Cómo elegir un chip MIFARE: Classic Vs Plus Vs DESFire Vs Ultralight

La elección correcta depende de lo que debe hacer la credencial, el nivel de seguridad requerido, los lectores y el software ya instalados, cuánto tiempo permanecerá en uso la credencial y si el sistema necesita una aplicación o varias.

Un boleto desechable para un evento, por ejemplo, tiene requisitos muy diferentes a los de una credencial de empleado de cinco-años o una tarjeta de transporte reutilizable. No se debe utilizar automáticamente el mismo chip para los tres.

Esta guía compara las principales familias MIFARE y le ofrece una forma práctica de limitar las opciones antes de realizar el pedido.Tarjetas RFID, pulseras, llaveros, boletos u otras credenciales sin contacto.

Respuesta rápida: ¿Qué chip MIFARE debería evaluar?

Esta tabla es un punto de partida, no una especificación de compra. El CI final aún debe verificarse con los requisitos de lector, firmware, software, arquitectura de aplicación y administración clave-.

¿Qué es un chip MIFARE?

MIFARE es una familia de productos IC sin contacto que se utilizan en aplicaciones como gestión de acceso, transporte público, hostelería, emisión de billetes, fidelización y pagos de bucle cerrado-.

Los productos MIFARE funcionan en el entorno sin contacto de 13,56 MHz, pero la palabra "MIFARE" no identifica un solo chip. Diferentes familias MIFARE utilizan diferentes estructuras de memoria, métodos de autenticación y modelos de aplicación.

El IC también está separado de la credencial física. La misma tecnología puede integrarse en tarjetas de plástico, billetes de papel,pulseras RFID, llaveros RFID, insignias u otros factores de forma.

Esa distinción es importante porque la selección de chips y la construcción de credenciales resuelven problemas diferentes. El IC controla la funcionalidad sin contacto, mientras que la geometría, el material, las dimensiones y la construcción del producto de la antena influyen en la durabilidad física y el rendimiento de RF.

Matriz de comparación de chips MIFARE

Las Principales Familias MIFARE Explicadas

MIFARE Classic EV1: principalmente una decisión de compatibilidad heredada

MIFARE Classic sigue siendo ampliamente reconocido porque una gran cantidad de sistemas-de control de acceso, membresía, campus y transporte se construyeron en torno a su arquitectura de sectores-y-bloques.

MIFARE Classic EV1 está disponible en variantes de 1 KB y 4 KB y funciona a 13,56 MHz con una velocidad de datos de 106 kbit/s.

Su principal ventaja hoy en día suele ser la compatibilidad con un sistema instalado en lugar de una seguridad superior.

Si una organización ya tiene lectores, software y datos de credenciales diseñados en torno a los sectores clásicos, cambiar la tecnología de credenciales puede requerir modificaciones en más que la propia tarjeta. Esta es la razónTarjetas MIFARE 1Ktodavía puede ser relevante para proyectos de reemplazo y mantenimiento.

Sin embargo, NXP actualmente afirma que MIFARE Classic EV1 no se recomienda para nuevos diseños. Para nuevas implementaciones sensibles a la seguridad-, se debe considerar esa posición del ciclo de vida antes de hacer que Classic sea la opción predeterminada. Ver elinformación oficial del producto MIFARE Classic EV1 de NXP.

Decisión práctica:utilice Classic cuando el sistema existente lo requiera. No lo seleccione para un nuevo proyecto sólo porque le resulte familiar, económico o esté ampliamente disponible.

MIFARE Plus EV2: una herramienta de migración, no simplemente un "mejor clásico"

MIFARE Plus EV2 se vuelve particularmente relevante cuando una organización desea una seguridad más sólida pero no puede reemplazar toda una infraestructura basada en Classic-al mismo tiempo.

Su valor estratégico es la migración.

Un gran operador de acceso o tránsito puede tener lectores en cientos o miles de ubicaciones. Reemplazar todas las credenciales, lectores, firmware y componentes de backend-en un solo cambio puede resultar poco práctico.

MIFARE Plus EV2 admite seguridad AES-128 y está diseñado para ayudar a las infraestructuras sin contacto existentes a avanzar hacia una arquitectura más segura.

