Etichette NFC NTAG424 DNA

Specifichi l'etichetta e lo stato di consegna

Utilizzi NTAG424 DNA quando il Suo progetto richiede una verifica crittografica del tag che vada oltre un collegamento statico al prodotto. Selezioni l'etichetta adatta al packaging reale, quindi concordi il flusso di lavoro di personalizzazione e verifica. Un messaggio di tag valido, da solo, non dimostra che il contenuto di una confezione sia autentico.

Capacità del chip NTAG424 DNA

Si tratta di funzioni del chip descritte nella scheda tecnica NXP NTAG424 DNA. L'immagine dell'etichetta in questa pagina è un esempio generico di formato e il chip quotato e la costruzione devono essere confermati prima dell'ordine.

Come funziona la messaggistica dinamica sicura (SUN)

La messaggistica dinamica sicura (SDM) alimenta il messaggio Secure Unique NFC (SUN). Quando è configurato per SDM, il chip inserisce dati di autenticazione in un URL NDEF nel momento in cui viene letto. Il server di verifica controlla il messaggio e la cronologia dei contatori; leggere un URL statico ordinario non è una verifica SUN.

• Tocco. Un telefono compatibile legge l'URL NDEF configurato. Confermi i modelli di telefono e il comportamento di lettura nel progetto pilota.
• On-chip. Il chip genera i campi SDM configurati, come i dati cifrati dell’UID e del contatore e un AES-CMAC. Letture successive all'interno della stessa sequenza di lettura possono utilizzare lo stesso contatore.
• Apertura. Il telefono apre l'URL con i campi di autenticazione, ad esempio `https://verify.example.com/t?picc_data=…&cmac=…`.
• Verifica. Il server controlla i campi crittografici configurati e la cronologia dei contatori per quel tag.
• Risultato. Il servizio visualizza l'esito concordato per un messaggio valido, un messaggio già visto in precedenza o dati non validi.

Il verificatore dovrebbe rifiutare i contatori già visti o ricevuti fuori ordine. Ciò rileva tali replay, ma un messaggio raccolto in precedenza e mai inviato può comunque superare un controllo successivo. NXP descrive questo rischio residuo nella sezione 9.3 della scheda tecnica. Il Suo integratore deve decidere se ciò sia accettabile per l'applicazione; i controlli sui contatori non sono una prova di un tocco in tempo reale. Per i dettagli di configurazione e verifica, utilizzi NXP AN12196.

Perché un tag SUN resiste alla clonazione: il tag di autenticazione CMAC

In modalità AES, il tag di autenticazione CMAC di NTAG424 DNA è un AES-CMAC troncato a 8 byte (NIST SP 800-38B). Il chip lo calcola a ogni nuovo tocco a partire da una chiave di sessione derivata da una chiave segreta e, secondo la configurazione, dall'UID e dal contatore, e lo rispecchia nell'URL (scheda tecnica 9.3.7–9.3.9). Solo un verificatore in possesso della chiave può ricalcolarlo: un tag clonato può soltanto riprodurre messaggi prodotti dal tag autentico, mentre un URL statico copiato funziona come l'originale.

Che cosa deve controllare il server di verifica del marchio

1. Decifri UID e contatore con la chiave meta-read SDM, se cifrati.
2. Ricalcoli il CMAC a partire dalla chiave file-read del tag, dall'UID, dal contatore e da eventuali dati URL coperti; rifiuti in caso di mancata corrispondenza.
3. Rifiuti un contatore ripetuto o fuori ordine, quindi memorizzi quello nuovo.
4. Cerchi l'UID: emesso o meno, e il relativo prodotto, ordine e mercato; verifichi eventuale stato TagTamper rispecchiato nel messaggio.

Le cinque chiavi AES-128 e la funzione di ciascuna

NTAG424 DNA contiene cinque chiavi AES-128 indipendenti, numerate da Key 0 a Key 4. Key 0 è fissata come chiave master dell'applicazione. Le altre quattro vengono assegnate ai ruoli dall'integratore durante la personalizzazione; la mappatura seguente è una disposizione comune, non una mappatura cablata.

In produzione la chiave file-read SDM viene solitamente diversificata per tag a partire dalla chiave master del proprietario della chiave, in modo che una chiave recuperata non esponga altri tag. Se l'UID è cifrato nell'URL, la chiave meta-read non deve essere diversificata in base all'UID, perché il server decifra l'UID con essa; tale chiave condivisa richiede una protezione particolarmente robusta (AN12196 sezione 3.4.2). Separatamente, la firma di originalità NXP supporta un controllo di provenienza del chip. Non autentica il contenuto della confezione ed è distinta dalla verifica di un messaggio SDM.

