El MIFARE Plus es el puente de NXP Semiconductors entre dos mundos: conserva la organización de memoria del MIFARE Classic (sectores, bloques, bits de acceso) y aporta la criptografía AES-128, para migrar tarjetas de acceso, tarjetas de transporte y tarjetas de estudiante de los sistemas Crypto1 a una seguridad certificada, sin tener que sustituir toda la infraestructura de una sola vez. Su concepto de niveles de seguridad permite que una misma tarjeta viva hoy en plena compatibilidad con Classic (SL1) y mañana en AES completo (SL3), siendo el cambio permanente. Disponible en cinco versiones (S, X, SE, EV1 y EV2, certificadas hasta EAL5+), está pensado para sistemas cerrados; su compatibilidad con los smartphones es real, pero parcial, y se detalla más abajo.
Información
| Fabricante | NXP Semiconductors |
| Familia | MIFARE Plus |
| Versiones | MIFARE Plus S, Plus X, Plus SE, Plus EV1 y Plus EV2 |
| Norma | ISO/IEC 14443A (niveles 1 a 4) |
| Tipo NFC Forum | Ninguno (formato NDEF propietario a través del MAD) |
| Frecuencia de funcionamiento | 13,56 MHz |
| Velocidad de transmisión | De 106 a 848 kbit/s |
| Identificador único (UID) | 7 bytes, o un NUID de 4 bytes; Random ID opcional |
| Cifrado | AES-128; Crypto1 en modo de compatibilidad, según el nivel de seguridad |
| Capacitancia de sintonización | 17 pF o 70 pF según la versión |
| Distancia de funcionamiento | Unos pocos centímetros (hasta 100 mm según la antena) |
| Certificación | Common Criteria, hasta EAL5+ (generaciones EV) |
| Memoria | 1, 2 o 4 kB según la versión |
Las versiones de la familia
La familia MIFARE Plus se construyó en dos etapas: las versiones históricas (S, X, SE) y, después, las generaciones EV que las sustituyen:
| Versión | Memoria | Características destacadas |
|---|---|---|
| MIFARE Plus S | 2 o 4 kB | La versión histórica de entrada (niveles SL0, SL1 y SL3) |
| MIFARE Plus X | 2 o 4 kB | La versión histórica completa, con el nivel intermedio SL2 |
| MIFARE Plus SE | 1 kB | El punto de entrada compacto, con las claves AES almacenadas en los bloques de datos |
| MIFARE Plus EV1 | 2 o 4 kB | Virtual Card, Proximity Check, Transaction MAC, migración sector por sector |
| MIFARE Plus EV2 | 2 o 4 kB | La generación actual: SL1SL3MixMode, Transaction Timer, EAL5+ |
Todas conservan la organización del MIFARE Classic (bloques de 16 bytes agrupados en sectores, con sus bloques finales o sector trailers): la versión 2K ofrece 752 bytes utilizables y la 4K, 3440, incluidos los bloques de valor. Las generaciones EV sustituyen a las versiones históricas, y el EV2 sigue siendo retrocompatible con todas ellas, incluido el MIFARE Classic.
Memoria
La memoria del MIFARE Plus es la de un Classic que aprendió AES: los mismos sectores, los mismos bits de acceso, con claves de 128 bits por encima:
| Zona | Contenido | Acceso |
|---|---|---|
| Bloque 0 (sector 0) | UID y datos del fabricante | Solo lectura, definido en fábrica |
| Bloques de datos | 16 bytes cada uno; bloques de valor para contadores y saldos | Según los bits de acceso; en SL3, con autenticación AES y mensajería segura |
| Sector trailers y claves | Bits de acceso; claves Crypto1 (SL1) y dos claves AES de 128 bits por sector | Claves y trailers protegidos por un mecanismo anti-tearing |
La tarjeta se entrega en el nivel SL0, dedicado a la personalización: allí se escriben los datos, las claves Crypto1 y las claves AES antes de la puesta en servicio (el comando de cambio de nivel sella entonces el nivel elegido). En SL1 y con el formato MAD, sigue siendo posible un mensaje NDEF de unos 700 caracteres en la versión 2K, como en un Classic.
Funciones y seguridad
- Los niveles de seguridad, el corazón del concepto: entregada en SL0 (personalización), la tarjeta pasa a SL1 (plena compatibilidad con Classic) y después a SL3 (AES completo: autenticación, integridad y cifrado de los intercambios); el cambio solo se produce en sentido ascendente, para toda la tarjeta o sector por sector desde el EV1: cada infraestructura migra a su propio ritmo.
- SL1SL3MixMode y restricciones (EV2): la autenticación AES interviene en los sectores que todavía están en SL1, y las restricciones de actualización en SL1 reparten los derechos entre el mundo antiguo y el nuevo (lectura con el sistema heredado, modificación bajo AES).
- Herencia Classic completa: los sectores, los bits de acceso, los bloques de valor y las transacciones siguen siendo los del Classic: los lectores ya instalados siguen funcionando en SL1, sin interrupción del servicio durante la migración.