Esto plantea la pregunta clave:

¿Necesita conservar una transición controlada desde un sistema existente orientado a Classic-?

Si la respuesta es sí, Plus EV2 merece una evaluación seria. Si la respuesta es no y está diseñando una plataforma multi-aplicación completamente nueva, DESFire puede proporcionarle un punto de partida más natural.

MIFARE DESFire Light: seguro y más sencillo para una aplicación principal

DESFire Light llena el espacio entre productos muy simples de uso limitado-y la arquitectura DESFire EV3 de múltiples-aplicaciones más flexible.

Proporciona 640 bytes de memoria de usuario, seguridad AES-128, comunicación ISO/IEC 14443 tipo A y una estructura de archivos predefinida.

La palabra clave esaplicación única.

Si una credencial necesita acceso seguro, lealtad, un derecho de transporte u otra aplicación definida pero no necesita una gran arquitectura multi-servicio, DESFire Light puede reducir la complejidad innecesaria.

Por lo tanto, puede ser una opción más lógica que seleccionar DESFire EV3 simplemente porque EV3 tiene más memoria y funciones.

MIFARE DESFire EV3: para sistemas multi-aplicaciones seguros y flexibles

DESFire EV3 está diseñado para aplicaciones donde es posible que sea necesario coexistir seguridad, organización flexible de datos y múltiples servicios en la misma credencial.

Admite comunicación ISO/IEC 14443 tipo A, velocidades de datos de hasta 848 kbit/s, estructuras de archivos flexibles y variantes de memoria que incluyen 2 KB, 4 KB, 8 KB y 16 KB.

NXP enumera la certificación Common Criteria EAL5+ para el producto. Los detalles técnicos actuales se pueden consultar en elpágina oficial del producto MIFARE DESFire EV3.

La razón principal para elegir DESFire no es simplemente "más memoria". Su arquitectura es útil cuando es necesario gestionar aplicaciones, archivos, claves y permisos de acceso separados dentro de la misma credencial.

Una credencial del campus, por ejemplo, podría requerir acceso, asistencia, funciones de cafetería y otro servicio. Se trata de una arquitectura diferente a la de una tarjeta que solo envía un identificador a una base de datos back-.

MIFARE Ultralight EV1: para credenciales de uso-limitado y sencillo

MIFARE Ultralight EV1 está diseñado para aplicaciones de alto-volumen y uso limitado-donde la simplicidad y el costo de las credenciales son importantes.

Los casos de uso típicos incluyen billetes de transporte de un solo-viaje, entradas a eventos, pases de un día, solicitudes de fidelización y otras credenciales-de corta duración.

Utiliza una arquitectura de memoria más simple que DESFire y proporciona protección basada en contraseña-en lugar del modelo de seguridad más avanzado de DESFire o productos Ultralight basados ​​en AES-.

Ultralight EV1 tiene sentido cuando el valor y el riesgo asociados con la credencial son limitados y la funcionalidad avanzada de múltiples-aplicaciones agregaría complejidad sin resolver un requisito real.

MIFARE Ultralight AES: el uso limitado no tiene por qué significar baja seguridad

Un boleto-de corta duración o una credencial de invitado aún pueden conllevar un riesgo de seguridad significativo.

MIFARE Ultralight AES aborda esta brecha combinando el posicionamiento de uso limitado-con la autenticación criptográfica AES-128.

NXP identifica aplicaciones que incluyen transporte público, hotelería, acceso, venta de entradas para eventos y fidelización. Los detalles técnicos están disponibles en elFicha técnica oficial de MIFARE Ultralight AES.

Esto hace que Ultralight AES sea particularmente útil cuando la aplicación no requiere una arquitectura DESFire completa pero la protección básica basada en contraseña-no es suficiente para los requisitos del proyecto.

MIFARE DUOX: Para arquitecturas de seguridad más avanzadas

MIFARE DUOX se encuentra en el extremo-de mayor seguridad de la cartera MIFARE actual.

Combina criptografía simétrica y asimétrica, incluida AES y criptografía de curva-elíptica, y NXP la posiciona para casos de uso que incluyen gestión de acceso avanzada, acceso seguro a vehículos y carga de vehículos eléctricos.

