NXP - MIFARE DESFire EV1

Der Speicher des MIFARE DESFire EV1 ist nicht in feste Blöcke, sondern als hierarchisches Dateisystem organisiert, dessen Struktur bei der Personalisierung frei festgelegt wird:

Die Größe jeder Datei wird bei ihrer Erstellung festgelegt, sodass sich die Karte präzise auf jedes Projekt zuschneiden lässt. Als Type 4 Tag des NFC Forum genutzt, enthält der Chip eine NDEF-Anwendung, deren Datei fast den gesamten Speicher belegen kann: knapp 1900 URL-Zeichen bei der 2-kB-Version und deutlich mehr bei den 4- und 8-kB-Versionen. Die Kapazität ist damit kein Engpass mehr (genug für eine vollständige vCard oder mehrere kombinierte Datensätze).

• Gegenseitige Authentifizierung und verschlüsselter Kanal: Eine dreistufige gegenseitige Authentifizierung (in DES, 2K3DES, 3K3DES oder AES-128, ausgeführt von einer Hardware-Kryptoeinheit) erzeugt einen eindeutigen Sitzungsschlüssel; die Übertragungen lassen sich dann mit einem 8-Byte-CMAC signieren oder über den Funkkanal vollständig verschlüsseln.
• Dateisystem für mehrere Anwendungen: bis zu 28 voneinander isolierte Anwendungen mit jeweils eigenen Schlüsseln und bis zu 32 Dateien; eine einzige Karte kann Nahverkehr, Zutrittskontrolle und Kundenbindung vereinen, ohne dass die Herausgeber ihre Geheimnisse teilen.
• Fünf Dateitypen: Standard- oder Backup-Datendateien, Wertdateien mit kontrollierter Aufladung und Abbuchung sowie Dateien mit linearen und zyklischen Datensätzen (letztere überschreiben automatisch die ältesten Einträge, ideal für den Transaktionsverlauf).
• Atomare Transaktionen: Ein Anti-Tearing-Mechanismus (Schutz vor Schreibabbrüchen) übernimmt oder verwirft alle Schreibvorgänge einer Transaktion als Einheit, und ein automatisches Rollback schützt die Dateistruktur: Die Karte bleibt nie in einem inkonsistenten Zustand, selbst wenn sie mitten im Vorgang aus dem Feld genommen wird.
• Random ID und Schlüsseldiversifizierung: Die optionale Random ID verhindert das Verfolgen der Karte, und die Ableitung kartenindividueller Schlüssel aus der UID erhöht die Widerstandsfähigkeit gegen Klonen.
• EAL4+-Zertifizierung: Sowohl die Hardware als auch die eingebettete Software sind nach Common Criteria EAL4+ zertifiziert, mit Sensoren für Ausnahmebedingungen und Gegenmaßnahmen gegen Stromverbrauchsanalyse.

Die DES-Modi und die Kompatibilität mit dem ersten DESFire (MF3ICD40) bleiben für bestehende Installationen erhalten; für jeden Neueinsatz ist AES-128 die empfohlene Wahl. Den Chip gibt es mit zwei Antennenkapazitäten, 17 pF und 70 pF (Modelle MF3ICDH für kleine Bauformen). Der MIFARE DESFire EV2 und der EV3 setzen die Reihe mit erweiterten Funktionen fort.

Der MIFARE DESFire EV1 nutzt die NFC-A-Technologie (ISO/IEC 14443A), die von der großen Mehrheit der aktuellen NFC-Smartphones unterstützt wird. Unter Android funktionieren Lesen und Schreiben nativ mit NFC Tools, ohne besondere Einschränkungen. Auf dem iPhone ist das automatische Lesen im Hintergrund ab dem iPhone XS und XR verfügbar; ab dem iPhone XS / XR lässt sich der Chip mit NFC Tools unter iOS 17 oder höher lesen und beschreiben, indem Sie den Scan in der App manuell starten.

Mit NFC Tools unterstützt der Chip das Auslesen technischer Informationen sowie das Lesen und Schreiben von NDEF-Datensätzen, sobald die Karte als Type 4 formatiert ist (leere Karten, die mit Werksschlüsseln ausgeliefert werden, lassen sich beim ersten Schreiben vorbereiten). Das Anlegen von Anwendungen, die Schlüsselverwaltung und die Feinabstimmung der Dateien erfordern eine spezialisierte Kodierung über die speziellen Befehle des Chips. Die Liste der kompatiblen Modelle finden Sie im Artikel zur Kompatibilität.

Die drei Versionen teilen sich exakt denselben Befehlssatz, dieselbe Sicherheit und dieselbe Leistung: Nur Speicher und Antennenkapazität unterscheiden sich. Für neue Projekte erweitern der MIFARE DESFire EV2 und der EV3 die Reihe; bei den NFC-Tags für Endverbraucher bietet der NTAG 424 DNA eine AES-Authentifizierung im Aufkleberformat.

Wie viele Daten passen auf einen MIFARE DESFire EV1?

Die Karte bietet 2, 4 oder 8 kB, verteilt auf Dateien frei wählbarer Größe. Als Type 4 Tag genutzt, widmet sie fast ihren gesamten Speicher der NDEF-Datei, was bei der 2-kB-Version knapp 1900 URL-Zeichen entspricht (weit mehr, als üblicherweise nötig ist).

Was ist der Unterschied zwischen MIFARE DESFire EV1 und MIFARE Classic?

Der MIFARE Classic beruht auf dem proprietären Verschlüsselungsverfahren Crypto1, das veraltet ist und dessen Schwächen öffentlich dokumentiert sind. Der DESFire EV1 baut auf offenen Standards (3DES und AES-128), gegenseitiger Authentifizierung mit Sitzungsschlüsseln und einer Zertifizierung nach Common Criteria EAL4+ auf.

Ist der MIFARE DESFire EV1 mit dem iPhone kompatibel?

Ja. Das Lesen im Hintergrund funktioniert ab dem iPhone XS und XR, und mit NFC Tools sind Lesen und Schreiben ab dem iPhone XS / XR unter iOS 17 oder höher möglich.

Lässt sich ein MIFARE DESFire EV1 vor dem Überschreiben schützen?

Der Schutz beruht auf den Schlüsseln: Jede Datei legt ihre Lese- und Schreibzugriffsrechte fest, die eine Authentifizierung verlangen oder auf „nie“ gesetzt werden können (das Schreiben ist dann dauerhaft unmöglich). Eine Sperre über OTP-Bits wie bei den NTAG-Chips gibt es nicht: Alles wird über die Zugriffsrechte konfiguriert.

Offizielles NXP-Datenblatt (PDF)

Empfohlene NFC-Chips für NFC Tools

NFC-Chips MIFARE DESFire EV1 kaufen