- Protecciones de las transacciones (generaciones EV): el Transaction MAC demuestra la autenticidad de las operaciones ante el backend, el Transaction Timer (EV2) frustra los ataques de intermediario, y el anti-tearing cubre las claves, los trailers y, opcionalmente, las escrituras de datos.
- Virtual Card y Proximity Check (generaciones EV): la selección de tarjeta virtual (ISO/IEC 7816-4) sirve para entornos multitarjeta y móviles, y la comprobación de proximidad mide el tiempo de respuesta de los intercambios para detectar ataques de retransmisión.
- Certificado y rápido: hasta 848 kbit/s, una comprobación de originalidad y certificaciones Common Criteria hasta EAL5+ (hardware y software) en las generaciones EV.
Los históricos MIFARE Plus S, X y SE allanaron el camino; NXP dirige los nuevos proyectos hacia las generaciones EV, cuyo canal seguro de extremo a extremo también sirve a los servicios móviles (recarga a distancia, MIFARE 2GO).
Compatibilidad
El MIFARE Plus se basa en la tecnología NFC-A (ISO/IEC 14443A), pero su protocolo propietario lo sitúa fuera de los tipos de etiqueta normalizados por el NFC Forum: la compatibilidad depende del controlador NFC del dispositivo y del nivel de seguridad de la tarjeta. En SL1 se comporta como un MIFARE Classic: en Android, los modelos equipados con un controlador NXP lo leen y escriben con NFC Tools, mientras que otros pueden limitarse a leer el UID; en iPhone, la lectura en segundo plano no está disponible y NFC Tools es parcialmente compatible: debes activar el modo "Compatibilidad" en los "Parámetros" de la app y luego iniciar el escaneo manualmente (a partir del iPhone XS / XR, con iOS 17 o posterior). En SL3, la tarjeta solo dialoga en AES con los lectores de su sistema: su uso queda entonces en manos de la infraestructura desplegada.
Con NFC Tools, el chip MIFARE Plus admite, según el dispositivo y el nivel de seguridad, la lectura de la información técnica, así como la lectura y la escritura de registros NDEF en tarjetas formateadas con el MAD en SL1. La gestión de las claves, de los niveles de seguridad y de la personalización requiere una codificación especializada mediante los comandos propios del chip. La lista de modelos compatibles está disponible en el artículo sobre la compatibilidad.
MIFARE Classic EV1 vs MIFARE Plus EV2
| Chip | Memoria | Seguridad | Uso típico |
|---|---|---|---|
| MIFARE Classic EV1 | 1 o 4 kB | Crypto1 | Base instalada, usos no sensibles |
| MIFARE Plus EV2 | 2 o 4 kB | AES-128 certificado EAL5+, compatibilidad con Classic en SL1 | La migración hacia una seguridad certificada |
El MIFARE Plus es, literalmente, el Classic que aprendió AES: la misma memoria, los mismos lectores en SL1, seguridad moderna en SL3. Para una arquitectura basada en aplicaciones y archivos en lugar de sectores, toma el relevo el MIFARE DESFire EV3; para una etiqueta de consumo legible por cualquier smartphone, el NTAG213 sigue siendo la referencia.
Preguntas frecuentes
¿Cuántos datos se pueden almacenar en un MIFARE Plus?
1 kB (Plus SE), 2 o 4 kB según la versión, con la estructura Classic: 752 bytes utilizables en la 2K y 3440 en la 4K, una vez descontados los bloques de configuración. En SL1 y con el formato MAD, el mensaje NDEF representa unos 700 caracteres en la 2K.
¿Cómo funciona la migración entre niveles de seguridad?
La tarjeta se entrega en SL0 para la personalización (datos, claves Crypto1 y AES) y luego pasa a SL1 (plena compatibilidad con Classic) o directamente a SL3 (AES completo). El cambio solo se produce en sentido ascendente, para toda la tarjeta o sector por sector desde el EV1, y el SL1SL3MixMode del EV2 permite que ambos mundos coexistan durante la transición: la infraestructura migra sin detenerse nunca.
¿El MIFARE Plus es compatible con el iPhone?
Parcialmente, como el Classic, cuyo protocolo hereda: la lectura en segundo plano no está disponible y NFC Tools es parcialmente compatible (activa el modo "Compatibilidad" en los "Parámetros", escaneo manual, a partir del iPhone XS / XR con iOS 17 o posterior). En SL3, la tarjeta queda reservada a los lectores de su sistema.
¿El MIFARE Plus es más seguro que el MIFARE Classic?
Sí, una vez que funciona en SL3: autenticación y mensajería AES-128, certificaciones hasta EAL5+, Transaction MAC y una comprobación de proximidad contra los ataques de retransmisión. En SL1 hereda deliberadamente los límites de Crypto1, a la espera de que la infraestructura dé el salto.
Enlaces útiles
