El ICODE DNA es el miembro criptográfico de la familia ICODE de NXP Semiconductors, diseñado para la protección de marca y la lucha contra la falsificación: bienes de consumo, activos de alto valor, documentos, venta de pases de esquí. Conforme a la norma ISO/IEC 15693 (conocida como vicinity) y compatible con el formato NFC Forum Type 5, combina el largo alcance de la familia con una autenticación AES-128 realizada por un coprocesador dedicado, con tres claves de usuario que conllevan privilegios distintos. Puede ser leído y escrito por la gran mayoría de los smartphones NFC recientes.
Información
| Fabricante | NXP Semiconductors |
| Familia | ICODE (miembro criptográfico) |
| Referencia | SL2S6002 |
| Norma | ISO/IEC 15693 (tarjetas de vecindad) |
| Tipo NFC Forum | Compatible con Type 5 Tag |
| Frecuencia de funcionamiento | 13,56 MHz |
| Velocidad de transmisión | Hasta 53 kbit/s |
| Identificador único (UID) | 8 bytes (64 bits), programado de fábrica |
| Cifrado | AES-128 con un coprocesador dedicado |
| Claves | 3 claves de usuario de 128 bits y 1 clave de NXP |
| Firma de originalidad | 32 bytes (ECC), personalizable |
| Distancia de funcionamiento | Hasta 1,5 m con un lector de largo alcance; unos pocos centímetros con un smartphone |
| Retención de datos | 50 años |
| Resistencia de escritura | 100 000 ciclos |
| Memoria direccionable (EEPROM) | 256 bytes (2048 bits) |
| Memoria de usuario | 252 bytes |
| Contador | 16 bits, en el último bloque |
Memoria
La memoria direccionable del ICODE DNA está organizada en 64 bloques de 4 bytes: los primeros 63 forman la memoria de usuario y el último está reservado para el contador. Una zona de configuración independiente de 48 bloques, accesible únicamente mediante los comandos Read Config y Write Config, aloja las claves AES, los privilegios y la firma de originalidad:
| Zona | Contenido | Acceso |
|---|---|---|
| Zona de configuración (48 bloques) | Claves AES y privilegios, firma de originalidad, identificador de cliente, parámetros de seguridad | Reservada a los comandos de configuración dedicados |
| Bloques 0 a 62 | Memoria de usuario (252 bytes) | Lectura / escritura, se puede bloquear bloque a bloque, se puede proteger mediante autenticación |
| Bloque 63 | Contador de 16 bits y su indicador de protección | Lectura; incremento mediante una escritura, valor inicial protegido por autenticación mutua |
En la práctica, los 252 bytes de memoria de usuario pueden contener un registro NDEF con una URL de unos 230 caracteres, teniendo en cuenta el Capability Container (escrito en el primer bloque durante el formateo) y el encapsulado NDEF, y con el prefijo habitual (https://www., por ejemplo) comprimido en un solo byte. Es suficiente para un enlace enriquecido con parámetros, por ejemplo para asociar cada etiqueta a una verificación de autenticidad en línea.
Funciones y seguridad
- Autenticación AES-128: un coprocesador dedicado realiza la autenticación de la etiqueta (que demuestra que el chip es genuino mediante un desafío-respuesta) y la autenticación mutua, que además verifica los derechos del lector antes de dar acceso a los datos o funciones protegidos, todo ello dentro del protocolo ISO/IEC 15693. Un límite de autenticación configurable frena los ataques de fuerza bruta.
- Tres claves con privilegios: tres claves de usuario de 128 bits, cada una con los privilegios elegidos (lectura, escritura, privacidad, destrucción, EAS/AFI o configuración criptográfica) para repartir los roles entre marca, logística y aplicación; una cuarta clave, programada por NXP, sirve para la autenticación de la etiqueta original.
- Firma de originalidad personalizable: una firma de 32 bytes basada en criptografía de curva elíptica viene preprogramada por NXP; durante la personalización se puede sustituir por una firma específica de la aplicación y después bloquearla de forma permanente.
