NTAG 424 DNA

El NTAG 424 DNA es un pequeño sistema de archivos con cinco claves que lo protegen. El mensaje NDEF vive en el archivo 02. Cada ajuste de esta página es una propiedad de ese archivo o de las claves, y cada cambio ocurre dentro de una sesión de mensajería segura EV2 que la app abre con una de las claves.

Elige NTAG 424 DNA o NTAG 424 DNA TagTamper. Ambos tienen herramientas de inspección, NDEF, Claves, SDM y acceso. La fila TagTamper aparece solo en la variante correspondiente. Las demás tarjetas DESFire y Plus usan sus perfiles de inspección.

Qué es

Cinco ranuras, de la clave 0 a la clave 4, 32 dígitos hexadecimales cada una. La clave 0 es la maestra. Las otras cuatro las usan los derechos y funciones que apunten a ellas.

Qué hace cambiarla

Nada visible en un teléfono. Cambia quién puede abrir las sesiones que usan esa ranura.

Qué necesita

La clave 0, siempre. Cambiar las claves 1 a 4 necesita además su valor actual en los campos, porque el chip recibe la clave nueva enmascarada con la antigua.

Deshacer

Volver a cambiarla, o Restablecimiento de fábrica, ambos con la clave 0. Una clave 0 perdida deja la tarjeta exactamente como está para siempre, y nada en esta app la recupera.

Claves actuales

La página Claves contiene los campos de la Clave 0 a la Clave 4, inicialmente rellenados con los ceros de fábrica. La acción Claves de fábrica vuelve a poner esos campos a cero. Cada operación usa exactamente lo que contienen estos campos, y nada los anula. El almacén de claves los alimenta en lugar de sustituirlos. Leer una etiqueta cuyas claves tiene esta app rellena los campos, un cambio correcto los actualiza, y un restablecimiento de fábrica los pone a cero.

Comprobar

Comprobar se autentica con cada clave actual e informa Aceptada o Rechazada por clave, sin cambiar nada. Una etiqueta retirada antes de tiempo muestra Fallida para la clave en curso y No comprobada para el resto.

Cambiar

Cambiar elige un número de clave y toma un nuevo valor de 32 dígitos, escrito o generado. Comprueba primero y luego cambia. Cambiar la clave 0 a un valor que luego pierdes deja la etiqueta configurada como está para siempre; la app no puede recuperarla.

Con la mensajería dinámica segura activada, el chip reescribe partes de la URL en cada lectura. Los campos siguientes determinan qué partes se modifican.

La línea monoespaciada bajo los campos muestra una vista previa de la URL con letras de relleno.

Qué es

UID en la URL incluye el número de serie, Contador de lecturas en la URL incluye el recuento de toques, y CMAC añade una firma calculada con una clave para que un servidor distinga un toque real de un enlace copiado. Datos PICC cifrados sustituye el UID y el contador en claro por un único bloque cifrado que solo puede abrir quien tiene la clave.

Qué hace cambiarla

Cada toque abre una URL distinta. Los desplazamientos de la tarjeta de resultado son los puntos del archivo donde el chip escribe los valores en vivo. Mientras el contador esté en un Límite del contador de lecturas o por encima, el chip rechaza también cualquier cambio de ajustes que conserve ese límite, Derechos de acceso incluidos, así que subir o quitar el límite aquí tiene que ir primero.

Qué necesita

La clave de Cambiar ajustes, y la clave CMAC o PICC que elijas debe existir en la tarjeta. Aplicar pone además Escritura en Clave 0.

Deshacer

Desactivar, que deja el mensaje y los derechos como están.

Aplicar y Desactivar

Aplicar SDM escribe el NDEF y establece los ajustes del archivo. Después, el archivo se lee libremente y necesita la clave 0 para escribir o cambiar. Desactivar apaga el reflejo y conserva los derechos que estén configurados en Derechos de acceso.

Datos cifrados en la URL es un tramo de la URL, de 32 o 64 caracteres, que el chip cifra en cada lectura no autenticada. El texto plano que escribes, hasta 16 o 32 bytes, vive en la primera mitad de ese tramo en el archivo. Los lectores nunca lo ven. Ven el texto cifrado, que cambia en cada toque porque el contador alimenta el cifrado.

Qué clave

El chip deriva la clave de cifrado de la clave CMAC junto con el UID y el contador de lecturas. No es una elección aparte, así que la clave que firma el CMAC también cifra los datos, y la función necesita el CMAC activado y el UID y el contador en la URL.

Cómo actualizarlos

El texto plano son datos de archivo normales, así que cambia escribiendo ese tramo del archivo con el derecho de Escritura, la clave 0 en una tarjeta configurada aquí.

Cómo leerlos

El Escaneo completo muestra el texto cifrado y, cuando la página Claves contiene la clave CMAC, muestra el texto plano debajo.

