HospitalityRoom keys, staff credentials and the pieces around them.
Retail and loyaltyGift, loyalty and membership cards with variable data.
Access controlCards and fobs matched to the reader you installed.
Clubs and associationsOne chip for the turnstile, the locker and the desk.
Events and festivalsWristbands, badges and lanyards for each edition.Qué diferencia a MIFARE Classic EV1, Ultralight EV1 y DESFire EV2 y EV3, cuándo basta el chip económico y qué especificar cuando la seguridad es importante.
Si preguntas a un fabricante de tarjetas qué chip necesitas, lo habitual es recibir una de dos respuestas: una lista de precios con referencias y sin ninguna explicación, o un párrafo sobre «cifrado avanzado» que no concreta nada. Ninguna de las dos ayuda a decidir.
Esta guía identifica cada chip, explica qué hace y aclara cuándo basta la opción económica y cuándo no. Kaway suministra MIFARE Classic EV1, Ultralight EV1 y DESFire EV2 y EV3, además de EM4200 y T5577 a 125 kHz, por lo que la recomendación no depende de qué chip se venda.
Está pensada para quien tiene que incluir una referencia de chip en una especificación: integradores, departamentos de compras y responsables de programas de control de accesos.
Antes de elegir un chip hay que saber a qué frecuencia trabaja el lector. Todo lo demás depende de ello, y un error en este punto no se puede corregir después con la codificación.
Es la tecnología más antigua: sencilla, barata, tolerante con la suciedad y con la orientación, y prácticamente sin seguridad. Sigue muy extendida en control de accesos, control horario y hoteles con instalaciones antiguas. La distancia de lectura suele ser de 2 a 10 cm, según el lector.
Es el estándar actual para cualquier credencial que represente un valor o un derecho de acceso. Admite criptografía robusta, mayor velocidad de transmisión y más memoria, y se rige principalmente por la norma ISO/IEC 14443. La distancia de lectura suele ser de 2 a 5 cm, lo que constituye una medida de seguridad, no una limitación.
Una tarjeta de doble frecuencia lleva dos transpondedores independientes, cada uno con su chip y su antena, en el mismo cuerpo. No se comunican entre sí: un lector de 125 kHz detecta uno e ignora el otro, y un lector de 13,56 MHz hace lo contrario. Es la solución habitual cuando una organización ha renovado parte de su instalación y quiere que el personal lleve una sola credencial en lugar de dos.
La doble frecuencia no es una solución intermedia
Son dos sistemas completos en una sola tarjeta de PVC, y cada uno rinde exactamente igual que por separado. El único coste es el segundo inlay y unas tolerancias de fabricación algo más estrictas, porque las dos antenas deben convivir sin desintonizarse.
Es el chip sin contacto más instalado del mundo y el que más se especifica sin plantearse si es el adecuado.
Un chip de 13,56 MHz conforme a ISO/IEC 14443 tipo A, con un kilobyte de EEPROM organizado en 16 sectores de cuatro bloques de 16 bytes. Cada sector tiene su propio par de claves, lo que permite que una misma tarjeta sirva a varias aplicaciones independientes. El UID se graba en fábrica y tiene cuatro o siete bytes.
Es barato, todos los lectores lo admiten y su estructura por sectores resulta muy útil cuando una sola tarjeta debe contener una credencial de acceso, el saldo del comedor y el cupo de impresión, gestionados por tres responsables distintos.
Su cifrado CRYPTO1 se rompió públicamente en 2008 y está completamente comprometido desde entonces. Con un equipo barato y acceso físico a una tarjeta, es posible recuperar sus claves y clonarla. No es un riesgo teórico y nadie lo discute, tampoco NXP.
Cuando las consecuencias de una tarjeta clonada son pequeñas y el coste de cambiar todos los lectores es alto: una taquilla de gimnasio, una tarjeta de socio o de fidelización, la barrera de un aparcamiento con otros controles o un hotel que asume el riesgo y renueva las tarjetas con frecuencia. Lo que Classic no debería ser es la elección para una instalación nueva en la que la credencial protege algo importante. Si compras lectores hoy, elige lectores que no dependan de Classic.
Un chip de 13,56 MHz conforme a ISO/IEC 14443 tipo A, con UID de siete bytes y muy poca memoria: 64 bytes en el Ultralight original, y 48 o 128 bytes de memoria de usuario en el EV1. Las versiones básicas no tienen criptografía; Ultralight C añade autenticación Triple DES.
