NXP - NTAG424 DNA

Anders als die in Seiten organisierten NTAG21x-Chips folgt der Speicher des NTAG424 DNA einer Dateistruktur gemäß dem Standard ISO/IEC 7816-4:

In der Praxis nimmt die 256 Byte große NDEF-Datei eine URL von etwa 240 Zeichen auf. Ist die SUN-Authentifizierung aktiviert, belegen die Spiegelungen (UID, Zähler und CMAC-Code) einen Teil dieses Platzes (etwa vierzig Zeichen); der Link verweist dann auf einen Server, der die kryptografische Gültigkeit jedes Lesevorgangs prüft. Die 128 Byte große proprietäre Datei speichert zusätzlich vertrauliche Daten, auf die erst nach einer AES-Authentifizierung zugegriffen werden kann.

• SUN-Authentifizierung: Bei jedem Lesevorgang fügt der Chip einen dynamischen Authentifizierungscode (AES-CMAC) in die URL ein, der aus der UID und einem 24-Bit-Lesezähler abgeleitet wird und serverseitig überprüfbar ist: Der Inhalt lässt sich weder klonen noch wiedereinspielen. Die gespiegelten Daten können auch verschlüsselt übertragen werden.
• Fünf AES-128-Schlüssel: Fünf 128-Bit-Anwendungsschlüssel mit Versionsverwaltung steuern das Lesen, Schreiben und die Konfiguration dateiweise.
• Geschützte proprietäre Datei: 128 Byte Daten, auf die erst nach einer Authentifizierung zugegriffen werden kann, mit standardmäßig vollständig verschlüsselter Kommunikation.
• Random ID: Der Chip kann bei jeder Aktivierung eine zufällige Kennung präsentieren, um Tracking zu verhindern; die echte UID wird dann nur verschlüsselt übertragen.
• LRP-Modus: Eine AES-Variante (Leakage Resilient Primitive) stärkt die Widerstandsfähigkeit gegen Seitenkanalangriffe.
• Gegenseitige Authentifizierung: Ein dreistufiges Challenge-Response-Protokoll authentifiziert sowohl den Chip als auch das Lesegerät, das die Schlüssel besitzt.
• Originalitätssignatur: Eine ab Werk programmierte ECDSA-Signatur, ergänzt durch AES-Originalitätsschlüssel, belegt, dass der Chip tatsächlich von NXP stammt.

Eine Variante NTAG424 DNA TT ergänzt dieselbe Sicherheitsgrundlage um eine Manipulationserkennung (Tag Tamper), nach dem Prinzip des NTAG213 TT.

Der NTAG424 DNA ist mit praktisch allen NFC-Smartphones kompatibel. Unter Android funktionieren Lesen und Schreiben nativ mit NFC Tools, ohne besondere Einschränkungen. Auf dem iPhone ist das automatische Lesen im Hintergrund ab dem iPhone XS und XR verfügbar; ab dem iPhone XS / XR lässt sich der Chip mit NFC Tools unter iOS 17 oder höher lesen und beschreiben, indem Sie den Scan in der App manuell starten.

Mit NFC Tools unterstützt der NTAG424 DNA das Auslesen technischer Informationen, das Schreiben von NDEF-Datensätzen und das Löschen. Die Konfiguration der kryptografischen Funktionen (AES-Schlüssel, Aktivierung der SUN-Authentifizierung) ist dagegen eine spezialisierte Kodierung, die in der Regel mit einem eigenen Lesegerät und einer serverseitigen Infrastruktur erfolgt. Die Liste der kompatiblen Modelle finden Sie im Artikel zur Kompatibilität.

Beide Chips teilen sich das SUN-Prinzip und die AES-128-Kryptografie. Gegenüber dem NTAG413 DNA, den er ablöst, bietet der NTAG424 DNA mehr Speicher, zwei zusätzliche Schlüssel, die geschützte proprietäre Datei, die Option Random ID und die EAL4-Zertifizierung: Er ist der Chip der Wahl für jedes neue Authentifizierungs- oder Fälschungsschutzprojekt.

Wie viele Daten passen auf einen NTAG424 DNA?

Die NDEF-Datei bietet 256 Byte, was einer URL von etwa 240 Zeichen entspricht, und die proprietäre Datei fügt 128 Byte für geschützte Daten hinzu. Zusammen mit der 32 Byte großen CC-Datei erreicht der gesamte Benutzerspeicher 416 Byte.

Was ist die SUN-Authentifizierung?

SUN (Secure Unique NFC message) erzeugt bei jedem Lesevorgang einen eindeutigen kryptografischen Code, der in die URL eingefügt wird. Der Server, der diesen Link empfängt, prüft, dass der Lesevorgang vom Original-Chip stammt und nicht wiedereingespielt wurde, wodurch jede Kopie des Inhalts wirkungslos wird.

Ist der NTAG424 DNA mit dem iPhone kompatibel?

Ja. Das Lesen im Hintergrund funktioniert ab dem iPhone XS und XR, und mit NFC Tools sind Lesen und Schreiben von NDEF ab dem iPhone XS / XR unter iOS 17 oder höher möglich. Die SUN-Überprüfung findet serverseitig statt, wenn der Link geöffnet wird.

Lässt sich ein NTAG424 DNA vor dem Überschreiben schützen?

Ja. Jede Datei hat per AES-Schlüssel konfigurierbare Zugriffsrechte, bis hin zum Verbot jedes nicht authentifizierten Schreibens, und die proprietäre Datei ist standardmäßig verschlüsselt. Der Chip nutzt nicht den einfachen Passwortmechanismus der NTAG21x: Der Schutz beruht vollständig auf den AES-128-Schlüsseln.

Offizielles NXP-Datenblatt (PDF)

Empfohlene NFC-Chips für NFC Tools

NFC-Chips NTAG424 DNA kaufen