Cómo ocultarlos

El bloque no puede quedar fuera de la URL, pero se puede disimular. Dale al parámetro cualquier nombre en la Plantilla personalizada, ponlo en un segmento de la ruta, o activa Datos PICC cifrados a su lado para que la URL lleve dos bloques hexadecimales parecidos. Pon {cmacStart} delante y el CMAC firma también el texto cifrado.

Qué no es

No es una tarjeta inteligente. Una tarjeta con elemento seguro ejecuta su propio applet con un PIN y un desafío-respuesta. El 424 protege una pequeña carga estática frente a lectores casuales y no hace nada más.

Cuatro selectores en el archivo NDEF, cada uno Libre (0xE), Clave 0 a Clave 4, o Nunca (0xF). Cambiar ajustes en Nunca hace permanentes los ajustes del archivo. Los demás derechos pueden seguir cambiando mientras Cambiar ajustes lo permita.

• LecturaDefine quién puede leer el mensaje. Para que los teléfonos puedan leerla, hay que seleccionar Libre, sin autenticación. Si eliges una clave aquí, los teléfonos no podrán leer el mensaje.
• EscribirQuién puede sobrescribir el mensaje. Libre en una tarjeta nueva, y Aplicar SDM lo pone en Clave 0 para que nadie pueda machacar el espejo.
• Lectura y escrituraUna segunda clave sobre el mismo archivo. Una lectura se permite cuando se cumple Lectura o Lectura y escritura, y una escritura cuando se cumple Escritura o Lectura y escritura.
• Cambiar ajustesQuién puede cambiar estos cuatro derechos y la disposición del SDM. Clave 0 en una tarjeta nueva, y el que importa para bloquear.

Qué es

Cuatro permisos sobre el archivo NDEF, cada uno Libre, una clave o Nunca.

Qué hace cambiarla

"Aplicar derechos de acceso" reescribe los ajustes del archivo sin tocar el estado actual del SDM. Cada ranura que abres o cierras cambia quién puede leer, escribir o reconfigurar el archivo después.

Qué necesita

La clave que Cambiar ajustes indica en ese momento. La página muestra esa clave arriba para que el valor que va a usar esté a la vista.

Deshacer

Aplicar derechos nuevos, siempre que Cambiar ajustes no sea Nunca.

Escritura frente a Lectura y escritura

Escritura y Lectura y escritura son dos campos de permisos independientes que autorizan la escritura. El chip aplica la lógica OR, por lo que permite escribir si se cumple la condición de cualquiera de ellos. Lo mismo ocurre con la lectura y los campos Lectura y Lectura y escritura. Lectura y escritura permite asignar a una sola clave el control de lectura y escritura del archivo, mientras Lectura permanece Libre para los teléfonos y el permiso independiente de Escritura queda bloqueado. Para impedir la escritura, bloquea ambos campos.

La tarjeta de información muestra los cuatro derechos en una fila en un 424. Justo después de Aplicar SDM dice Lectura E · Escritura 0 · LE 0 · Cambio 0.

No hay comando de bloqueo en el 424. Una tarjeta se vuelve permanente cuando un derecho se pone en Nunca, y el derecho que eliges decide qué se congela. Hazlo en la tarjeta que quieres conservar tal como está.

Un derecho en Nunca mientras Cambiar ajustes sigue abierto no es un bloqueo. Cambiar ajustes es el candado, y los otros tres son lo que ese candado cierra.

Cómo bloquea una tarjeta The NFC Mint

El codificador de The NFC Mint configura cada tarjeta emitida con Lectura Libre, Escritura Nunca, Lectura y escritura Nunca, Cambiar ajustes Nunca, el CMAC en la clave 1 y la recuperación del contador en Nunca. Las lecturas y Mensajería dinámica segura funcionan entonces para siempre, nadie puede escribir el archivo, nadie puede cambiar la disposición, y las claves siguen siendo cambiables mediante la clave 0, que The NFC Mint se reserva. El mismo estado requiere dos pasos en la app.

• Paso 1: Mensajería dinámica seguraConfigura con la clave CMAC que quieras y el campo de límite en blanco, y luego Aplicar. Esto pone también Escritura y Lectura y escritura en Clave 0.
• Paso 2: Derechos de accesoLectura Libre (0xE), Escritura Nunca (0xF), Lectura y escritura Nunca (0xF), Cambiar ajustes Nunca (0xF). Aplicar, y luego continúa más allá del modal que dice que no se puede deshacer.

La tarjeta de información dice entonces Lectura E · Escritura F · LE F · Cambio F. Aplicar derechos de acceso, Desactivar SDM y Restablecimiento de fábrica se rechazan a partir de ahí, y la tarjeta sigue leyéndose y su URL sigue cambiando en cada toque.

