi disattivi i tipi di carta legacy nel software di accesso.
• Mantenga coerente lo schema del numero di carta o dell'ID stampato, in modo che la migrazione del database sia semplice.

DESFire per chiavi hotel e controllo accessi

Negli hotel, il sistema di serrature decide la credenziale. Alcune piattaforme di serrature utilizzano DESFire per separare l'accesso alla camera da altre applicazioni come spa o spese cashless; la carta deve corrispondere alla codifica del produttore della serratura e al codificatore della reception, da confermare con il fornitore della serratura e con un campione. Veda la guida alle chiavi per hotel per i requisiti specifici delle serrature. Per uffici, residenze e campus, la guida ai portachiavi per controllo accessi confronta i portachiavi di prossimità a 125 kHz con le credenziali MIFARE Classic e DESFire.

Ordinare carte DESFire e campioni

I campioni standard DESFire sono gratuiti tramite il sample pack; i campioni personalizzati con la Sua grafica o codifica prevedono un costo di avviamento confermato prima dell'inizio del lavoro. I prodotti standard vengono generalmente spediti in due o tre settimane, e gli ordini di grandi dimensioni sono programmati singolarmente. Rispondiamo entro un giorno lavorativo e inviamo un preventivo entro un giorno lavorativo da una richiesta praticabile. MOQ, trasporto e disponibilità di un componente DESFire specifico sono confermati nel preventivo. Canali di fornitura di chip solidi e produzione propria ci consentono di quotare in modo competitivo rispetto a specifica, quantità e qualità da Lei stabilite; veda come produciamo e forniamo carte RFID per ambito di certificazione e processo.

• Generazione DESFire e codice esatto se noto, dimensione della memoria, e se l'ordine è nuovo o deve corrispondere a una specifica installata.
• Marca, modello e firmware del lettore o della serratura, e il software che emette le carte.
• Stato di consegna: predefinito di fabbrica con elenco UID, oppure codificato secondo un profilo applicativo concordato.
• Formato e materiale della carta, dimensioni, grafica, numerazione, quantità, destinazione e data prevista.

Invii questi dettagli tramite la pagina di contatto. Riferimenti ai chip: NXP MIFARE DESFire EV3 e NXP MIFARE DESFire EV2. La documentazione dei chip descrive le capacità degli IC; non stabilisce la disponibilità a magazzino né la compatibilità di una carta finita con il Suo sistema.