- Segmentación y protección de la memoria: la memoria de usuario se puede segmentar en zonas con condiciones de acceso distintas, en las que la lectura o la escritura pueden exigir autenticación mutua; el bloqueo clásico bloque a bloque (incluidos AFI, DSFID y EAS) sigue disponible.
- Contador de 16 bits: situado en el último bloque, se incrementa en uno con una simple escritura, y su valor inicial está protegido por autenticación mutua (útil para contar usos o ciclos de servicio).
- Privacidad, destrucción, EAS y AFI: los modos de privacidad y de destrucción, así como las funciones antirrobo EAS y de filtrado AFI, están protegidos por autenticación mutua, y el modo silencioso persistente acelera el inventario de grandes poblaciones de etiquetas.
En el momento de la entrega, la memoria de usuario no está protegida: el chip se lee y se escribe como una etiqueta Type 5 clásica, y la seguridad AES se activa durante la personalización. El chip existe en una única versión de sintonización de antena, de 23,5 pF (referencia SL2S6002).
Compatibilidad
El ICODE DNA utiliza la tecnología NFC-V (ISO/IEC 15693), compatible con la gran mayoría de los smartphones NFC recientes. En Android, la lectura y la escritura funcionan de forma nativa con NFC Tools, sin ninguna restricción particular. En iPhone, la lectura automática en segundo plano está disponible a partir del iPhone XS y XR; los modelos a partir del iPhone XS / XR pueden leer y escribir el chip con NFC Tools en iOS 17 o posterior, iniciando el escaneo manualmente desde la app.
Con NFC Tools, el chip ICODE DNA admite la lectura de la información técnica, la escritura de registros, el borrado y el bloqueo permanente. La configuración criptográfica (claves AES, privilegios, segmentación) requiere una codificación especializada mediante los comandos dedicados del chip. La lista de modelos compatibles está disponible en el artículo sobre la compatibilidad.
ICODE SLIX2 vs ICODE DNA
| Chip | Memoria de usuario | Seguridad | Uso típico |
|---|---|---|---|
| ICODE SLIX2 | 316 bytes | Cinco contraseñas de 32 bits, firma, contador | El modelo estrella basado en contraseñas |
| ICODE DNA | 252 bytes | Autenticación AES-128, tres claves con privilegios, firma, contador | Protección criptográfica de marca |
Ambos chips comparten el protocolo ISO/IEC 15693, el largo alcance, el contador, el modo silencioso persistente y la retención de datos de 50 años. El SLIX2 ofrece más memoria con una seguridad basada en contraseñas; el DNA sacrifica unos pocos bytes a cambio de una autenticación AES que no se puede reproducir (la opción cuando está en juego la autenticidad del producto). En el NFC de corto alcance, el NTAG 424 DNA cumple la misma función en el formato Type 4.
Preguntas frecuentes
¿Cuántos datos se pueden almacenar en un ICODE DNA?
El chip tiene 252 bytes de memoria de usuario, lo que corresponde a una URL de unos 230 caracteres teniendo en cuenta el Capability Container y el encapsulado NDEF, con el último bloque reservado para el contador.
¿Qué aporta la autenticación AES frente a las contraseñas de la generación SLIX?
La autenticación se basa en un desafío-respuesta: el secreto nunca se transmite y cada sesión usa un número aleatorio nuevo, lo que impide tanto la escucha como la reproducción de las comunicaciones. Además, la autenticación mutua verifica los derechos del lector. Las contraseñas permiten controlar el acceso, pero no constituyen una prueba criptográfica de autenticidad.
¿El ICODE DNA es compatible con el iPhone?
Sí. La lectura en segundo plano funciona a partir del iPhone XS y XR, y tanto la lectura como la escritura son posibles con NFC Tools a partir del iPhone XS / XR con iOS 17 o posterior.
¿Se puede proteger un ICODE DNA contra la reescritura?
Sí, de dos maneras: con un bloqueo permanente e irreversible bloque a bloque, también desde NFC Tools, o con una protección contra escritura vinculada a la autenticación mutua, reversible por el titular de la clave AES correspondiente.
Enlaces útiles
