DESFire vs MIFARE Plus: cómo elegir una familia de tarjetas

Elige DESFire para un sistema nuevo que necesite varias aplicaciones, archivos y claves en una sola tarjeta. Elige MIFARE Plus si ya tienes lectores MIFARE Classic y quieres pasar a AES sin cambiarlo todo de golpe. Ambas son familias de NXP, ambas usan ISO/IEC 14443 tipo A y ambas pueden usar AES de 128 bits, pero sirven para cosas distintas.

Para qué sirve MIFARE Plus

Plus existe para mejorar la seguridad de instalaciones ya desplegadas. NXP lo describe como una forma de migrar la infraestructura sin contacto a una seguridad mayor paso a paso, con el concepto de nivel de seguridad (SL).

Dos miembros importan sobre todo:

• Plus EV2 admite Crypto-1 de 48 bits y AES de 128 bits, y cuenta con certificación Common Criteria EAL5+.
• Plus SE está pensada para añadir una mejora AES a instalaciones MIFARE Classic.

Si tus puertas, lectores y sistema central ya hablan Classic, Plus te permite cambiar primero las tarjetas y reforzar la seguridad después.

Para qué sirve DESFire

DESFire es una tarjeta inteligente multiaplicación. NXP enumera como usos típicos la identidad, el control de acceso, la fidelización, los micropagos y el billetaje de transporte. La familia admite DES, 2K3DES, 3K3DES y AES en hardware. DESFire EV3 tiene certificación CC EAL5+, y DESFire Light, de una sola aplicación, CC EAL4.

Por dentro, el modelo no se parece al de una tarjeta de estilo Classic. Según la referencia de Wakdev sobre EV3, cada aplicación tiene su propio identificador de 3 bytes, hasta 14 claves y 16 conjuntos de claves, y hasta 32 archivos. Existen seis tipos de archivo: datos estándar, datos con respaldo, valor, registro lineal, registro cíclico y Transaction MAC. Para las diferencias entre generaciones, consulta nuestra comparativa DESFire EV2 vs EV3.

Niveles de seguridad: la diferencia real

Aquí es donde las dos familias se separan. Una tarjeta Plus tiene niveles. En SL1 sigue siendo compatible con Classic y usa el cifrado Crypto-1 de 48 bits. En SL3, según el artículo de Wikipedia sobre MIFARE, usa AES de 128 bits.

Eso importa porque Crypto-1 está comprometido. El mismo artículo indica que se puede romper en unos 200 segundos en un portátil de 2008 con una pequeña cantidad de flujo de clave, y que un ataque de 2015 recuperó claves de la Classic EV1 reforzada, tras lo cual NXP recomendó migrar a productos de mayor seguridad. Una tarjeta Plus que se quede en SL1 conserva esas debilidades de la era Classic. Solo ofrece protección AES cuando tu sistema funciona de verdad en SL3.

DESFire no tiene un modo Crypto-1 al que recurrir. Aun así, tú eliges el algoritmo y las opciones DES heredadas siguen disponibles, así que configura AES. Wakdev recomienda el mensaje seguro con AES para proyectos nuevos, con autenticación mutua en tres pasos y un CMAC de 8 bytes o cifrado en los intercambios.

Memoria, archivos y aplicaciones

DESFire EV3 viene en versiones de 2, 4, 8 o 16 kB. No hay un límite fijo de aplicaciones; el límite es la memoria. Eso hace práctico dar a un pase de edificio, a un saldo de comedor y a un registro de fidelidad claves y propietarios distintos en una misma tarjeta.

EV3 añade además un Transaction Timer contra ataques de retardo de tipo «man-in-the-middle», y Secure Dynamic Messaging para datos NDEF autenticados en cada toque. Sigue siendo retrocompatible con EV2, EV1 y D40.

Móviles y herramientas para makers

Ambas familias usan NFC-A, así que la mayoría de los móviles NFC las detectan. Pero leer una tarjeta no es lo mismo que gestionarla. Crear aplicaciones y manejar claves requiere comandos especializados, no una simple app para escribir etiquetas. Si estás probando, consulta si un móvil puede leer una tarjeta DESFire y por qué una tarjeta DESFire no muestra registros NDEF.

Cómo elegir

• Proyecto nuevo, varias aplicaciones, gestión propia de claves: DESFire EV3, con AES.
• Lectores Classic que aún no puedes cambiar: Plus EV2 o Plus SE, y sube el nivel de seguridad a medida que actualices los lectores.
• Tarjeta de un solo uso, estructura de archivos sencilla: DESFire Light está diseñada para casos de una sola aplicación.
• Etiquetas NDEF normales: ninguna de las dos. Una NTAG estándar es más barata y sencilla.

Creamos NFCore para el trabajo diario con etiquetas en iPhone y Android; las familias de tarjetas como estas suelen requerir herramientas de lectura dedicadas.

Preguntas frecuentes

¿MIFARE Plus es lo mismo que MIFARE Classic?

No. Plus está diseñada para sustituir a Classic y puede funcionar en un modo compatible con Classic (SL1), pero en SL3 usa AES de 128 bits en lugar de Crypto-1.

¿DESFire usa AES?

Sí. Admite DES, 2K3DES, 3K3DES y AES, y AES es la opción recomendada para proyectos nuevos.

¿Puedo usar cualquiera de las dos con un móvil?

Ambas usan ISO/IEC 14443 tipo A, así que muchos móviles NFC pueden detectarlas. Gestionar claves y aplicaciones requiere comandos especializados.