Карты MIFARE DESFire EV2

Образцы и оптовые заказы карт DESFire EV2

Для существующей установки на EV2 начните с утверждённого чипа и спецификации карты. Запросите требуемую ёмкость памяти, корпус карты, печать и состояние поставки вместе, чтобы коммерческое предложение и образец относились к одному и тому же проекту. Текущие поставки точной детали EV2 и доступные варианты готовых карт подтверждаются в коммерческом предложении.

• Корпус карты: укажите размеры, толщину и материал, например карту ID-1 (85.6 × 54 мм). Подтвердите предлагаемую конструкцию и дизайн антенны; другие форматы обсудите на странице тегов и брелоков DESFire.
• Печать и отделка: пришлите макеты обеих сторон, отделку, видимую нумерацию, штрих-коды или QR-коды, а также требования к магнитной полосе или панели для подписи. Подтвердите, какие варианты включены в образец и коммерческое предложение.
• Кодирование и персонализация: согласуйте поставку с заводскими настройками по умолчанию или транспортным ключом либо карты, подготовленные с вашим приложением, файлами и разрешениями. Визуально чистая карта не обязательно находится в нетронутом состоянии чипа. Укажите требуемый профиль поставки и схему нумерации, не включая действующие секретные ключи в запрос предложения.
• Передача управления ключами: любая загрузка производственных ключей организуется отдельно со стороной, ответственной за выпуск, а кодирование выполняется только для организации, администрирующей систему.
• Образцы и сроки: доступны бесплатные стандартные образцы (индивидуальный образец оплачивается с платой за подготовку), а стандартный срок изготовления стандартной продукции, как правило, составляет от двух до трёх недель; график и доступность конкретной детали EV2 подтверждаются в коммерческом предложении.

Сравнение требований к картам EV2 2K, 4K и 8K

В этой таблице сравниваются требования к картам 2K, 4K и 8K; это не полный диапазон памяти EV2. В открытом кратком техническом описании NXP также перечислены устройства на 16 KB и 32 KB. Подтвердите точную деталь и текущую доступность готовых карт в коммерческом предложении. Выбирайте ёмкость исходя из плана приложений и файлов вашего интегратора, включая накладные расходы файловой системы и планируемый рост, поскольку один лишь размер памяти не делает карты взаимозаменяемыми.

Перечисленные стандартные детали имеют входную ёмкость 17 пФ; детали с буквой «H» имеют 70 пФ, которые NXP предлагает для антенных конструкций малого форм-фактора. Конструкция инлея всё равно требует проверки в готовой карте или теге. NXP указывает 25-летнее сохранение данных и типичные 500000 циклов записи при 22 °C в кратком техническом описании; эти показатели микросхемы не гарантируют срок службы печатной карты. Пришлите точную деталь или утверждённую спецификацию карты, чтобы образец можно было проверить на соответствие используемой вами системе.

Совместимость со считывателями и прошивкой

Отображаемый номер карты подтверждает идентификацию, а не успешную аутентификацию приложения. Перед повторным заказом или миграцией попросите поставщика считывателей или замков подтвердить приведённые ниже пункты и протестируйте предлагаемую карту с программным обеспечением выпуска и установленной прошивкой.

• Радиоинтерфейс: считыватель реализует ISO/IEC 14443-2/3 Type A и протокол передачи ISO/IEC 14443-4 (T=CL), который использует DESFire. Одна лишь номинальная частота 13.56 MHz не подтверждает поддержку 14443-4.
• Набор команд: прошивка поддерживает команды DESFire и ISO/IEC 7816-4, необходимые вашему приложению, — выбор приложения, аутентификацию, а также чтение или запись используемых вами типов файлов, — а не только чтение UID.
• Защищённая передача сообщений: подтвердите режим D40, EV1 или EV2, тип ключа и настройки связи файлов, которые использует ваше приложение. Сверьте каждую требуемую функцию EV2 с прошивкой считывателя и утверждённым профилем карты.
• Обратная совместимость: если карты EV1 или D40 (MF3ICD40) всё ещё находятся в эксплуатации, проверьте, что считыватель продолжает читать их наряду с EV2 во время миграции.
• Ключи и диверсификация: согласуйте, кто владеет главными ключами приложения, как они диверсифицируются для каждой карты и как считыватели загружаются ими.
• Тестирование образца: выполните аутентификацию и реальную транзакцию — выпуск, чтение и запись, прерванную транзакцию и её восстановление — с производственной прошивкой и программным обеспечением считывателя до любого оптового заказа.

Перед заказом: контрольный список EV2

1. Точная деталь EV2 и ёмкость памяти либо утверждённая спецификация карты от вашего интегратора; сравнение 2K/4K/8K на этой странице — не весь диапазон семейства чипов.
2. Является ли это повторным заказом, который должен соответствовать установленной спецификации, или новым проектом, для которого сначала был оценён EV3.
3. Марка, модель и прошивка считывателя, режим защищённой передачи сообщений и тип ключа, а также план приложения и файлов.
4. Профиль поставки: заводские настройки по умолчанию/транспортные настройки либо персонализированные под проект карты, а также кто загружает производственные ключи, регистрирует карты и утверждает образец.
5. Конструкция карты, макеты, нумерация, количество, пункт назначения и требуемая дата.
6. Приёмка образца: проверьте аутентификацию приложения и требуемые транзакции чтения/записи на фактическом программном обеспечении выпуска и считывателях; сохраните утверждённую конфигурацию для повторных заказов.

