La MIFARE DESFire EV1 est la carte à puce multi-applications de NXP Semiconductors, certifiée Common Criteria EAL4+, pensée pour les systèmes exigeants : transport public, contrôle d'accès sécurisé, paiement en boucle fermée, billetterie événementielle et applications gouvernementales. Conforme aux quatre niveaux de la norme ISO/IEC 14443A et compatible NFC Forum Type 4, elle organise sa mémoire de 2, 4 ou 8 Ko en un véritable système de fichiers, protégé par un moteur cryptographique matériel 3DES et AES. Elle est lisible et programmable par la grande majorité des smartphones NFC récents.
Informations
| Fabricant | NXP Semiconductors |
| Famille | MIFARE DESFire |
| Références | MF3ICD21, MF3ICD41 et MF3ICD81 (2, 4 et 8 Ko) |
| Norme | ISO/IEC 14443A (niveaux 1 à 4) |
| Protocole | APDU ISO/IEC 7816-4 |
| Type NFC Forum | Compatible Type 4 Tag |
| Fréquence de fonctionnement | 13,56 MHz |
| Débit de communication | 106 à 848 kbit/s |
| Identifiant unique (UID) | 7 octets, programmé en usine ; Random ID en option |
| Chiffrement | DES, 2K3DES, 3K3DES et AES-128 (moteur matériel) |
| Certification | Common Criteria EAL4+ (matériel et logiciel) |
| Distance de fonctionnement | Quelques centimètres (jusqu'à 100 mm selon l'antenne) |
| Rétention des données | 10 ans |
| Endurance en écriture | 500 000 cycles (valeur typique) |
| Mémoire | 2, 4 ou 8 Ko selon la version |
Mémoire
La mémoire de la MIFARE DESFire EV1 n'est pas organisée en blocs fixes mais en un système de fichiers hiérarchique, dont la structure se définit librement lors de la personnalisation :
| Niveau | Rôle | Sécurité |
|---|---|---|
| Carte (PICC) | Paramètres généraux, gestion de la mémoire libre et des applications | Clé maître de carte |
| Applications (jusqu'à 28) | Conteneurs cloisonnés, identifiés par un AID de 3 octets | Jusqu'à 14 clés par application |
| Fichiers (jusqu'à 32 par application) | Cinq types : données standard, données avec sauvegarde, valeur, journal linéaire, journal circulaire | Droits d'accès définis fichier par fichier |
La taille de chaque fichier est fixée à sa création, ce qui permet d'ajuster précisément la carte à chaque projet. Utilisée comme tag NFC Forum Type 4, la puce héberge une application NDEF dont le fichier peut occuper la quasi-totalité de la mémoire : près de 1 900 caractères d'URL sur la version 2 Ko, et bien davantage sur les versions 4 et 8 Ko. La capacité cesse d'être une contrainte (de quoi loger une vCard complète ou plusieurs enregistrements combinés).
Fonctionnalités & sécurité
- Authentification mutuelle et canal chiffré : une authentification mutuelle à trois passes (en DES, 2K3DES, 3K3DES ou AES-128, exécutée par un moteur cryptographique matériel) génère une clé de session unique ; les échanges peuvent ensuite être signés par un CMAC de 8 octets ou intégralement chiffrés sur le canal radio.
- Système de fichiers multi-applications : jusqu'à 28 applications cloisonnées, chacune avec ses propres clés et jusqu'à 32 fichiers ; une même carte peut combiner transport, contrôle d'accès et fidélité sans que les émetteurs partagent leurs secrets.
- Cinq types de fichiers : données standard ou avec sauvegarde, fichiers de valeur à crédit et débit contrôlés, journaux linéaires et circulaires (ces derniers écrasant automatiquement les entrées les plus anciennes, parfaits pour l'historique des transactions).
- Transactions atomiques : un mécanisme anti-arrachement valide ou annule d'un bloc toutes les écritures d'une transaction, et un rollback automatique protège la structure des fichiers : la carte ne reste jamais dans un état incohérent, même retirée du champ en pleine opération.
