Cartões MIFARE DESFire

O que é um cartão MIFARE DESFire?

Um cartão MIFARE DESFire é um cartão inteligente sem contato de 13.56 MHz construído sobre um chip NXP DESFire, que armazena dados em aplicações e arquivos separados, protegidos por suas próprias chaves, com autenticação mútua AES-128 a partir da geração EV1. Integradores de sistemas, distribuidores e emissores de cartões especificam DESFire para controle de acesso, chaves de hotel, cartões de campus e de transporte quando uma credencial precisa ser autenticada em vez de simplesmente lida pelo seu UID. A regra de seleção é curta: especifique DESFire EV3 para um novo sistema e respeite a geração, a memória e o perfil de aplicação já aprovados para um sistema existente.

DESFire é uma família, não uma única peça. EV1, EV2, EV3 e DESFire Light diferem em recursos de segurança, memória e status de ciclo de vida da NXP, e o firmware do leitor e o software decidem quais desses recursos o projeto pode realmente utilizar. Esta página é o guia de decisão da família; para uma encomenda repetida da geração EV2, a página do cartão MIFARE DESFire EV2 aborda números de peça, tipos de arquivo, comandos e testes de aceitação EV2 em profundidade.

• Novo sistema de acesso, campus ou multiaplicação: DESFire EV3, com memória dimensionada a partir do plano de aplicação; qualifique amostras EV3 com o fornecedor do leitor e do software.
• Instalação EV2 existente: a peça EV2 exata e o perfil de credencial aprovado.
• Instalação EV1 existente: a especificação EV1 instalada, ou EV3 no modo compatível com versões anteriores que o seu sistema utiliza, após os leitores passarem em um teste de compatibilidade.
• Aplicação única, memória limitada, credencial de custo menor: DESFire Light, se o leitor e o software o suportarem e se sua estrutura fixa de arquivos atender à aplicação.
• Chaveiro, pulseira ou adesivo em vez de cartão: a mesma geração com a variante de chip “H” de alta capacitância (70 pF para EV1, EV2 e EV3; 50 pF para DESFire Light) quando a antena menor precisar dela.
• Atualização a partir de MIFARE Classic: DESFire EV3, ou MIFARE Plus se os leitores precisarem manter um modo compatível com Classic, com um período planejado de tecnologia dupla e gestão de chaves.

DESFire EV1 vs EV2 vs EV3 vs DESFire Light

As quatro gerações compartilham a interface aérea ISO/IEC 14443 Type A e os comandos de arquivo ISO/IEC 7816-4. O que muda entre gerações é o conjunto de recursos de segurança, o nível de certificação e se a NXP ainda recomenda o chip para novos projetos. A tabela resume as informações públicas de produto da NXP; um recurso só ajuda quando o firmware do leitor e a aplicação o implementam.

D40 (MF3ICD40) é a geração DESFire original, agora descontinuada, apenas com DES e 3DES. EV1, EV2 e EV3 podem executar seu modo de secure messaging para leitores legados, de modo que uma base D40 normalmente é reabastecida com um chip mais recente após os leitores passarem em um teste de amostra nesse modo.

EV3 é a geração DESFire convencional atual da NXP: mantém o conjunto de recursos EV2, acrescenta SUN e o Temporizador de transação, e a NXP indica uma distância de operação de até 100 mm, dependendo do campo do leitor e da geometria da antena. SUN permite que um toque de telefone produza um código novo e verificável em uma URL, o mesmo mecanismo usado pelas etiquetas NTAG 424 DNA; ele só comprova autenticidade quando o seu backend verifica o código. As classificações Common Criteria abrangem o chip e seu sistema operacional, não um cartão acabado nem uma implementação que ainda utilize chaves padrão.

Qual geração DESFire você deve especificar?

• Por que EV3 para novas construções: é a geração que a NXP recomenda atualmente para novos projetos, mantém o conjunto de recursos EV2 e pode executar modos de compatibilidade EV2, EV1 e D40 em uma base mista.
• Por que respeitar uma base EV2 existente: os leitores, as chaves e o software de emissão já estão aprovados para ela; a página DESFire EV2 lista as peças 2K, 4K e 8K e as verificações de aceitação EV2.
• Por que testar antes de substituir EV1: EV3 pode substituir EV1 por meio de seu modo de secure messaging compatível com EV1, mas somente após os leitores instalados, o software e a configuração de chaves passarem em um teste de amostra; a disponibilidade de uma peça EV1 exata é confirmada na cotação.
• Por que DESFire Light não é um substituto direto: ele tem uma aplicação predefinida e um conjunto fixo de arquivos, por isso não pode substituir um cartão EV2 ou EV3 multiaplicação.
• Edital ou especificação de segurança: confirme o nível Common Criteria, os recursos exigidos (MAC de transação, Proximity Check, SUN) e qualquer configuração de Random ID por escrito com o integrador antes da etapa de amostra.

