NFC-метки NTAG424 DNA

Укажите метку и состояние поставки

Используйте NTAG424 DNA, когда вашему проекту нужна криптографическая проверка метки сверх статической ссылки на продукцию. Выберите метку под реальную упаковку, затем согласуйте процессы персонализации и проверки. Одно лишь действительное сообщение метки не доказывает подлинность содержимого упаковки.

Возможности чипа NTAG424 DNA

Это характеристики чипа, описанные в техническом описании NXP NTAG424 DNA. Изображение метки на этой странице — общий пример формата, а предлагаемые чип и конструкция должны быть подтверждены до заказа.

Как работает Secure Dynamic Messaging (SUN)

Secure Dynamic Messaging (SDM) обеспечивает сообщение Secure Unique NFC (SUN). При настройке на SDM чип вставляет аутентификационные данные в NDEF URL в момент считывания. Сервер проверки проверяет сообщение и историю счётчика; чтение обычного статического URL не является SUN-проверкой.

• Касание. Совместимый телефон считывает настроенный NDEF URL. Подтвердите модели телефонов и поведение при считывании в пилотном проекте.
• На чипе. Чип генерирует настроенные поля SDM, такие как зашифрованные данные UID и счётчика и AES-CMAC. Последовательные считывания в рамках одной последовательности считываний могут использовать тот же счётчик.
• Открытие. Телефон открывает URL с полями аутентификации, например `https://verify.example.com/t?picc_data=…&cmac=…`.
• Проверка. Сервер проверяет настроенные криптографические поля и историю счётчика для этой метки.
• Результат. Сервис отображает согласованный исход для действительного сообщения, ранее виденного сообщения или недействительных данных.

Верификатор должен отклонять счётчики, которые он уже видел или получает не по порядку. Это выявляет такие повторы, но сообщение, собранное ранее и ни разу не отправленное, всё равно может пройти более позднюю проверку. NXP описывает этот остаточный риск в разделе 9.3 технического описания. Ваш интегратор должен решить, приемлемо ли это для приложения; проверки счётчиков не доказывают живое касание. Подробности о конфигурации и проверке — в NXP AN12196.

Почему SUN-метка устойчива к клонированию: аутентификационная метка CMAC

В режиме AES аутентификационная метка CMAC NTAG424 DNA — это усечённый до 8 байт AES-CMAC (NIST SP 800-38B). Чип вычисляет его при каждом новом касании из сессионного ключа, производного от секретного ключа и, согласно конфигурации, UID и счётчика, и отражает его в URL (техническое описание 9.3.7–9.3.9). Пересчитать его может только верификатор, владеющий ключом: клонированная метка способна лишь воспроизводить сообщения, созданные подлинной меткой, тогда как скопированный статический URL работает как оригинал.

Что должен проверять сервер верификации бренда

1. Расшифруйте UID и счётчик с помощью SDM-ключа мета-чтения, если они зашифрованы.
2. Пересчитайте CMAC по ключу чтения файла метки, UID, счётчику и любым охватываемым данным URL; при несовпадении отклоните.
3. Отклоните повторный или внеочередной счётчик, затем сохраните новый.
4. Проверьте UID: выпущен или нет, а также его продукцию, заказ и рынок; проверьте любой статус TagTamper, отражённый в сообщении.

Пять ключей AES-128 и назначение каждого

NTAG424 DNA содержит пять независимых ключей AES-128, пронумерованных от Key 0 до Key 4. Key 0 закреплён как мастер-ключ приложения. Остальные четыре назначаются на роли интегратором при персонализации; приведённое ниже соответствие — распространённая схема, а не жёстко заданная.

В производстве SDM-ключ чтения файла обычно диверсифицируется для каждой метки от мастер-ключа владельца ключей, поэтому один восстановленный ключ не раскрывает другие метки. Если UID зашифрован в URL, ключ мета-чтения не должен диверсифицироваться по UID, поскольку сервер расшифровывает UID с его помощью; такой общий ключ требует особо надёжной защиты (AN12196, раздел 3.4.2). Отдельно подпись оригинальности NXP поддерживает проверку происхождения чипа. Она не аутентифицирует содержимое упаковки и отличается от проверки SDM-сообщения.

