Der MIFARE Plus ist die Brücke von NXP Semiconductors zwischen zwei Welten: Er übernimmt die Speicherorganisation des MIFARE Classic (Sektoren, Blöcke, Zugriffsbits) und bringt zugleich die AES-128-Kryptografie mit, um Zutrittsausweise, Fahrkarten und Studierendenausweise von Crypto1-Systemen auf zertifizierte Sicherheit umzustellen, ohne die gesamte Infrastruktur auf einmal austauschen zu müssen. Dank seines Konzepts der Sicherheitsstufen kann dieselbe Karte heute in voller Classic-Kompatibilität (SL1) und morgen in vollem AES (SL3) betrieben werden, wobei der Wechsel dauerhaft ist. Er ist in fünf Versionen erhältlich (S, X, SE, EV1 und EV2, zertifiziert bis EAL5+) und richtet sich an geschlossene Systeme; seine Kompatibilität mit Smartphones ist real, aber nur teilweise und wird weiter unten im Detail erläutert.
Informationen
| Hersteller | NXP Semiconductors |
| Familie | MIFARE Plus |
| Versionen | MIFARE Plus S, Plus X, Plus SE, Plus EV1 und Plus EV2 |
| Standard | ISO/IEC 14443A (Level 1 bis 4) |
| NFC-Forum-Typ | Keine (proprietäres NDEF-Format über das MAD) |
| Betriebsfrequenz | 13,56 MHz |
| Datenrate | 106 bis 848 kbit/s |
| Eindeutige Kennung (UID) | 7 Byte oder eine 4-Byte-NUID; optional Random ID |
| Verschlüsselung | AES-128; Crypto1 im Kompatibilitätsmodus, je nach Sicherheitsstufe |
| Abstimmkapazität | 17 pF oder 70 pF je nach Version |
| Lesereichweite | Einige Zentimeter (bis zu 100 mm je nach Antenne) |
| Zertifizierung | Common Criteria, bis EAL5+ (EV-Generationen) |
| Speicher | 1, 2 oder 4 kB je nach Version |
Die Versionen der Familie
Die MIFARE-Plus-Familie wurde in zwei Etappen aufgebaut: zuerst die historischen Versionen (S, X, SE), dann die EV-Generationen, die sie ablösen:
| Version | Speicher | Highlights |
|---|---|---|
| MIFARE Plus S | 2 oder 4 kB | Die historische Einstiegsversion (Stufen SL0, SL1 und SL3) |
| MIFARE Plus X | 2 oder 4 kB | Die historische Vollversion, mit der Zwischenstufe SL2 |
| MIFARE Plus SE | 1 kB | Der kompakte Einstieg, AES-Schlüssel in den Datenblöcken gespeichert |
| MIFARE Plus EV1 | 2 oder 4 kB | Virtual Card, Proximity Check, Transaction MAC, sektorweise Migration |
| MIFARE Plus EV2 | 2 oder 4 kB | Die aktuelle Generation: SL1SL3MixMode, Transaction Timer, EAL5+ |
Alle übernehmen die Organisation des MIFARE Classic (16-Byte-Blöcke, zu Sektoren gruppiert, jeweils mit einem Sector Trailer): Die 2K-Version bietet 752 nutzbare Byte und die 4K-Version 3440, Wertblöcke eingeschlossen. Die EV-Generationen lösen die historischen Versionen ab, wobei der EV2 zu allen davon, einschließlich des MIFARE Classic, abwärtskompatibel bleibt.
Speicher
Der Speicher des MIFARE Plus ist der eines Classic, der AES gelernt hat: gleiche Sektoren, gleiche Zugriffsbits, dazu 128-Bit-Schlüssel:
| Bereich | Inhalt | Zugriff |
|---|---|---|
| Block 0 (Sektor 0) | UID und Herstellerdaten | Nur lesbar, ab Werk festgelegt |
| Datenblöcke | Je 16 Byte; Wertblöcke für Zähler und Guthaben | Gemäß den Zugriffsbits; in SL3 unter AES-Authentifizierung und Secure Messaging |
| Sector Trailer und Schlüssel | Zugriffsbits; Crypto1-Schlüssel (SL1) und zwei 128-Bit-AES-Schlüssel pro Sektor | Schlüssel und Trailer durch einen Anti-Tearing-Mechanismus (Schutz vor Schreibabbrüchen) geschützt |
Die Karte wird auf Stufe SL0 ausgeliefert, die der Personalisierung dient: Daten, Crypto1-Schlüssel und AES-Schlüssel werden dort vor der Inbetriebnahme geschrieben (der Umschaltbefehl besiegelt anschließend die gewählte Stufe). In SL1 und mit dem MAD-Format ist auf dem 2K, wie bei einem Classic, weiterhin eine NDEF-Nachricht von etwa 700 Zeichen möglich.
Funktionen & Sicherheit
- Sicherheitsstufen, das Herzstück des Konzepts: In SL0 (Personalisierung) ausgeliefert, wechselt die Karte zu SL1 (volle Classic-Kompatibilität) und anschließend zu SL3 (volles AES: Authentifizierung, Integrität und Verschlüsselung der Datenübertragung); der Wechsel ist nur aufwärts möglich, für die ganze Karte oder seit dem EV1 sektorweise: Jede Infrastruktur migriert in ihrem eigenen Tempo.
- SL1SL3MixMode und Einschränkungen (EV2): Die AES-Authentifizierung greift in Sektoren ein, die noch in SL1 sind, und die Einschränkungen für Aktualisierungen in SL1 teilen die Rechte zwischen der alten und der neuen Welt auf (Lesen mit dem Altsystem, Ändern unter AES).