NXP también incluye la certificación Common Criteria EAL6+. Más detalles están disponibles en elpágina oficial del producto MIFARE DUOX.

Eso no significa que DUOX deba reemplazar a DESFire o Ultralight en cada proyecto. Una credencial de membresía simple rara vez se beneficia de la arquitectura adicional requerida para los modelos de administración de claves- avanzados o basados ​​en certificados-.

Utilice una mayor complejidad sólo cuando el modelo de amenaza y los requisitos del sistema lo justifiquen.

Classic vs Plus vs DESFire: la forma más rápida de entender la diferencia

Por tanto, la distinción más útil es:

Lo clásico suele tratarse de compatibilidad. Además, a menudo se trata de migración. DESFire generalmente consiste en construir una arquitectura de aplicaciones segura más flexible.

Ultraligero AES vs DESFire Light: ¿Cuál debería elegir?

Estos dos productos pueden resultar confusos porque ambos pueden aparecer en proyectos que necesitan más seguridad que un ticket básico de bajo costo-.

No elija entre ellos basándose únicamente en la palabra "AES". El modelo de aplicación es tan importante como la característica criptográfica.

Un camino práctico para la decisión de selección de MIFARE

1. ¿Está reemplazando las credenciales en un sistema MIFARE Classic existente?
2. En caso afirmativo, primero determine si necesita compatibilidad heredada exacta o una migración por fases. La compatibilidad exacta puede hacer que Classic siga siendo relevante. Una actualización de seguridad gradual puede hacer que Plus EV2 sea más apropiado.
3. ¿La credencial es-de corta duración o de uso limitado-?
4. En caso afirmativo, evalúe Ultraligero. Utilice el requisito de seguridad para decidir si un producto Ultralight básico o Ultralight AES es más apropiado.
5. ¿Necesita una aplicación segura principal?
6. En caso afirmativo, evalúe DESFire Light antes de pasar automáticamente a un producto multi-aplicación más grande.
7. ¿Necesita varias aplicaciones, archivos flexibles o una futura expansión?
8. En caso afirmativo, DESFire EV3 se convierte en un candidato más fuerte.
9. ¿El sistema requiere capacidades de seguridad-basadas en certificados, asimétricas o inusualmente altas-?
10. En caso afirmativo, evalúe si DUOX se ajusta a la arquitectura de seguridad más amplia.

Cómo elegir el chip MIFARE adecuado paso a paso

Paso 1: definir qué hace realmente la credencial

No empiece con un catálogo de chips. Escriba primero la acción del usuario.

• abrir una puerta
• Récord de asistencia
• Desbloquear una habitación de hotel
• Ingrese un evento
• Guardar un derecho de transporte
• Mantener el valor almacenado
• Acceso a soporte más pago
• Interactuar con un teléfono inteligente
• Reemplazar una credencial clásica existente

Un billete de un-día y una tarjeta de empleado reutilizable no deben evaluarse con las mismas prioridades.

Paso 2: definir el requisito de seguridad como una amenaza

"Necesitamos una tarjeta segura" no es un requisito completo.

En su lugar, pregunte qué está tratando de prevenir:

• Duplicación de credenciales sencilla
• Cambios no autorizados a los datos almacenados
• Manipulación del valor almacenado.
• Acceso de lector no autorizado
• Intercepción o manipulación de la comunicación.
• Acceso multi-aplicaciones
• Distribución de claves mal controlada

Esto crea inmediatamente una discusión sobre la selección de chips-más útil.

Una credencial de fidelidad sin valor almacenado y una credencial de acceso corporativo que protege áreas restringidas no deberían utilizar automáticamente el mismo modelo de seguridad.

Paso 3: verifique la compatibilidad del lector antes de solicitar tarjetas

Este es uno de los pasos de adquisición más importantes.

Dos productos pueden funcionar a 13,56 MHz y aun así requerir soporte de protocolo, autenticación, firmware o software diferente.

Si ya tiene un sistema instalado, recopile:

• Fabricante del lector
• Modelo de lector
• Versión de firmware
• Modelo actual de tarjeta o chip
• plataforma de software
• Método de autenticación
• Estructura clave existente

Utilice la información exacta del lector en lugar de asumir que cualquier producto enumerado bajo unLector RFIDcategoría puede apoyar a todas las familias MIFARE.

