NXP - NTAG424 DNA

A diferencia de los chips NTAG21x, organizados en páginas, la memoria del NTAG424 DNA sigue una estructura de archivos conforme a la norma ISO/IEC 7816-4:

En la práctica, el archivo NDEF de 256 bytes puede contener una URL de unos 240 caracteres. Cuando la autenticación SUN está activada, los espejos (UID, contador y código CMAC) ocupan una parte de este espacio (unos cuarenta caracteres) y el enlace apunta entonces a un servidor encargado de verificar la validez criptográfica de cada lectura. Además, el archivo propietario de 128 bytes almacena datos confidenciales, accesibles solo tras una autenticación AES.

• Autenticación SUN: en cada lectura, el chip inserta en la URL un código de autenticación dinámico (AES CMAC) derivado del UID y de un contador de lecturas de 24 bits, que se puede verificar en el servidor: el contenido no se puede clonar ni reproducir. Los datos incluidos en los espejos también pueden transmitirse cifrados.
• Cinco claves AES-128: cinco claves de aplicación de 128 bits, con gestión de versiones, que controlan la lectura, la escritura y la configuración archivo por archivo.
• Archivo propietario protegido: 128 bytes de datos accesibles solo tras autenticarse, con una comunicación totalmente cifrada de forma predeterminada.
• Random ID: el chip puede presentar un identificador aleatorio en cada activación para impedir el rastreo; el UID real solo se transmite entonces de forma cifrada.
• Modo LRP: una variante de AES (Leakage Resilient Primitive) refuerza la resistencia a los ataques de canal lateral.
• Autenticación mutua: un protocolo de desafío-respuesta en tres pasos autentica tanto al chip como al lector que posee las claves.
• Firma de originalidad: una firma ECDSA programada en fábrica, complementada con claves de originalidad AES, permite verificar que el chip procede realmente de NXP.

Una variante NTAG424 DNA TT añade la detección de manipulación (Tag Tamper) a la misma base de seguridad, siguiendo el principio del NTAG213 TT.

El NTAG424 DNA es compatible con prácticamente todos los smartphones NFC. En Android, la lectura y la escritura funcionan de forma nativa con NFC Tools, sin ninguna restricción particular. En iPhone, la lectura automática en segundo plano está disponible a partir del iPhone XS y XR; los modelos a partir del iPhone XS / XR pueden leer y escribir el chip con NFC Tools en iOS 17 o posterior, iniciando el escaneo manualmente desde la app.

Con NFC Tools, el chip NTAG424 DNA admite la lectura de la información técnica, la escritura de registros NDEF y el borrado. En cambio, la configuración de las funciones criptográficas (claves AES, activación de la autenticación SUN) es un proceso de codificación especializado, que suele realizarse con un lector dedicado y una infraestructura en el servidor. La lista de modelos compatibles está disponible en el artículo sobre la compatibilidad.

Los dos chips comparten el principio SUN y la criptografía AES-128. En comparación con el NTAG413 DNA, al que sustituye, el NTAG424 DNA ofrece más memoria, dos claves adicionales, el archivo propietario protegido, la opción Random ID y la certificación EAL4: es el chip que hay que elegir para cualquier proyecto nuevo de autenticación o de lucha contra la falsificación.

¿Cuántos datos se pueden almacenar en un NTAG424 DNA?

El archivo NDEF ofrece 256 bytes, lo que corresponde a una URL de unos 240 caracteres, y el archivo propietario añade 128 bytes para datos protegidos. Con el archivo CC de 32 bytes, la memoria de usuario total alcanza los 416 bytes.

¿Qué es la autenticación SUN?

SUN (Secure Unique NFC message) genera un código criptográfico único en cada lectura, que se inserta en la URL. El servidor que recibe este enlace verifica que la lectura procede del chip original y que no se ha reproducido, de modo que cualquier copia del contenido resulta ineficaz.

¿El NTAG424 DNA es compatible con el iPhone?

Sí. La lectura en segundo plano funciona a partir del iPhone XS y XR, y tanto la lectura como la escritura de NDEF son posibles con NFC Tools a partir del iPhone XS / XR con iOS 17 o posterior. La verificación SUN se realiza en el servidor, cuando se abre el enlace.

¿Se puede proteger un NTAG424 DNA contra la reescritura?

Sí. Cada archivo tiene derechos de acceso configurables mediante clave AES, hasta el punto de prohibir cualquier escritura sin autenticación, y el archivo propietario está cifrado de forma predeterminada. El chip no utiliza el mecanismo de contraseña simple de los NTAG21x: la protección se basa por completo en las claves AES-128.

Hoja de datos oficial de NXP (PDF)

Chips NFC recomendados para NFC Tools

Comprar chips NFC NTAG424 DNA