NXP - ICODE DNA

Der adressierbare Speicher des ICODE DNA ist in 64 Blöcke zu je 4 Byte unterteilt: Die ersten 63 bilden den Benutzerspeicher, der letzte ist für den Zähler reserviert. Ein separater Konfigurationsbereich mit 48 Blöcken, der nur über die Befehle Read Config und Write Config zugänglich ist, enthält die AES-Schlüssel, die Berechtigungen und die Originalitätssignatur:

In der Praxis fassen die 252 Byte Benutzerspeicher einen NDEF-Datensatz mit einer URL von etwa 230 Zeichen, sobald der Capability Container (beim Formatieren in den ersten Block geschrieben) und die NDEF-Hülle berücksichtigt sind und das gängige Präfix (zum Beispiel https://www.) in einem einzigen Byte komprimiert wird. Das reicht für einen mit Parametern angereicherten Link, zum Beispiel um jeden Tag mit einer Online-Echtheitsprüfung zu verknüpfen.

• AES-128-Authentifizierung: Ein dedizierter Koprozessor führt die Tag-Authentifizierung (Nachweis der Echtheit des Chips per Challenge-Response) und die gegenseitige Authentifizierung durch, die zusätzlich die Rechte des Lesegeräts prüft, bevor der Zugriff auf geschützte Daten oder Funktionen freigegeben wird – alles innerhalb des Protokolls ISO/IEC 15693. Ein konfigurierbares Authentifizierungslimit bremst Brute-Force-Angriffe.
• Drei Schlüssel mit Berechtigungen: Drei 128-Bit-Benutzerschlüssel, die jeweils gewählte Berechtigungen tragen (Lesen, Schreiben, Privacy, Destroy, EAS/AFI oder Krypto-Konfiguration), um die Rollen zwischen Marke, Logistik und Anwendung zu verteilen; ein vierter, von NXP programmierter Schlüssel dient der Authentifizierung des Original-Tags.
• Anpassbare Originalitätssignatur: Eine 32-Byte-Signatur auf Basis der Kryptografie mit elliptischen Kurven wird von NXP vorprogrammiert; sie kann bei der Personalisierung durch eine anwendungsspezifische Signatur ersetzt und anschließend dauerhaft gesperrt werden.
• Speichersegmentierung und Schutz: Der Benutzerspeicher lässt sich in Bereiche mit unterschiedlichen Zugriffsbedingungen unterteilen, in denen Lesen oder Schreiben eine gegenseitige Authentifizierung erfordern kann; die klassische blockweise Sperre (einschließlich AFI, DSFID und EAS) bleibt verfügbar.
• 16-Bit-Zähler: Er liegt im letzten Block und wird durch einen einfachen Schreibvorgang um eins erhöht, wobei seine Voreinstellung durch gegenseitige Authentifizierung geschützt ist (nützlich, um Verwendungen oder Servicezyklen zu zählen).
• Privacy, Destroy, EAS und AFI: Die Modi Privacy und Destroy sowie die Diebstahlsicherung EAS und die AFI-Filterung sind durch gegenseitige Authentifizierung geschützt, und der persistente Quiet-Modus beschleunigt die Inventarisierung großer Tag-Mengen.

Bei der Auslieferung ist der Benutzerspeicher nicht geschützt: Der Chip lässt sich wie ein klassischer Type 5 Tag lesen und beschreiben, die AES-Sicherheit wird bei der Personalisierung aktiviert. Den Chip gibt es in einer einzigen Version mit einer Abstimmkapazität der Antenne von 23,5 pF (Modell SL2S6002).

Der ICODE DNA nutzt die Technologie NFC-V (ISO/IEC 15693), die von der großen Mehrheit der aktuellen NFC-Smartphones unterstützt wird. Unter Android funktionieren Lesen und Schreiben mit NFC Tools nativ und ohne besondere Einschränkungen. Auf dem iPhone ist das automatische Lesen im Hintergrund ab dem iPhone XS und XR verfügbar; ab dem iPhone XS / XR lässt sich der Chip mit NFC Tools unter iOS 17 oder höher lesen und beschreiben, indem Sie den Scan in der App manuell starten.

Mit NFC Tools unterstützt der ICODE DNA das Auslesen technischer Informationen, das Schreiben von Datensätzen, das Löschen und die dauerhafte Sperre. Die kryptografische Konfiguration (AES-Schlüssel, Berechtigungen, Segmentierung) erfordert eine spezialisierte Kodierung über die dedizierten Befehle des Chips. Die Liste der kompatiblen Modelle finden Sie im Artikel zur Kompatibilität.

Beide Chips teilen sich das Protokoll ISO/IEC 15693, die große Reichweite, den Zähler, den persistenten Quiet-Modus und den Datenerhalt von 50 Jahren. Der SLIX2 bietet mehr Speicher bei passwortbasierter Sicherheit; der DNA verzichtet auf ein paar Byte zugunsten einer AES-Authentifizierung, die sich nicht wiedereinspielen lässt (die richtige Wahl, wenn die Echtheit des Produkts auf dem Spiel steht). Bei NFC im Nahbereich übernimmt der NTAG 424 DNA dieselbe Rolle im Format Type 4.

Wie viele Daten passen auf einen ICODE DNA?

Der Chip hat 252 Byte Benutzerspeicher, was unter Berücksichtigung des Capability Containers und der NDEF-Hülle einer URL von etwa 230 Zeichen entspricht; der letzte Block ist für den Zähler reserviert.

Was bringt die AES-Authentifizierung gegenüber den Passwörtern der SLIX-Generation?

Die Authentifizierung beruht auf einem Challenge-Response-Verfahren: Das Geheimnis wird nie übertragen, und jede Sitzung verwendet eine neue Zufallszahl, was Abhören und Wiedereinspielen verhindert. Die gegenseitige Authentifizierung prüft zusätzlich die Rechte des Lesegeräts. Passwörter bieten eine Zugriffskontrolle, aber keinen kryptografischen Echtheitsnachweis.

Ist der ICODE DNA mit dem iPhone kompatibel?

Ja. Das Lesen im Hintergrund funktioniert ab dem iPhone XS und XR, und mit NFC Tools sind Lesen und Schreiben ab dem iPhone XS / XR unter iOS 17 oder höher möglich.

Lässt sich ein ICODE DNA vor dem Überschreiben schützen?

Ja, auf zwei Arten: mit einer dauerhaften, unwiderruflichen blockweisen Sperre, auch aus NFC Tools heraus, oder mit einem Schreibschutz, der an die gegenseitige Authentifizierung gebunden ist und vom Inhaber des betreffenden AES-Schlüssels wieder aufgehoben werden kann.

Offizielles NXP-Datenblatt (PDF)

Empfohlene NFC-Chips für NFC Tools

NFC-Chips ICODE DNA kaufen