Echte Abwärtskompatibilität, sichere Migration und Upgrade-Möglichkeiten.
Die MIFARE DESFire-Produktfamilie hat sich zu einem der zuverlässigsten Standards für Projekte in den Bereichen sichere Identifikation, Zugangskontrolle, Verkehr, Kundenbindung, Campus-Lösungen, elektronische Schlösser und urbane Multianwendungsdienste entwickelt.
Eine der häufigsten Fragen bei Projekten mit bestehender Infrastruktur lautet ganz klar:
Kann ich DESFire EV3-Karten oder -Ausweise in eine Infrastruktur integrieren, die bereits mit DESFire EV1 oder EV2 arbeitet?
Ja, MIFARE DESFire EV3 ist laut der technischen Dokumentation von NXP funktional abwärtskompatibel mit früheren Generationen, darunter DESFire EV2, DESFire EV1 und sogar DESFire D40. Diese Abwärtskompatibilität soll die Integration von EV3 in bestehende Infrastrukturen ermöglichen.
Was bedeutet „abwärtskompatibel“ eigentlich?
In RFID-/NFC-Umgebungen sollte Abwärtskompatibilität nicht so verstanden werden, dass „alles in jedem Szenario automatisch funktioniert“, sondern als die Fähigkeit des modernsten Chips, Modi, Befehle und Funktionsstrukturen früherer Generationen zu unterstützen.
Im Fall von DESFire EV3 bedeutet dies, dass er in Projekten eingesetzt werden kann, die ursprünglich für EV1 oder EV2 konzipiert wurden, sofern die Karteneinstellungen, Schlüssel, Anwendungen, Dateien und Lesegeräte so konfiguriert sind, dass sie mit dem erwarteten Betriebsmodus übereinstimmen.
Einen EV3 im kompatiblen Modus zu programmieren bedeutet, eine EV3-Karte zu verwenden, diese jedoch so zu konfigurieren, als wäre sie ein EV1 oder EV2.
- Es müssen genau dieselben Elemente beibehalten werden, die die aktuelle Infrastruktur erwartet:
- AID.
- Key Types
- Anzahl der Schlüssel.
- Dateistruktur.
- Lese-/Schreibberechtigungen.
- Kommunikationsweise.
- Format der gespeicherten Daten.
- EV3-specific functions should not be enabled if older readers do not support them.
Die Kompatibilität hängt nicht nur vom Chip ab, sondern auch davon, das DESFire-Profil, das das aktuelle System bereits erwartet, originalgetreu nachzubilden.
Was bietet DESFire EV3 im Vergleich zu EV1 und EV2?
DESFire EV3 ist die Nachfolgegeneration von EV2 und zielt darauf ab, Sicherheit, Reichweite, Transaktionsgeschwindigkeit und Leistung im Vergleich zu früheren Versionen zu verbessern. (NXP)
Zu den wichtigsten Alleinstellungsmerkmalen von EV3 zählen:
- Secure Dynamic Messaging (SDM).
Ermöglicht die Erstellung sicherer dynamischer Nachrichten, die insbesondere bei NFC-Anwendungen nützlich sind, bei denen ein Mobiltelefon eine URL oder eine NDEF-Nachricht ausliest und überprüft werden muss, ob die Daten nicht geklont oder manipuliert wurden. NXP hebt hervor, dass diese Funktion mit NFC-fähigen Mobiltelefonen kompatibel ist, wenn diese im NDEF-Modus betrieben werden. (NXP) - Transaktions-Timer.
EV3 verfügt über Mechanismen, die darauf abzielen, bestimmte Angriffsszenarien wie Relay- oder Man-in-the-Middle-Angriffe einzudämmen, indem eine zeitliche Begrenzung der Transaktion eingeführt wird. Diese Funktion wird in der kommerziellen und technischen Dokumentation als eine der Neuerungen gegenüber früheren Generationen hervorgehoben. - Bessere kontaktlose Leistung.
EV3 bietet im Vergleich zu früheren Versionen Verbesserungen hinsichtlich der Reichweite und Geschwindigkeit, was bei Formaten mit kleinen Antennen, Schlüsselanhängern, Armbändern, Wearables oder integrierten Ausweisen von Bedeutung sein kann. (NXP) - Kryptografische Kontinuität.
Die DESFire-Familie setzt weiterhin auf marktübliche, bekannte kryptografische Mechanismen, darunter DES-, 2K3DES-, 3K3DES- und AES-Engines. Dies erleichtert es Infrastrukturen, die nach bewährten kryptografischen Praktiken arbeiten, sich weiterzuentwickeln, ohne ihre Architektur komplett neu gestalten zu müssen. (NXP)
Häufige Fehler beim Thema Abwärtskompatibilität
- Zu glauben, dass „abwärtskompatibel“ gleichbedeutend mit „universelles Plug-and-Play“ ist. Das ist nicht immer der Fall. Ein EV3 kann zwar ältere Modi unterstützen, muss dafür aber richtig konfiguriert sein.
- Die Annahme, dass ein EV1-Lesegerät automatisch EV3-Funktionen nutzen kann. Dies ist nicht möglich, wenn die Firmware oder Software diese Befehle nicht unterstützt.
- Physikalische Kompatibilität mit logischer Kompatibilität verwechseln. Dass eine Karte der Norm ISO/IEC 14443A entspricht, bedeutet nicht, dass das System ihre Anwendungen korrekt authentifizieren, lesen und verarbeiten kann.
- Migration ohne Überprüfung der Hauptschlüssel, Diversifizierung der Schlüssel und Berechtigungen. Bei DESFire hängt die tatsächliche Sicherheit sowohl vom Chip als auch vom Schlüsselmodell und vom Systembetrieb ab.
Fazit
DESFire EV3 ist eine natürliche Weiterentwicklung für Infrastrukturen, die auf DESFire EV1 und EV2 basieren. Sein größter strategischer Vorteil besteht darin, dass es dank seiner funktionalen Abwärtskompatibilität den Schutz bestehender Investitionen ermöglicht und gleichzeitig neue Möglichkeiten in den Bereichen Sicherheit, Leistung und NFC-Interaktion eröffnet.
Bei neuen Projekten ist EV3 die sinnvollste Wahl, sofern keine ganz konkreten Einschränkungen hinsichtlich Kosten, Lagerbeständen oder Kompatibilität mit älteren Systemen bestehen. Bei bestehenden Projekten wird eine schrittweise Umstellung empfohlen: Zunächst sollte die Kompatibilität mit der aktuellen EV1/EV2-Infrastruktur sichergestellt werden, und erst dann sollten erweiterte Funktionen aktiviert werden, sobald Lesegeräte, Firmware und Backend dafür bereit sind.