¿Qué no es suficiente para confirmar la compatibilidad?

Las siguientes descripciones por sí solas no son suficientes:

• "Lector de 13,56MHz"
• "Compatible con NFC"
• Una fotografía de la tarjeta existente.
• Las dimensiones físicas de la tarjeta.
• Una declaración de que el lector ya trabaja con "MIFARE"

Necesita el lector exacto y la especificación de credenciales.

Paso 4: decida qué datos deben almacenarse

Más memoria no significa automáticamente mejor.

Comience con el modelo de datos.

Ejemplo 1: búsqueda de UID o identificador

Si la credencial solo identifica a un usuario y todos los permisos se almacenan en una base de datos backend-, el requisito de datos de la tarjeta- puede ser pequeño.

Ejemplo 2: Acceso más un derecho

Si la tarjeta almacena una credencial de acceso más otro derecho o valor, la organización de la memoria y los permisos de acceso se vuelven más importantes.

Ejemplo 3: varios servicios independientes

Si una credencial respalda el acceso, el transporte, el pago, la fidelización o los servicios del campus, las aplicaciones, los archivos y las claves por separado pueden llegar a ser más importantes que el recuento total de bytes.

Ésta es una de las razones por las que DESFire no debe evaluarse sólo como "una tarjeta con más memoria".

Paso 5: Decida si la interacción NFC del teléfono inteligente es importante

No trate "13,56 MHz", "RFID" y "NFC" como términos de adquisición intercambiables.

Si un teléfono inteligente debe interactuar con la credencial, confirme la compatibilidad con el IC, la plataforma del teléfono y el diseño de la aplicación exactos.

Los lectores de control de acceso dedicado-y las interacciones con teléfonos inteligentes de los consumidores resuelven diferentes problemas.

Paso 6: haga coincidir el chip con la vida útil de la credencial y el factor de forma

Un boleto para un evento de un-día tiene un modelo de costo diferente al de una credencial de empleado que se espera que permanezca en uso durante varios años.

El producto final puede ser una tarjeta de PVC, un billete de papel, un llavero, una pulsera de silicona, una pulsera tejida u otro factor de forma.

Por ejemplo, los proyectos que requieren credenciales portátiles pueden comparar opciones comopulseras MIFARE de plásticoademás de las tarjetas convencionales.

Recuerde que la capacidad del chip es sólo una parte de la credencial terminada. El diseño, el material, las dimensiones y el entorno del lector de la antena pueden afectar el rendimiento real de RF.

Paso 7: Compare el costo total del sistema, no solo el precio del chip

La credencial más barata no siempre es el sistema de menor-coste.

El costo total del proyecto puede incluir:

• Costo de la credencial
• Reemplazo del lector
• Actualizaciones de firmware
• Cambios de software
• Gestión de claves
• Personalización
• Codificación
• Integración del sistema
• Pruebas
• Migración
• Reemplazo de credenciales

Una credencial ligeramente más cara que admita una ruta de migración práctica puede ser menos costosa que una tarjeta de menor-precio que obligue a reemplazar toda una infraestructura de lectores.

Paso 8: Pruebe la credencial real antes de la producción en masa

Nunca trate una hoja de datos como un sustituto de las pruebas del sistema.

Pruebe la combinación exacta de:

• Chip
• Antena
• Material de credencial
• Lector
• firmware
• Software
• Codificación
• Llaves
• Entorno de instalación

Para trabajos de desarrollo y verificación, un adecuadoLector y escritor NFC de 13,56 MHzPuede ser útil, pero la compatibilidad de producción aún debe validarse con el lector que realmente se implementará.

¿Qué chip MIFARE se adapta a diferentes aplicaciones?

Control de acceso

Para un nuevo sistema de control de-acceso- sensible a la seguridad, comience con la arquitectura de seguridad y la capacidad del lector en lugar de especificar automáticamente Classic.

A menudo vale la pena evaluar DESFire cuando se requiere una credencial moderna segura, mientras que Plus se vuelve especialmente relevante si una infraestructura clásica instalada necesita una ruta de migración.