DESFire 2K, 4K ou 8K: de quanta memória você precisa?

O número em “DESFire 4K” ou “DESFire 8K” é a EEPROM do chip em kilobytes. O tamanho correto depende de quantas aplicações o cartão carrega, de seus tamanhos de arquivo e contagens de registros, do armazenamento de chaves e da sobrecarga do sistema de arquivos, além de espaço para aplicações adicionadas posteriormente. Um cartão com mais memória do que o necessário custa mais sem melhorar a segurança; um cartão com memória insuficiente não comporta a próxima aplicação. Trate a tabela como ponto de partida para a discussão com o seu integrador.

As peças padrão adequam-se a antenas de cartão ID-1; as peças “H” têm maior capacitância de entrada para as antenas menores em chaveiros, pulseiras e adesivos. A variante do chip e o inlay são escolhidos juntos, e o alcance de leitura é confirmado com uma amostra no seu leitor.

Formatos de cartão, materiais e personalização

A mesma geração DESFire pode ser fornecida em vários formatos de credencial, de modo que um local pode emitir cartões para funcionários e chaveiros ou pulseiras para outros usuários em um só sistema. Para cada encomenda, nossa fábrica em Shenzhen combina o chip com um inlay correspondente e produz o corpo do cartão, de modo que o formato é escolhido para o usuário e o ambiente, e não para uma linha de produção fixa.

• Cartões ISO ID-1 (85.6 × 54 mm): corpos em PVC, PET ou composto, com impressão offset ou digital, acabamento brilhante ou fosco, painel de assinatura, tarja magnética e numeração variável. Consulte cartões RFID impressos para arte e opções de impressão.
• Materiais alternativos: cartões RFID de madeira em madeiras como cerejeira, bambu, bordo ou nogueira-preta, com gravação a laser ou impressão UV, e cartões em PLA (feito de amido de milho) ou papel; confirme o chip e o acabamento de resistência à água para o uso.
• Chaveiros e tags: corpos em ABS, epóxi, FR4 e outros na página tag e chaveiro DESFire, para moradores e funcionários que preferem uma credencial de chaveiro.
• Pulseiras: pulseiras de silicone para piscinas, academias e resorts, e pulseiras de hotel para quartos de hóspedes e gastos sem numerário.
• Adesivos e etiquetas: adesivos MIFARE com chips DESFire para dispositivos e capas de telefone, incluindo construções on-metal.
• Cartões de transição: um cartão combi pode combinar um chip de 13.56 MHz como DESFire com um chip de 125 kHz enquanto uma base migra de leitores de proximidade; confirme o par de chips na cotação.

Cartões DESFire numerados são entregues com um arquivo Excel, CSV ou XML contendo o UID de cada cartão ao lado de seu número impresso. Se códigos de barras ou QR codes também precisarem corresponder a dados codificados em uma aplicação, informe a regra de correspondência no RFQ para que seja verificada na amostra.

Codificação e gestão de chaves: quem detém as chaves DESFire?

A segurança DESFire depende de chaves, por isso concorde o estado de entrega antes de encomendar. Os cartões podem ser fornecidos no estado de transporte padrão de fábrica do chip para sua própria personalização, com lista de UID se necessário, ou preparados por meio do nosso serviço de codificação RFID com as aplicações, arquivos e direitos de acesso que o seu sistema espera; cada cartão que personalizamos é lido novamente para confirmar o que foi gravado, e um relatório de dados acompanha a encomenda. As chaves de aplicação e mestras permanecem com o proprietário do sistema, a menos que um esquema de chaves e um método de entrega sejam acordados por escrito; se a sua política mantém as chaves internamente, encomende cartões em branco e codifique-os em seu próprio equipamento.

• Descreva o layout da aplicação, o tipo de chave e o esquema de diversificação sem enviar valores secretos na consulta ou na arte.
• Decida se o Random ID está ativado. Ele oculta o UID fixo durante a seleção do cartão, mas um leitor ou software que identifica cartões apenas pelo UID deixará de funcionar com ele. A lista de UID fornecida com cartões numerados indica o UID fixo de cada cartão, que esse leitor nunca vê.
• Concorde quem altera a chave mestra padrão do cartão, quem carrega as chaves de produção nos leitores ou SAMs e quem cadastra os cartões acabados.
• Mantenha a configuração aprovada arquivada para que encomendas repetidas sejam preparadas de forma idêntica.

Os cartões DESFire funcionarão com o meu leitor ou fechadura?