La variante TagTamper

NTAG424 DNA TagTamper (NT4H2421Tx) è una variante di chip separata collegata a un circuito di rilevamento nell'etichetta. Con la funzione abilitata, il chip controlla il circuito quando viene alimentato e attivato oppure quando un comando pertinente attiva una misurazione. Una volta registrato lo stato permanente come Open, tale stato non può essere reimpostato su Closed, nemmeno tramite ripersonalizzazione. Gli stati permanente e attuale possono essere inclusi in SDM. Si veda la scheda tecnica NXP TagTamper, sezione 10. Un progetto di rilevamento di apertura richiede anche un'etichetta che instradi il circuito attraverso il sigillo; confermi la variante offerta e la costruzione nel preventivo.

Tag NFC sicuri per l'autenticazione di abbigliamento di lusso

Per l'abbigliamento di lusso, utilizzi un tag che aggiunga un nuovo codice di autenticazione a ogni tocco, come NTAG424 DNA con SUN, anziché un collegamento fisso: un tag copiato non può generare un nuovo codice valido. Proud Tek fornisce le etichette e ogni configurazione concordata; il fornitore di sistema del marchio gestisce la verifica. NXP indica l'autenticazione delle merci e l'individuazione delle vendite al di fuori dei mercati autorizzati tra gli utilizzi (scheda tecnica sezione 3).

Proud Tek produce etichette NFC e tag personalizzati; ogni costruzione viene confermata per ordine e testata sui campioni.

Abbigliamento di lusso venduto negli Stati Uniti

La stessa etichetta a 13.56 MHz serve le vendite negli Stati Uniti; i telefoni variano. iPhone XS e modelli successivi leggono in background i tag con URL https senza un'app (Apple); esegua un progetto pilota con modelli iPhone e Android. Un rivenditore statunitense potrebbe inoltre richiedere un tag UHF per l'inventario (RFID per retail e abbigliamento); Proud Tek produce anche etichette e cartellini pendenti UHF. Testi entrambi insieme.

Sovrapproduzione in fabbrica e diversione: che cosa può e non può dimostrare l'autenticazione NFC

Un messaggio SUN verificato dimostra che un tag in possesso della Sua chiave lo ha prodotto, non come l'articolo sia giunto al venditore. Le sovrapproduzioni sono unità che il Suo produttore a contratto realizza oltre la quantità autorizzata (esempio del Dipartimento di Giustizia degli Stati Uniti) e vende al di fuori dei Suoi canali, con tag autentici se presso la fabbrica sono presenti etichette personalizzate di riserva. Le merci deviate sono stock autorizzato venduto al di fuori del mercato concordato. Controlli relativi al tag:

• Controlli chiavi e personalizzazione: emetta le etichette per ordine d'acquisto; riconcili quelle utilizzate e quelle scartate.
• Registri ogni UID del chip in relazione a prodotto, fabbrica, ordine e mercato.
• Attivi alla ricezione, in modo che i tag in eccesso risultino “non emessi”.
• Monitori le posizioni di scansione: le scansioni al di fuori del mercato emesso di un UID possono segnalare una possibile diversione, non dimostrarla. Gli indirizzi IP e le posizioni di scansione possono essere dati personali (GDPR articolo 4(1)); concordi che cosa viene registrato.

Concordi chi fornisce ciascuna parte

Proud Tek può preparare una configurazione di etichetta concordata tramite il servizio di codifica RFID. Il preventivo deve indicare quali lavori sono inclusi. Le etichette che configuriamo vengono rilette una per una e l'ordine viene spedito con un report dati; le etichette con un numero di serie stampato ricevono anche un file che collega ogni UID al relativo numero di serie, ed entrambi sono forniti come Excel, CSV o XML. L'acquirente e l'integratore definiscono la configurazione e i criteri di accettazione; non invii mai chiavi segrete in un modulo di richiesta, in un'email ordinaria o in un file di grafica.

Checklist di accettazione del campione

Come NTAG424 DNA si confronta con altre opzioni anticontraffazione

Per un URL di informazioni sul prodotto senza requisiti di verifica crittografica, le etichette NFC NTAG213 sono la scelta più semplice e a costo inferiore. Se sta ancora valutando un tocco rispetto a un codice stampato per lo stesso collegamento, la guida RFID vs codice QR li confronta. Scelga NTAG424 DNA quando il Suo integratore richiede la verifica crittografica e può fornire il flusso di lavoro di configurazione e verifica. Per sistemi di lettura a circuito chiuso anziché tocchi dei consumatori, confronti invece un tag DESFire.

Richieda un preventivo per etichette NTAG424 DNA

Invii le dimensioni dell'etichetta o lo spazio disponibile, la superficie di montaggio, la quantità, le esigenze di grafica, la destinazione e la data richiesta. Aggiunga la variante di chip, lo stato di consegna richiesto e il riepilogo non segreto della configurazione del Suo integratore. Se qualche dettaglio è sconosciuto, lo segnali in modo che possa essere risolto prima della preparazione del campione. Utilizzi il pulsante di preventivo o di campione del prodotto per mantenere selezionata l'etichetta NTAG424; consulti le disposizioni per i campioni e la gamma di etichette RFID per ulteriori opzioni.