MIFARE DESFire EV2 vs EV3: qué cambió de verdad
DESFire EV3 añade dos cosas frente a EV2: autenticación Secure Unique NFC en cada toque y un Transaction Timer. El resto de funciones clave ya estaban en EV2.
MIFARE DESFire EV3 añade dos funciones respecto a EV2: la autenticación de mensajes Secure Unique NFC (SUN) y un Transaction Timer. Casi todo lo que se atribuye a EV3 ya venía en EV2. Esta es la diferencia, según la tabla comparativa de NXP.
Introducción
NXP presentó DESFire EV2 en marzo de 2016 y EV3 el 2 de junio de 2020, según la entrada de MIFARE en Wikipedia. Como EV3 es el chip más reciente, es fácil suponer que lo reescribió todo. No fue así. Si vas a elegir tarjetas para un proyecto nuevo, o a decidir si sustituyes un parque de tarjetas EV2, necesitas saber qué cambios son reales.
EV2 vs EV3 de un vistazo
Esta tabla sigue la página de producto de NXP para DESFire EV3, que compara EV3, EV2 y EV1.
| Característica | EV2 | EV3 |
|---|---|---|
| Tamaños de EEPROM | 2/4/8/16/32 KB | 2/4/8/16 KB |
| Common Criteria | EAL5+ | EAL5+ (hardware y software) |
| Secure Unique NFC (SUN) | No | Sí |
| Transaction Timer | No | Sí |
| Proximity Check | Sí | Sí |
| Virtual Card Architecture | Sí | Sí |
| Transaction MAC por aplicación | Sí | Sí |
| Keysets por aplicación | Hasta 16 | Hasta 16 |
| Delegated Application Management | Sí | Sí, con claves de NXP precargadas |
NXP indica para EV3 una resistencia de escritura típica de 1.000.000 de ciclos y 25 años de retención de datos. EV3 además sigue siendo compatible con los modos EV2, EV1 y D40. Algunas páginas de distribuidores dan cifras de cifrado o resistencia distintas a las de NXP, así que conviene tomar los documentos de NXP como referencia.
Secure Unique NFC (SUN)
SUN es el cambio principal. Cada toque de una tarjeta EV3 genera un mensaje de autenticación único mediante un cálculo CMAC. Ese mensaje se refleja en el contenido NDEF, normalmente dentro de una URL. Un servidor puede entonces verificar el toque y confirmar que los datos vienen de una tarjeta genuina y no de un enlace estático copiado.
NXP describe SUN como compatible con el enfoque de las etiquetas NTAG DNA. Si has visto la detección de manipulación en NTAG 22x DNA o los contadores de toques y el ASCII mirroring, la idea es la misma, aplicada a un chip con un sistema de archivos multiaplicación completo. La tabla de NXP no muestra SUN en EV2 ni en EV1. En la práctica, un enlace NDEF simple en una tarjeta EV2 se ve igual en cada toque, mientras que una tarjeta EV3 entrega a tu servidor un valor nuevo y verificable cada vez. La verificación sigue ocurriendo en tu back end. La función solo sirve si construyes esa comprobación.
El Transaction Timer
El Transaction Timer apunta a los ataques de retraso de tipo man-in-the-middle, en los que alguien mantiene una tarjeta alimentada después de que sale del lector para demorar una transacción. El emisor fija una duración máxima. Si una transacción la supera, la tarjeta se reinicia. La nota de aplicación de NXP indica que el temporizador está desactivado por defecto y se activa con el comando SetConfiguration.
El temporizador importa sobre todo en flujos de tipo transporte público, donde la tarjeta se mantiene cerca del lector durante una ventana corta y predecible. Es una defensa acotada, no un sustituto de una buena gestión de claves. Para el panorama general, consulta nuestra guía sobre los riesgos de sniffing y replay en NFC.
Qué no cambió
Varias funciones que la gente atribuye a EV3 son anteriores. Proximity Check contra ataques de relevo, Virtual Card Architecture, el transaction MAC por aplicación, hasta 16 keysets por aplicación y Delegated Application Management están todos en EV2 según la tabla de NXP. La certificación EAL5+ también es común. El único cambio de tamaño va hacia atrás: EV3 elimina la opción de 32 KB que figura en EV2.
Cuál elegir
Para un despliegue nuevo, EV3 es la opción lógica. Obtienes SUN y el Transaction Timer, y la tarjeta sigue funcionando con configuraciones EV2 y EV1. Si ya usas EV2 y no necesitas autenticación por toque ni el temporizador, nada en la comparación de NXP obliga a migrar. Si lees e inspeccionas tarjetas con una app NFC, comprueba qué generación de DESFire indica la tarjeta antes de planificar en torno a cualquiera de las dos funciones.
Preguntas frecuentes
¿DESFire EV3 es compatible con EV2?
Sí. NXP indica que EV3 es compatible con los modos EV2, EV1 y D40, de modo que los lectores y sistemas de back end creados para generaciones anteriores suelen seguir funcionando mientras se actualizan las tarjetas.
¿EV2 y EV3 tienen la misma certificación de seguridad?
Ambas figuran con Common Criteria EAL5+. EV1 era EAL4+. La certificación por sí sola no es lo que distingue a EV2 de EV3.
¿Puede una tarjeta EV2 usar Secure Unique NFC?
No. La tabla comparativa de NXP marca SUN solo como función de EV3. EV2 no tiene un mensaje de autenticación por toque equivalente para lecturas NDEF.