Вариант TagTamper

NTAG424 DNA TagTamper (NT4H2421Tx) — отдельный вариант чипа, подключённый к контрольному контуру в метке. При включённой функции чип проверяет контур при подаче питания и активации или когда соответствующая команда запускает измерение. Как только он зафиксирует постоянный статус Open, этот статус нельзя сбросить на Closed, в том числе повторной персонализацией. Постоянное и текущее состояния можно включить в SDM. См. техническое описание NXP TagTamper, раздел 10. Проект детекции вскрытия также требует метки, в которой контур проходит через пломбу; подтвердите предлагаемый вариант и конструкцию в коммерческом предложении.

Защищённые NFC-метки для аутентификации люксовой одежды

Для люксовой одежды используйте метку, добавляющую свежий код аутентификации при каждом касании, например NTAG424 DNA с SUN, а не фиксированную ссылку: скопированная метка не может сгенерировать новый действительный код. Proud Tek поставляет метки и любую согласованную конфигурацию; проверку выполняет поставщик системы бренда. NXP называет среди применений аутентификацию товаров и выявление продаж вне авторизованных рынков (техническое описание, раздел 3).

Proud Tek производит NFC-метки и пользовательские метки; каждая конструкция подтверждается для каждого заказа и тестируется на образцах.

Люксовая одежда, продаваемая в США

Та же метка 13.56 МГц подходит для продаж в США; телефоны различаются. iPhone XS и новее считывают https URL-метки в фоновом режиме без приложения (Apple); проведите пилот с моделями iPhone и Android. Розничный продавец в США может также требовать UHF-метку для учёта запасов (RFID для розничной торговли и одежды); Proud Tek также производит UHF-метки и навесные бирки. Протестируйте обе вместе.

Сверхплановый выпуск и продажи вне согласованных каналов: что NFC-аутентификация может и не может доказать

Проверенное SUN-сообщение показывает, что его создала метка, владеющая вашим ключом, а не то, как изделие попало к продавцу. Излишки — это единицы, которые ваш контрактный производитель изготавливает сверх разрешённого количества (пример Министерства юстиции США) и продаёт вне ваших каналов, с подлинными метками, если на заводе есть запасные персонализированные метки. Продажи вне согласованных каналов — это продажа разрешённого к выпуску товара за пределами согласованного рынка. Меры контроля вокруг метки:

• Контролируйте ключи и персонализацию: выпускайте метки по каждому заказу на закупку; сверяйте использованные и испорченные.
• Фиксируйте UID каждого чипа в привязке к продукции, заводу, заказу и рынку.
• Активируйте при получении, чтобы излишки меток возвращали статус «не выпущена».
• Следите за местами сканирования: сканирования вне рынка выпуска UID могут указывать на возможные продажи вне согласованных каналов, но не доказывать её. IP-адреса и местоположения сканирований могут являться персональными данными (GDPR, статья 4(1)); согласуйте, что фиксируется в журнале.

Согласуйте, кто выполняет каждую часть

Proud Tek может подготовить согласованную конфигурацию метки через услугу кодирования RFID. В коммерческом предложении должно быть указано, какие работы включены. Настроенные нами метки каждая считываются обратно, а заказ поставляется с отчётом о данных; метки с печатным серийным номером также получают файл, связывающий каждый UID с его серийным номером, и оба поставляются в Excel, CSV или XML. Покупатель и интегратор определяют конфигурацию и критерии приёмки; никогда не отправляйте секретные ключи в форме запроса, обычном электронном письме или файле графики.

Контрольный список приёмки образцов

Сравнение NTAG424 DNA с другими вариантами защиты от контрафакта

Для URL с информацией о продукции без требования криптографической проверки NFC-метки NTAG213 — более простой и дешёвый выбор. Если вы всё ещё взвешиваете касание против печатного кода для той же ссылки, руководство RFID против QR-кода их сравнивает. Выбирайте NTAG424 DNA, когда ваш интегратор требует криптографической проверки и может обеспечить процессы конфигурации и проверки. Для замкнутых систем считывателей, а не потребительских касаний, сравните вместо этого метку DESFire.

Запрос коммерческого предложения на метки NTAG424 DNA

Пришлите размеры метки или доступное место, монтажную поверхность, количество, потребности в графике, пункт назначения и требуемую дату. Добавьте вариант чипа, запрошенное состояние поставки и несекретное резюме конфигурации вашего интегратора. Если какая-либо деталь неизвестна, отметьте её, чтобы её можно было прояснить до подготовки образцов. Используйте кнопку запроса коммерческого предложения или образца на странице продукта, чтобы сохранить выбранной метку NTAG424; дополнительные варианты — на страницах условий предоставления образцов и ассортимента RFID-меток.