Что такое MIFARE DESFire EV2

MIFARE DESFire EV2 — это бесконтактная микросхема NXP для нескольких приложений, работающая на частоте 13.56 MHz на радиоинтерфейсе ISO/IEC 14443 Type A и использующая протокол передачи ISO/IEC 14443-4. Данные хранятся в структуре приложений и файлов, адресуемой командами ISO/IEC 7816-4, а приложения могут использовать аппаратную криптографию: DES, 2K3DES и 3K3DES для совместимости, а также AES со 128-битными ключами для актуальных разработок. NXP отмечает EV2 как не рекомендуемый для новых разработок и направляет новые проекты к DESFire EV3; эта страница поддерживает запросы для установок, которые уже предусматривают его. В разделах ниже описывается микросхема. Доступность конкретной детали EV2 и любой партии готовых карт подтверждается в коммерческом предложении.

EV1, EV2 и EV3: что изменилось

Эти три поколения DESFire имеют общий радиоинтерфейс 13.56 MHz ISO/IEC 14443 Type A, файловые команды ISO/IEC 7816-4 и криптографический движок DES/2K3DES/3K3DES/AES-128, причём каждый более новый чип сохраняет режимы обратной совместимости со старыми. Между поколениями меняется набор функций безопасности приложений и уровень сертификации. Функция приносит пользу вашему проекту только тогда, когда её реализуют чип, прошивка считывателя и приложение.

EV2 предоставляет обратно совместимые режимы защищённой передачи сообщений D40 и EV1, но карте-замене всё равно нужны конфигурация приложения, ключи и поддержка считывателя, ожидаемые установленной системой. Такие функции EV2, как несколько наборов ключей, Transaction MAC, Proximity Check и делегированное управление приложениями, требуют соответствующей конфигурации и поддержки команд. Попросите интегратора подтвердить и протестировать функции, которые проект фактически использует.

Структура приложений и файлов

Карта DESFire ведёт себя как небольшая файловая система на карте с тремя уровнями. Наверху находится PICC — сама карта, — которая содержит главный ключ карты, общекарточную конфигурацию и список приложений. Каждое приложение адресуется 3-байтовым идентификатором приложения (AID) и несёт собственные ключи и собственный набор файлов: EV1 допускает до 28 приложений, а EV2 и EV3 снимают практическое ограничение и ограничены только доступной памятью. Каждое приложение содержит до 32 файлов (идентификаторы файлов 0x00–0x1F), и у каждого файла есть собственные права доступа и режим связи, поэтому одна карта может одновременно хранить идентификатор доступа, кошелёк с хранимой стоимостью и билет, не объединяя их ключи.

Каждый файл несёт четыре поля прав доступа — чтение, запись, чтение и запись, а также изменение прав доступа, — и каждое поле называет один из ключей приложения либо устанавливается как «free» (без аутентификации) или «deny» (никогда). Резервные файлы, файлы значений и файлы записей участвуют в транзакциях: набор записей подготавливается, а затем фиксируется атомарно, поэтому прерванное касание никогда не оставляет баланс тарифа или журнал записанными наполовину.

Аутентификация и защищённая передача сообщений

Чтение UID не аутентифицирует приложение DESFire. При взаимной аутентификации карта и считыватель доказывают владение требуемым ключом и устанавливают защиту сеанса. Выбранный режим аутентификации и настройки доступа и связи каждого файла определяют, что можно читать, записывать или передавать в открытом виде. Карта, прошивка считывателя и приложение должны реализовывать согласованную конфигурацию.

• Режим совместимости D40: сохранён для устаревших установок, использующих исходную схему DES/2K3DES. Подтвердите настроенный тип ключа и требования к считывателю; не предполагайте, что это обеспечивает защиту AES.
• Защищённая передача сообщений EV1: AuthenticateISO поддерживает ключи 2K3DES или 3K3DES, а AuthenticateAES использует ключи AES. Они сохраняют соответствующий режим совместимости EV1.
• Защищённая передача сообщений EV2: AuthenticateEV2First и AuthenticateEV2NonFirst используют ключи AES. Первая начинает аутентификацию EV2 транзакции; вторая поддерживает последующую аутентификацию в рамках этой транзакции. Подтвердите требуемые команды и настройки с интегратором.

Связь файлов может быть открытой, защищённой криптографической контрольной суммой или зашифрованной, в зависимости от настроек аутентификации и файлов. Одна лишь аутентификация не означает, что каждый файл зашифрован или что каждое чтение требует ключа. В открытом кратком техническом описании EV2 компании NXP описаны эти варианты и поддерживаемые команды аутентификации; для реализации используйте подробную документацию на продукт. Диверсификация ключей отдельно рассматривается в примечании по применению NXP AN10922.