- Volles Classic-Erbe: Sektoren, Zugriffsbits, Wertblöcke und Transaktionen bleiben die des Classic: Bereits installierte Lesegeräte funktionieren in SL1 weiter, ohne Betriebsunterbrechung während der Migration.
- Transaktionsschutz (EV-Generationen): Der Transaction MAC belegt dem Backend die Echtheit der Vorgänge, der Transaction Timer (EV2) wehrt Man-in-the-Middle-Angriffe ab, und das Anti-Tearing deckt Schlüssel, Trailer und optional auch Datenschreibvorgänge ab.
- Virtual Card und Proximity Check (EV-Generationen): Die Auswahl der virtuellen Karte (ISO/IEC 7816-4) dient Multi-Karten- und Mobilumgebungen, und der Proximity Check misst die Antwortzeit der Datenübertragung, um Relay-Angriffe zu erkennen.
- Zertifiziert und schnell: bis zu 848 kbit/s, eine Originalitätsprüfung und Common-Criteria-Zertifizierungen bis EAL5+ (Hardware und Software) bei den EV-Generationen.
Die historischen MIFARE Plus S, X und SE haben den Weg geebnet; NXP lenkt neue Projekte zu den EV-Generationen, deren durchgängig gesicherter Kanal auch mobile Dienste unterstützt (Fernaufladung, MIFARE 2GO).
Kompatibilität
Der MIFARE Plus beruht auf der NFC-A-Technologie (ISO/IEC 14443A), doch sein proprietäres Protokoll stellt ihn außerhalb der vom NFC Forum standardisierten Tag-Typen: Die Kompatibilität hängt vom NFC-Controller des Geräts und von der Sicherheitsstufe der Karte ab. In SL1 verhält er sich wie ein MIFARE Classic: Unter Android lesen und beschreiben Modelle mit einem NXP-Controller ihn mit NFC Tools, während andere unter Umständen auf das Lesen der UID beschränkt sind; auf dem iPhone ist das Lesen im Hintergrund nicht verfügbar, und NFC Tools ist nur teilweise kompatibel: Sie müssen in den App-Einstellungen die Option „Kompatibilität“ aktivieren und den Scan dann manuell starten (ab dem iPhone XS / XR, unter iOS 17 oder höher). In SL3 spricht die Karte nur AES mit den Lesegeräten ihres Systems: Ihr Betrieb obliegt dann der installierten Infrastruktur.
Mit NFC Tools unterstützt der MIFARE-Plus-Chip je nach Gerät und Sicherheitsstufe das Auslesen technischer Informationen sowie das Lesen und Schreiben von NDEF-Datensätzen auf Karten, die in SL1 mit dem MAD formatiert sind. Die Verwaltung der Schlüssel, der Sicherheitsstufen und der Personalisierung erfordert eine spezialisierte Kodierung über die eigenen Befehle des Chips. Die Liste der kompatiblen Modelle finden Sie im Artikel zur Kompatibilität.
MIFARE Classic EV1 vs MIFARE Plus EV2
| Chip | Speicher | Sicherheit | Typische Verwendung |
|---|---|---|---|
| MIFARE Classic EV1 | 1 oder 4 kB | Crypto1 | Bestehende Kartenbestände, nicht sicherheitskritische Anwendungen |
| MIFARE Plus EV2 | 2 oder 4 kB | AES-128 mit EAL5+-Zertifizierung, Classic-Kompatibilität in SL1 | Die Migration zu zertifizierter Sicherheit |
Der MIFARE Plus ist buchstäblich der Classic, der AES gelernt hat: derselbe Speicher, dieselben Lesegeräte in SL1, moderne Sicherheit in SL3. Für eine Architektur, die auf Anwendungen und Dateien statt auf Sektoren aufbaut, übernimmt der MIFARE DESFire EV3; für einen Tag für Endverbraucher, der von jedem Smartphone lesbar ist, bleibt der NTAG213 die Referenz.
Häufige Fragen
Wie viele Daten passen auf einen MIFARE Plus?
1 kB (Plus SE), 2 oder 4 kB je nach Version, mit der Classic-Struktur: 752 nutzbare Byte beim 2K und 3440 beim 4K, nach Abzug der Konfigurationsblöcke. In SL1 und mit dem MAD-Format entspricht die NDEF-Nachricht beim 2K etwa 700 Zeichen.
Wie funktioniert die Migration der Sicherheitsstufen?
Die Karte wird in SL0 zur Personalisierung ausgeliefert (Daten, Crypto1- und AES-Schlüssel) und dann auf SL1 (volle Classic-Kompatibilität) oder direkt auf SL3 (volles AES) umgeschaltet. Der Wechsel ist nur aufwärts möglich, für die ganze Karte oder seit dem EV1 sektorweise, und der SL1SL3MixMode des EV2 lässt beide Welten während des Übergangs nebeneinander bestehen: Die Infrastruktur migriert, ohne je stillzustehen.
Ist der MIFARE Plus mit dem iPhone kompatibel?
Teilweise, wie der Classic, dessen Protokoll er übernimmt: Das Lesen im Hintergrund ist nicht verfügbar, und NFC Tools ist nur teilweise kompatibel (aktivieren Sie in den Einstellungen die Option „Kompatibilität“, manueller Scan, ab dem iPhone XS / XR unter iOS 17 oder höher). In SL3 ist die Karte den Lesegeräten ihres Systems vorbehalten.
Ist der MIFARE Plus sicherer als der MIFARE Classic?
Ja, sobald er in SL3 betrieben wird: AES-128-Authentifizierung und -Kommunikation, Zertifizierungen bis EAL5+, Transaction MAC und ein Proximity Check gegen Relay-Angriffe. In SL1 erbt er bewusst die Grenzen von Crypto1, bis die Infrastruktur umgestellt ist.
Nützliche Links