Qué es

La verificación de un enlace SDM que normalmente haría el servidor se realiza en el teléfono. Toma una URL, encuentra los campos que rellenó el chip, descifra lo que está cifrado y comprueba la firma. No hace falta tener una etiqueta cerca del lector. Pega cualquier URL, o pulsa Usar última lectura para tomar la de la última lectura de un 424.

Qué hace cambiarla

Decodificar informa del UID y el contador, en claro o recuperados de los datos PICC, el texto descifrado, el precinto antimanipulación, y CMAC Válido o No válido con el valor esperado cuando falla. Un CMAC que no coincide significa que el enlace fue alterado, copiado de otra etiqueta o firmado con otra clave.

Qué necesita

La clave CMAC, que también descifra los datos cifrados, y la clave de datos PICC cuando la URL lleva datos PICC cifrados. Ambas están bajo los campos con sus valores en línea en las ranuras compartidas de Claves, y tras una lectura de una etiqueta con SDM activado toman por defecto las ranuras que indican los ajustes de la etiqueta.

Deshacer

No es un cambio.

Cómo se deducen los roles

La app divide la URL en sus valores, tanto parámetros de consulta como segmentos de ruta con aspecto hexadecimal, y deduce el rol de cada uno primero por su nombre y luego por su longitud. Catorce caracteres hexadecimales se leen como el UID, 6 como el contador, 16 como el CMAC, 32 como los datos PICC o datos cifrados, 64 como datos cifrados, y dos letras como el estado antimanipulación. Cada deducción aparece en un selector, así que una URL de otro codificador con sus propios nombres de parámetro se corrige a mano. El chip nunca ve los nombres de todos modos, así que una URL de cualquier codificador se decodifica igual una vez que los selectores dicen qué valor es cada uno.

Inicio de la entrada del CMAC elige dónde empieza la entrada del MAC, en los datos cifrados cuando los hay, en el propio CMAC en caso contrario, o al principio de la URL para otras disposiciones.

Qué es

En el NTAG 424 DNA TagTamper, un bucle de hilo a través del precinto que el chip mide cada vez que recibe alimentación. De GetTTStatus vuelven dos valores. Actual es lo que lee el hilo en ese momento. Permanente es si el hilo se ha leído alguna vez abierto desde que se activó el bucle, y solo se mueve en un sentido.

Qué hace cambiarla

Activar enciende el bucle con la opción 07 de SetConfiguration y elige la clave de estado que GetTTStatus necesitará después. The NFC Mint suministra las etiquetas con este acceso configurado como Libre, sin necesidad de autenticación. NFC Utils ofrece Comprobar y Activar en el perfil TagTamper. Comprobar pide el estado actual y el permanente. Activar requiere la clave 0 y elige la clave de acceso al estado. TamperKit ofrece el registro de activación aparte y las comprobaciones a lo largo del tiempo.

Qué necesita

La clave 0 para activar. El acceso al estado Libre permite preguntar a cualquier lector; una clave seleccionada requiere autenticación; Sin acceso deja el estado disponible solo a través del SDM configurado.

Deshacer

Ninguno. El bucle no se puede volver a apagar.

Inactivo, Intacto, Roto

El veredicto del precinto en NFC Utils, NFC Proof y TamperKit es el mismo. Intacto solo mientras ambos valores se leen Cerrado, Roto en cuanto cualquiera se ha leído Abierto, e Inactivo mientras el bucle nunca se activó. Un hilo que se cortó y se volvió a conectar se lee Roto, porque el chip registró el primer Abierto para siempre.

Un bucle cortado antes de la activación

Antes de activarlo, el chip no mide nada, así que un bucle cortado antes de la activación no se puede ver y la activación no falla por ello. La primera medición llega con la propia activación, y un bucle ya cortado se lee Roto ahí mismo. A partir de entonces el chip no puede distinguir un bucle cortado antes de la activación de uno cortado después, y por eso TamperKit registra el estado en el momento de la activación.

En NTAG 424 la fila es Borrar y restablecer, y Formatear no aparece, porque el contenedor de capacidades del 424 es un archivo fijo integrado en el chip y no hay nada que escribir.

Borrar etiqueta

Vacía el mensaje. Las claves y los derechos se mantienen. Necesita que Escritura sea Libre o la clave que indique.

Restablecimiento de fábrica

Pone el mensaje a cero, restaura los derechos de fábrica del archivo y apaga el SDM, y luego devuelve todas las claves a ceros. Necesita la clave 0 en Claves y el valor actual de cualquier clave que no sea ceros. Borra la entrada de la etiqueta en el almacén y los campos de Claves actuales, puesto que las claves vuelven a ser de fábrica. No puede restaurar los derechos en una tarjeta cuyo Cambiar ajustes es Nunca.