NXP - MIFARE DESFire Light

Der Speicher des MIFARE DESFire Light ist als eine einzige, vordefinierte Anwendung aus sechs Dateien nach ISO/IEC 7816-4 organisiert (eine feste, einsatzbereite Struktur, deren Kennungen sich jedoch ändern lassen):

Die 640 Byte Benutzerspeicher entsprechen dem verfügbaren Benutzerspeicher eines MIFARE Classic 1K, ergänzt um moderne Sicherheit. Die Dateien werden ab Werk angelegt und lassen sich nicht löschen (nur die Transaction-MAC-Datei kann neu angelegt werden, um ihren Schlüssel zu ändern), ihre Kennungen und Zugriffsrechte lassen sich jedoch frei neu konfigurieren. Als Type 4 Tag verwendet, nimmt eine der Dateien mit 256 Byte die NDEF-Nachricht auf, was einer URL von etwa 240 Zeichen entspricht.

• AES-128-Verschlüsselung und LRP-Modus: gegenseitige Authentifizierung in drei Schritten und gesicherte AES-Kommunikation (kompatibel mit einer Teilmenge der gesicherten Kommunikation des DESFire EV2) auf drei Stufen: im Klartext, mit CMAC signiert oder vollständig verschlüsselt. Der LRP-Modus, der sich dauerhaft aktivieren lässt, verpackt AES in eine Konstruktion, die gegen Seitenkanal- und Fehlerangriffe resistent ist, ganz ohne proprietäre Kryptografie.
• Fünf Schlüssel und Rechte pro Datei: fünf versionierte 128-Bit-AES-Schlüssel, darunter der Master-Schlüssel der Anwendung; jede Datei legt ihre Lese-, Schreib- und Konfigurationsrechte fest (pro Schlüssel, freier Zugriff oder „nie“). Ein Zähler für fehlgeschlagene Authentifizierungen mit zunehmender Verzögerung erschwert Brute-Force-Angriffe.
• Transaction MAC: Jede Transaktion kann mit einem MAC besiegelt werden, der mit einem nur zwischen Karte und Backend geteilten Schlüssel berechnet wird: Das Terminal kann eine Transaktion weder fälschen noch erneut einspielen; die Kennung des Lesegeräts kann verlangt werden, und ein Transaktionslimit ist konfigurierbar.
• Atomare Transaktionen: Die Wertdatei und die zyklische Datensatzdatei profitieren von einem Sicherungsmechanismus (Schreibvorgänge werden erst mit dem Abschluss der Transaktion als eine Einheit wirksam: Die Karte bleibt nie in einem inkonsistenten Zustand, selbst wenn sie mitten im Vorgang aus dem Feld entfernt wird).
• Doppelte Originalitätsprüfung: Eine mit dem Befehl Read Sig auslesbare ECC-Signatur und vier AES-Originalitätsschlüssel, die sich per LRP-Authentifizierung überprüfen lassen, belegen, dass das Silizium tatsächlich von NXP stammt.
• Datenschutz und Integration: Die optionale Random ID erfüllt die Datenschutzvorschriften, der vollständig verschlüsselte Modus verbirgt den Datenaustausch, und die funktionale Kompatibilität mit dem DESFire EV2 ermöglicht es, die Anwendung später in eine Karte mit mehreren Anwendungen zu integrieren.

Den MIFARE DESFire Light gibt es mit zwei Antennenkapazitäten: 17 pF (MF2DL10) und 50 pF (MF2DLH10) für kleine Bauformen (Schlüsselanhänger, Armbänder). Für Szenarien mit mehreren Anwendungen oder die SUN-Nachricht übernehmen der MIFARE DESFire EV2 und der EV3.

Der MIFARE DESFire Light nutzt die Technologie NFC-A (ISO/IEC 14443A), die von der großen Mehrheit der aktuellen NFC-Smartphones unterstützt wird. Unter Android funktionieren Lesen und Schreiben nativ mit NFC Tools, ohne besondere Einschränkungen. Auf dem iPhone ist das automatische Lesen im Hintergrund ab dem iPhone XS und XR verfügbar; ab dem iPhone XS / XR lässt sich der Chip mit NFC Tools unter iOS 17 oder höher lesen und beschreiben, indem Sie den Scan in der App manuell starten.

Mit NFC Tools unterstützt der Chip das Auslesen technischer Informationen sowie das Lesen und Schreiben von NDEF-Datensätzen, sobald die Karte als Type 4 konfiguriert ist. Die Verwaltung der Schlüssel, der Zugriffsrechte und des Transaction MAC erfordert eine spezielle Kodierung über die dafür vorgesehenen Befehle des Chips. Die Liste der kompatiblen Modelle finden Sie im Artikel zur Kompatibilität.

Der Light bündelt die AES-Sicherheit der Familie in einer vordefinierten, einsatzbereiten und günstigeren Struktur; der EV3 eröffnet Szenarien mit mehreren Anwendungen, delegierte Verwaltung und die SUN-Nachricht. Die funktionale Kompatibilität mit der gesicherten Kommunikation des EV2 erlaubt es, eine Light-Anwendung ohne Neukonzeption auf eine EV2- oder EV3-Karte zu migrieren; bei den Aufkleber-Tags nutzt der NTAG 424 DNA denselben LRP-Modus.

Wie viele Daten passen auf einen MIFARE DESFire Light?

Der Chip bietet 640 Byte Benutzerspeicher (das Äquivalent eines MIFARE Classic 1K), aufgeteilt auf 544 Byte Datendateien, eine Wertdatei und eine zyklische Datensatzdatei mit vier Einträgen. Als Type 4 Tag verwendet, entspricht die NDEF-Datei mit 256 Byte einer URL von etwa 240 Zeichen.

Worin unterscheidet sich der DESFire Light vom DESFire EV2 oder EV3?

Der Light ist für nur eine Anwendung ausgelegt und hat eine feste, einsatzbereite Dateistruktur, während der EV2 und der EV3 frei strukturierbare Plattformen für mehrere Anwendungen sind. Die AES-Sicherheit haben sie gemeinsam (der Light bringt sogar den LRP-Modus zusätzlich mit), und seine Kompatibilität mit der gesicherten Kommunikation des EV2 erlaubt eine spätere Migration ohne Neukonzeption.

Ist der MIFARE DESFire Light mit dem iPhone kompatibel?

Ja. Das Lesen im Hintergrund funktioniert ab dem iPhone XS und XR, und mit NFC Tools sind Lesen und Schreiben ab dem iPhone XS / XR unter iOS 17 oder höher möglich.

Lässt sich ein MIFARE DESFire Light vor dem Überschreiben schützen?

Der Schutz beruht auf den Schlüsseln: Jede Datei legt ihre Lese- und Schreibzugriffsrechte fest, die eine Authentifizierung verlangen oder auf „nie“ gesetzt werden können (Schreiben ist dann dauerhaft unmöglich). Eine Sperre über OTP-Bits wie bei den NTAG-Chips gibt es nicht: Alles wird über die Zugriffsrechte konfiguriert.

Offizielles NXP-Datenblatt (PDF)

Empfohlene NFC-Chips für NFC Tools

NFC-Chips MIFARE DESFire Light kaufen