Es posible que aún se requiera Classic para proyectos de reemplazo heredados.

Al planificar la credencial física, las opciones de productos relevantes incluyenTarjetas de acceso MIFARE. La planificación-del lector debe tratarse por separado; unLector de control de acceso-RFIDdebe admitir la arquitectura de credenciales elegida.

Venta de entradas para eventos

Para una admisión simple-a corto plazo, comience evaluando la familia Ultralight.

Si se requiere una autenticación más sólida, Ultralight AES puede ser una opción de uso limitado-más adecuada.

Si la credencial del evento también maneja zonas de acceso, valor almacenado, funciones de hotel o múltiples aplicaciones, DESFire puede volverse más relevante.

El CI puede luego integrarse en productos comopulseras RFID para eventos.

Tarjetas de acceso al hotel

Los proyectos hoteleros requieren especial precaución porque la compatibilidad depende en gran medida del sistema de cerradura.

No elija una credencial de hotel únicamente de una tabla de fichas genérica.

Primero obtenga:

• fabricante de cerraduras
• Modelo de cerradura
• Tipo de credencial existente
• Especificación de chip compatible
• Proceso de codificación o personalización requerido

Sólo entonces deberías seleccionar la construcción de la tarjeta, como por ejemplo unaTarjeta llave de hotel RFID.

Transporte público

Los proyectos de transporte público pueden abarcar desde boletos de viaje sencillo-económicos hasta credenciales de múltiples-servicios reutilizables.

Los boletos de uso limitado-pueden corresponder a la familia Ultralight. Las credenciales seguras reutilizables pueden requerir DESFire u otra arquitectura más sólida. Es posible que las implementaciones Classic existentes necesiten Plus como parte de una migración por etapas.

Tarjetas de campus y membresía

Si una tarjeta simplemente identifica a un miembro y el backend almacena todos los permisos, el requisito de solicitud en la tarjeta-puede ser modesto.

Si una credencial admite acceso, asistencia, servicios de biblioteca, pago de cafetería y otras funciones, el valor de una arquitectura estructurada de múltiples-aplicaciones aumenta significativamente.

Pago en bucle cerrado-

El valor almacenado aumenta el impacto de la copia, manipulación o gestión de claves débiles de credenciales.

Por lo tanto, la arquitectura de seguridad, la integridad de las transacciones, la autenticación y la gestión de claves operativas deberían tener más peso que el precio de la tarjeta por sí solo.

Cómo abordar una migración MIFARE Classic heredada

No trate la migración como una simple-orden de reemplazo de tarjeta.

Primero cree un inventario:

1. Modelos de lectores existentes
2. firmware del lector
3. Software de backend-
4. Modelo de credencial actual
5. Arquitectura clave actual
6. Número de credenciales activas
7. Si las credenciales antiguas y nuevas deben coexistir
8. Periodo de migración
9. Requisito de seguridad objetivo

Si los lectores heredados y los lectores actualizados deben funcionar durante el mismo período de transición, MIFARE Plus EV2 merece especial atención porque la migración es uno de sus casos de uso principales.

Si está reemplazando toda la arquitectura y no necesita un comportamiento de migración orientado a Classic-, compare ese enfoque directamente con un rediseño basado en DESFire-en lugar de asumir que Plus se requiere automáticamente.

Errores comunes en la selección de MIFARE

Elegir primero el chip con el precio más bajo-

Comience con la aplicación y los requisitos del sistema. El precio unitario debe considerarse después de la compatibilidad, la seguridad y la arquitectura.

Comparar solo el tamaño de la memoria

Un valor de memoria mayor no hace que un chip sea automáticamente más adecuado. La estructura de archivos, la autenticación, la compatibilidad con el lector y la separación de aplicaciones pueden ser más importantes.

Suponiendo que todas las credenciales de 13,56 MHz sean compatibles

La frecuencia no garantiza la compatibilidad de protocolo, autenticación, firmware o software.

Usar Classic como predeterminado para un nuevo sistema

Classic sigue siendo común en los sistemas instalados, pero la-popularidad de la base instalada y la idoneidad para un nuevo diseño-sensible a la seguridad son dos cuestiones diferentes.