Управление ключами: ключи, версии и наборы ключей

Ключи существуют на двух уровнях. PICC содержит главный ключ карты, управляющий администрированием на уровне карты. Каждое приложение может содержать до 14 ключей и имеет собственные настройки ключей и права доступа к файлам. Информация о версии ключа помогает эмитенту управлять обновлениями, но она не заменяет секретный ключ или требуемые разрешения. Сверьте выбранную процедуру ChangeKey или ChangeKeyEV2 с точной конфигурацией приложения.

EV2 поддерживает несколько наборов ключей на приложение, позволяя эмитенту подготовить переход на другой набор ключей и выполнить его, когда парк считывателей поддерживает этот процесс. Интегратор может использовать диверсификацию для каждой карты, например схему из NXP AN10922, с защищённым хранением главных ключей в HSM или SAM. Это решение по проектированию развёртывания, а не автоматическое свойство чистой карты. Согласуйте, кто создаёт, хранит и загружает ключи и как считыватели получают требуемые данные аутентификации, до оформления заказа. Не указывайте действующие секретные ключи в запросе предложения.

Набор команд DESFire

DESFire поддерживает собственные команды и обёртку ISO/IEC 7816-4 поверх ISO/IEC 14443-4. Приведённый ниже обзор помогает определить, что должен реализовывать стек считывателя; это не спецификация кодирования. В открытом кратком техническом описании EV2 компании NXP перечислены семейства команд, а подробная документация на продукт определяет их параметры и требования безопасности. Конфигурация карты, прошивка считывателя и приложение должны поддерживать операции, выбранные интегратором.

Сертификация безопасности

Поколения различаются также оценкой Common Criteria и функциями. В открытых материалах NXP DESFire EV1 оценивается по Common Criteria EAL4+, а EV2 и EV3 — по EAL5+; аппаратное обеспечение и операционная система EV3 оцениваются по EAL5+ с дополнением AVA_VAN.5. Сертификация распространяется на чип и его операционную систему, а не на готовую карту или развёртывание: карта, оставленная с ключами по умолчанию, не является безопасной, каков бы ни был рейтинг чипа. Рассматривайте уровень EAL как один из входных параметров тендерного требования и подтвердите точную сертифицированную деталь с вашим интегратором.

Почему стоит перейти с MIFARE Classic на DESFire

MIFARE Classic использует Crypto-1, опубликованные слабости безопасности которого делают его непригодным для рассмотрения как эквивалента современной аутентификации приложений AES. Установка, авторизующая карту только по её UID, также имеет отдельную проблему: UID — это идентификатор, а не доказательство того, что карта содержит секрет приложения. Оцените и технологию идентификаторов, и фактическое поведение аутентификации считывателя при планировании миграции.

DESFire поддерживает взаимную аутентификацию AES-128 и настраиваемые разрешения файлов и защиту связи. Одно лишь копирование UID не воспроизводит аутентифицированное приложение, но установка чипа DESFire автоматически не обеспечивает безопасность системы. Файлы, настроенные для свободного доступа или открытой связи, могут раскрывать данные; ключи по умолчанию и плохо защищённые ключи эмитента также ослабляют развёртывание. Настройте права доступа приложения, защищённую передачу сообщений и управление ключами, а также заставьте считыватель аутентифицировать приложение. Random ID может уменьшить раскрытие фиксированного UID при выборе карты; он не заменяет аутентификацию и не гарантирует, что карту нельзя отследить.

• Прошивка считывателя: переведите считыватели на сборку, которая аутентифицирует приложение DESFire ключами проекта, а не принимает UID.
• Церемония ключей: сгенерируйте главные ключи в HSM или SAM, выберите схему диверсификации AN10922 и зафиксируйте, кто владеет и загружает ключи, до кодирования первой карты.
• Период двойной технологии: используйте считыватели нескольких технологий, которые одновременно принимают устаревшие карты и новые карты DESFire, перевыпускайте карты по мере естественного выбытия, затем установите твёрдую дату отключения устаревших типов карт в программном обеспечении доступа, чтобы старые клоны перестали работать.

Для новой системы NXP направляет разработки к DESFire EV3; заказывайте EV2 для соответствия установке, которая уже предусматривает его, и рассматривайте любое изменение поколения как изменение утверждённой спецификации. Варианты миграции смотрите на страницах карт MIFARE Classic, семейства MIFARE DESFire и карт MIFARE Plus.

Связанные варианты: семейство MIFARE DESFire, карты MIFARE Plus, тег и брелок DESFire и все RFID-карты.

Технические источники: страница продукта и жизненного цикла NXP MIFARE DESFire EV2, краткое техническое описание DESFire EV2 и страница NXP DESFire EV3. Документация на чипы описывает возможности микросхем; она не подтверждает наличие запасов у Proud Tek или совместимость готовой карты.