- Random ID et diversification des clés : l'identifiant aléatoire optionnel empêche le pistage de la carte, et la dérivation de clés propres à chaque exemplaire à partir de l'UID renforce la résistance au clonage.
- Certification EAL4+ : matériel et logiciel embarqué sont certifiés Common Criteria EAL4+, avec capteurs d'exception et contre-mesures contre les analyses de consommation.
Les modes DES et la compatibilité avec la première DESFire (MF3ICD40) subsistent pour les parcs existants ; l'AES-128 est le choix recommandé pour tout nouveau déploiement. La puce existe en deux capacités d'antenne, 17 pF et 70 pF (références MF3ICDH pour les petits formats). Les MIFARE DESFire EV2 et EV3 prennent sa suite avec des fonctions étendues.
Compatibilité
La MIFARE DESFire EV1 utilise la technologie NFC-A (ISO/IEC 14443A), prise en charge par la grande majorité des smartphones NFC récents. Sur Android, la lecture et l'écriture fonctionnent nativement avec NFC Tools, sans restriction particulière. Sur iPhone, la lecture automatique en arrière-plan est disponible à partir des iPhone XS et XR ; les modèles depuis l'iPhone 7 peuvent lire et écrire la puce via NFC Tools sous iOS 15.6 au minimum, en lançant la lecture manuellement depuis l'application.
Avec NFC Tools, la puce prend en charge la lecture des informations techniques ainsi que la lecture et l'écriture d'enregistrements NDEF dès lors que la carte est formatée en Type 4 (les cartes vierges livrées avec les clés d'usine peuvent être préparées lors de la première écriture). La création d'applications, la gestion des clés et le paramétrage fin des fichiers relèvent d'un encodage spécialisé via les commandes dédiées de la puce. Le détail des modèles compatibles est disponible dans l'article consacré à la compatibilité.
MIFARE DESFire EV1 : 2 Ko, 4 Ko ou 8 Ko
| Version | Mémoire | Usage typique |
|---|---|---|
| MF3ICD21 | 2 Ko | Billettique et contrôle d'accès mono-application |
| MF3ICD41 | 4 Ko | Cartes multi-services : transport, accès, fidélité |
| MF3ICD81 | 8 Ko | Déploiements riches, applications nombreuses |
Les trois versions partagent strictement le même jeu de commandes, la même sécurité et les mêmes performances : seules la mémoire et la capacité d'antenne varient. Pour les nouveaux projets, les MIFARE DESFire EV2 et EV3 étendent la lignée ; côté tag NFC grand public, la NTAG 424 DNA offre l'authentification AES au format autocollant.
Questions fréquentes
Quelle quantité de données peut-on stocker sur une MIFARE DESFire EV1 ?
La carte offre 2, 4 ou 8 Ko répartis en fichiers librement dimensionnés. Utilisée en tag Type 4, elle consacre la quasi-totalité de sa mémoire au fichier NDEF, soit près de 1 900 caractères d'URL sur la version 2 Ko (bien au-delà des besoins courants).
Quelle différence entre MIFARE DESFire EV1 et MIFARE Classic ?
La MIFARE Classic repose sur le chiffrement propriétaire Crypto1, ancien et dont les faiblesses sont publiquement documentées. La DESFire EV1 s'appuie sur des standards ouverts (3DES et AES-128), une authentification mutuelle à clés de session et une certification Common Criteria EAL4+.
La MIFARE DESFire EV1 est-elle compatible avec les iPhone ?
Oui. La lecture en arrière-plan fonctionne à partir des iPhone XS et XR, et la lecture comme l'écriture sont possibles via NFC Tools depuis l'iPhone 7 sous iOS 15.6 au minimum.
Peut-on protéger une MIFARE DESFire EV1 contre la réécriture ?
La protection repose sur les clés : chaque fichier définit ses droits de lecture et d'écriture, qui peuvent exiger une authentification ou être fixés sur « jamais » (l'écriture devient alors définitivement impossible). Il n'existe pas de verrouillage par bit OTP comme sur les puces NTAG : tout se configure via les droits d'accès.
Liens utiles
