MIFARE DUOX explicado: un chip NFC con dos tipos de seguridad

Qué es MIFARE DUOX

MIFARE DUOX es un chip seguro sin contacto de NXP que lleva en un mismo circuito integrado criptografía asimétrica (de curva elíptica) y simétrica (AES-256). NXP lo anunció el 19 de noviembre de 2024 y lo describe como el primer circuito integrado NFC sin contacto de su clase que combina ambas.

Es un chip de tarjeta inteligente, no una pegatina. Habla ISO/IEC 14443 Tipo A y se presenta como una etiqueta NFC Forum Tipo 4, así que un teléfono con NFC puede verlo a nivel de radio. Comunicarse con él de forma útil es otra cosa. Para eso hacen falta las claves correctas.

Dos tipos de criptografía en un chip

Simétrica (AES-128 y AES-256). Las dos partes comparten una clave secreta. Es rápida, y por eso lleva mucho tiempo siendo el caballo de batalla de las tarjetas sin contacto. El inconveniente es la distribución de claves: cada lector que deba hablar con una tarjeta necesita el secreto correspondiente.

Asimétrica (ECC). Cada parte tiene un par de claves y un certificado. Según la página de producto de NXP, DUOX admite las curvas NIST P-256 y brainpoolP256r1 y firmas ECDSA con SHA-256. Un lector puede comprobar el certificado de una tarjeta sin tener un secreto compartido para esa tarjeta.

NXP afirma que DUOX usa un concepto de infraestructura de clave pública para simplificar la distribución y la gestión de claves. André Perchthaler, Senior Director de MIFARE en NXP, dijo que el objetivo es reducir esa complejidad "sin comprometer la velocidad de las transacciones sin contacto". En la tarjeta, esto se traduce en dos pares de claves asimétricas preinyectadas con sus certificados, además de ranuras para claves simétricas por tarjeta y por aplicación.

Proximity Check y Transaction Signature

Dos funciones abordan problemas que la autenticación de tarjetas tradicional no resuelve.

• Proximity Check mide el tiempo de ida y vuelta para ayudar a detectar un ataque de relé, en el que la conversación de una tarjeta se reenvía a distancia.
• Transaction Signature permite que la tarjeta firme una transacción para que la otra parte pueda demostrar que procede realmente de esa tarjeta.

Ninguna de las dos hace que un sistema sea inmune a ataques. El diseño global sigue importando. Para entender cómo funcionan el relé y la repetición, consulta nuestra guía sobre los riesgos de espionaje y repetición en NFC.

Carga de vehículos eléctricos y la variante DUOX EV

NXP cita la autenticación en la carga de vehículos eléctricos y el acceso seguro al coche como usos principales. Para la carga ofrece los tipos de pieza MIFARE DUOX EV, que llegan con una aplicación de carga conforme a VDE-AR-E 2532-100 y con claves y certificados emitidos por la NXP EV-Charging CA.

Según RFID News, la validación del certificado se hace en el sistema en línea y no en el firmware del lector de la estación de carga. Así el hardware del lector es más sencillo y queda menos expuesto en el punto de uso.

Especificaciones y certificaciones de un vistazo

Todas las cifras proceden de NXP. La distancia de funcionamiento depende del lector y de la antena, hasta 100 mm.

Cómo se relaciona con DESFire

NXP no presenta DUOX como un sustituto de DESFire. Lo describe como compatible con la estructura de aplicaciones y archivos de MIFARE DESFire y con la mensajería segura EV2, y añade un sistema de archivos multiaplicación con instalación de aplicaciones tras la emisión. Una misma tarjeta puede contener, por ejemplo, una credencial de edificio y una de carga de emisores distintos.

Si estás comparando chips, nuestro artículo sobre DESFire EV2 frente a EV3 cubre esa familia, y NTAG 424 DNA cubre la opción de tipo etiqueta para toques autenticados.

Qué conviene recordar

DUOX interesa sobre todo si estás construyendo sistemas de acceso, carga o llave de coche. Si solo escribes URL y texto en pegatinas, no te lo encontrarás. Si trabajas con tarjetas seguras, el cambio práctico está en la gestión de claves: certificados en lugar de un secreto compartido para cada lector.

Preguntas frecuentes

¿Cuándo se anunció MIFARE DUOX?

NXP lo anunció el 19 de noviembre de 2024. Las piezas para carga de vehículos eléctricos han recibido más cobertura desde entonces.

¿Es MIFARE DUOX un sustituto de DESFire?

NXP no lo presenta así. Es un chip distinto que sigue siendo compatible con la estructura de aplicaciones y archivos de DESFire y con la mensajería segura EV2.

¿Puede un teléfono leer MIFARE DUOX?

Usa ISO/IEC 14443 Tipo A y NFC Forum Tipo 4, así que un teléfono con NFC puede detectarlo y leer su identidad básica. Cualquier cosa protegida requiere las claves correctas y una aplicación que las admita.