Um leitor que exibe um número de cartão apenas leu o UID; ele não autenticou uma aplicação DESFire. Antes de uma encomenda em volume, peça ao fornecedor do leitor, da fechadura ou do software que confirme os pontos abaixo e, em seguida, teste uma amostra em todo o fluxo de emissão e acesso.

• Protocolo: o leitor suporta ISO/IEC 14443-4 (ISO-DEP) e o conjunto de comandos DESFire, não apenas leitura de UID a 13.56 MHz.
• Geração e modo: o firmware suporta o modo de secure messaging que a sua aplicação utiliza (modo D40, EV1 ou EV2, chaves AES ou 3DES legadas) e, para recursos EV3 como o Temporizador de transação, os comandos mais recentes; SUN exige um codificador que configure Secure Dynamic Messaging e um backend que verifique o código.
• Formato de credencial: algumas plataformas de acesso utilizam seus próprios formatos de aplicação DESFire. Fornecemos cartões para sistemas que aceitam uma credencial DESFire padrão ou definida pelo projeto; confirme com o seu fornecedor de sistema se o formato dele pode ser emitido em cartões de terceiros.
• Bases mistas: os leitores devem continuar a aceitar os cartões já em campo durante uma mudança de geração.
• Telefones: com um aplicativo NFC adequado, a maioria dos telefones Android com NFC e iPhones pode detectar um cartão DESFire, mas ler uma aplicação protegida exige seu aplicativo e as chaves; um toque de telefone por si só não confirma a compatibilidade do sistema.

Migração de MIFARE Classic ou MIFARE Plus para DESFire

MIFARE Classic utiliza o algoritmo Crypto-1, cujas fraquezas publicadas tornam os cartões Classic fáceis de copiar, e muitos sistemas Classic concedem acesso apenas pelo UID. DESFire substitui isso pela autenticação de aplicação AES-128, mas somente quando os leitores são reconfigurados para autenticar a aplicação. MIFARE Plus é a alternativa quando os leitores precisam manter um nível de segurança compatível com Classic durante a migração; DESFire adequa-se a projetos que migram para um modelo de aplicação e arquivo.

• Atualize o firmware do leitor para que ele autentique a aplicação DESFire com chaves do projeto, em vez de aceitar um UID.
• Gere e armazene chaves mestras com segurança, com um esquema de diversificação por cartão acordado com o integrador.
• Execute um período de tecnologia dupla, reemita credenciais conforme um cronograma planejado e, em seguida, desative os tipos de cartão legados no software de acesso.
• Mantenha o esquema de número de cartão ou ID impresso consistente para que a migração do banco de dados seja simples.

DESFire para chaves de hotel e controle de acesso

Em hotéis, o sistema de fechaduras decide a credencial. Algumas plataformas de fechadura utilizam DESFire para separar o acesso ao quarto de outras aplicações, como spa ou gastos sem numerário; o cartão deve corresponder à codificação do fabricante da fechadura e ao codificador da recepção, o que é confirmado com o fornecedor da fechadura e uma amostra. Consulte o guia de cartões-chave de hotel para requisitos específicos de fechaduras. Para escritórios, residências e campi, o guia de chaveiros para controle de acesso RFID compara chaveiros de proximidade de 125 kHz com credenciais MIFARE Classic e DESFire.

Encomenda de cartões DESFire e amostras

Amostras DESFire padrão são gratuitas por meio do pacote de amostras; amostras personalizadas com sua arte ou codificação têm uma taxa de configuração confirmada antes do início do trabalho. Produtos padrão geralmente são enviados em duas a três semanas, e grandes encomendas são programadas individualmente. Respondemos em um dia útil e enviamos uma cotação em um dia útil após uma consulta viável. MOQ, frete e disponibilidade de uma peça DESFire específica são confirmados na cotação. Canais sólidos de fornecimento de chips e nossa própria produção nos permitem cotar de forma competitiva conforme a especificação, a quantidade e a qualidade que você define; consulte como fabricamos e fornecemos cartões RFID para escopo de certificação e processo.

• Geração DESFire e peça exata, se conhecida, tamanho de memória e se a encomenda é nova ou deve corresponder a uma especificação instalada.
• Marca, modelo e firmware do leitor ou fechadura, e o software que emite os cartões.
• Estado de entrega: padrão de fábrica com lista de UID, ou codificado conforme um perfil de aplicação acordado.
• Formato e material do cartão, dimensões, arte, numeração, quantidade, destino e data-alvo.

Envie esses detalhes pela página de contato. Referências de chip: NXP MIFARE DESFire EV3 e NXP MIFARE DESFire EV2. A documentação do chip descreve capacidades do CI; ela não estabelece estoque nem a compatibilidade de um cartão acabado com o seu sistema.