Ignorar el firmware y el software del lector

Un IC sin contacto capaz no puede ofrecer la funcionalidad prevista si el lector o el software del sistema no admite los comandos y el modelo de seguridad requeridos.

Ignorar la gestión de claves

Una característica criptográfica sólida no produce automáticamente un sistema seguro.

Las claves predeterminadas, las claves mal distribuidas, la personalización insegura y los controles de backend-débiles pueden socavar una credencial técnicamente capaz.

La seguridad es una responsabilidad a nivel del sistema-, no solo una especificación del chip.

Solicitar producción en masa antes de realizar la prueba

Valide siempre tarjetas, lectores, firmware, software y codificación reales antes de comprometerse con grandes cantidades de producción.

MIFARE o NTAG: ¿Realmente necesita MIFARE?

No todos los proyectos de 13,56 MHz son realmente un problema de selección MIFARE.

Si el objetivo principal es la interacción del consumidor con el teléfono inteligente, como abrir una URL, compartir un perfil digital, iniciar una página de reseñas o activar una simple acción NFC, un producto deletiqueta NFCLa categoría puede ser más adecuada.

Por ejemplo, una sencilla aplicación para teléfono inteligente-puede utilizar unaTarjeta NFC NTAG213en lugar de una credencial de acceso MIFARE segura.

MIFARE se vuelve más relevante cuando el sistema involucra acceso controlado, lectores dedicados, autenticación, emisión de boletos, valor almacenado o aplicaciones de tarjetas inteligentes-estructuradas.

La mejor pregunta no es:

¿Qué chip RFID es mejor?

Es:

¿Qué chip coincide con la aplicación, el lector, los requisitos de seguridad, la arquitectura del sistema y el ciclo de vida de las credenciales?

¿Qué debe enviarle a su proveedor de RFID antes de solicitar una cotización?

Un proveedor puede hacer una recomendación más precisa cuando el requisito técnico es claro.

Prepare la siguiente información:

1. Solicitud:acceso, emisión de billetes, hotel, transporte, fidelización, membresía u otro uso
2. Fabricante y modelo de lector actual:si el sistema ya existe
3. Modelo actual de tarjeta o chip:especialmente para proyectos de reemplazo o migración
4. Nivel de seguridad requerido:incluyendo qué amenazas debe abordar el sistema
5. Requisito de datos:lo que realmente debe almacenarse en la credencial
6. Estructura de la aplicación:una aplicación o varias
7. Requisitos del teléfono inteligente:si es necesaria la interacción NFC móvil
8. Formato físico:tarjeta, pulsera, llavero, billete u otra credencial
9. Vida útil esperada:un día, varios meses o varios años
10. Cantidad:cantidad de muestra y cantidad de producción esperada
11. Personalización:impresión, manejo de UID, codificación u otros requisitos de datos
12. Pruebas:Se requiere validación del lector y del software antes de la producción.

Si no puede proporcionar el modelo de chip exacto, envíe la muestra de credencial existente junto con los detalles del lector y del sistema en lugar de adivinar por la apariencia.

Lista de verificación final de selección MIFARE

• Defina la aplicación antes de seleccionar el chip.
• Defina la amenaza real a la seguridad en lugar de utilizar la palabra "seguro" como requisito genérico.
• Confirme el entorno exacto de lector, firmware y software.
• Determine qué datos realmente deben almacenarse.
• Decida si se requieren una o varias aplicaciones.
• Confirme si la interacción NFC del teléfono inteligente es importante.
• Haga coincidir el IC con la vida útil de la credencial y el formato físico.
• Compare el costo total del sistema, no solo el precio del chip.
• Separe los requisitos de compatibilidad heredados de los nuevos-requisitos del sistema.
• Pruebe muestras reales antes de la producción en masa.

Si está creando un sistema nuevo, no elija la credencial de forma aislada.

Si está actualizando un sistema existente, comience con los requisitos de compatibilidad y migración.

Y si aún no está seguro entre MIFARE Classic, Plus, DESFire, Ultralight u otro IC sin contacto, proporcione primero al proveedor su modelo de lector, su credencial actual, su aplicación y sus requisitos de seguridad. Esos detalles son mucho más útiles que simplemente pedir "el mejor chip MIFARE".