Para credenciales de vida corta en las que manda el coste unitario: billetes de transporte, pulseras de un solo uso, tarjetas de hotel para estancias cortas o etiquetas promocionales. Los bits programables una sola vez y los contadores del EV1 lo hacen muy útil para credenciales que solo deben poder usarse un número fijo de veces.
Para credenciales que se reutilizan durante años, que almacenan un saldo o en las que la clonación es un riesgo. Su memoria es demasiado pequeña y las versiones básicas no ofrecen ninguna protección real.
Un chip de 13,56 MHz conforme a ISO/IEC 14443 tipo A con la capa de protocolo completa ISO/IEC 14443-4, disponible en versiones de 2, 4 y 8 KB. Usa criptografía AES-128, además de DES y 3K3DES por compatibilidad. En lugar de sectores fijos, organiza la memoria en aplicaciones que contienen ficheros, algo muy parecido a un sistema de archivos y mucho más fácil de administrar entre varios responsables.
EV1 estableció la plataforma basada en AES. EV2 añadió el MAC de transacción, que permite a un lector demostrar que una transacción se ha producido realmente, y una arquitectura de tarjetas virtuales para gestionar mejor varias aplicaciones. EV3 añadió Secure Dynamic Messaging, útil cuando la tarjeta también debe leerse con un móvil, y mejoró de nuevo la gestión de transacciones y de proximidad.
El chip es más caro y su codificación requiere más trabajo. A cambio, ofrece una credencial cuya seguridad no está comprometida públicamente, algo importante durante los siete a diez años de vida de una instalación de cerraduras. Para cualquier hotel, oficina o campus nuevo, DESFire EV2 o EV3 es la recomendación por defecto, y es la alternativa más barata la que debe justificarse. En el control de accesos hotelero, es el mismo cambio que impulsa la migración a AES de las cerraduras de hotel.
Se olvida con frecuencia y a menudo es la respuesta correcta. MIFARE Plus mantiene el mapa de memoria de Classic, de modo que una instalación configurada para Classic puede leerlo, pero admite AES y puede pasar a un modo seguro más adelante.
Por eso es la herramienta adecuada para una situación muy habitual: una instalación que no puede cambiar todos los lectores a la vez pero quiere dejar de comprar credenciales comprometidas. Las tarjetas Plus se entregan ahora, funcionan con la infraestructura Classic existente y, cuando se renuevan los lectores, pasan a AES sin necesidad de volver a entregarlas. Los chips que suministra Kaway se detallan en el apartado 09.
Son de solo lectura. El chip contiene un identificador de 64 bits fijado en fábrica y lo transmite continuamente dentro del campo del lector. No tiene memoria escribible ni ningún tipo de seguridad. Para clonarlo basta una tarjeta grabable y unos diez segundos. Es suficiente para una barrera en la que el control real lo hacen una cámara y una persona.
Funcionalmente equivalente al EM4100, de otro fabricante. Es más barato, muy habitual y se especifica como si fuera el mismo chip.
Chips de lectura y escritura a 125 kHz, con poca memoria y, en el caso de HITAG 2, un cifrado propietario. HITAG 1 tiene 2048 bits de EEPROM y un número de serie grabado en fábrica. Son habituales en control de accesos y en aplicaciones para vehículos. A 125 kHz, Kaway suministra EM4200 y T5577, también en llaveros moldeados de ABS y en tarjetas de doble frecuencia.
Un chip grabable capaz de emular varios formatos de baja frecuencia, por lo que aparece tanto en instalaciones legítimas con varios formatos como en los clonadores que se venden por internet. Su existencia es un buen motivo para no confiar en 125 kHz para nada importante.
No hay nada que elegir. El sistema ya lo ha decidido, y lo que hay que hacer es identificar qué utiliza. A partir de una tarjeta que funcione o del modelo de lector, Kaway puede reproducirla, y la guía de compatibilidad explica qué datos buscar.
Pregúntate qué consecuencias tendría una credencial clonada. Si la respuesta es «alguien se toma un café gratis», Classic o incluso 125 kHz son proporcionados. Si la respuesta incluye una habitación, un almacén, una sala de servidores o un pago, especifica DESFire EV3 y presupuéstalo una sola vez, en lugar de tener que sustituir todas las tarjetas dentro de tres años.
MIFARE Plus si los lectores están configurados para Classic y se van a renovar. Doble frecuencia si conviven instalaciones de 125 kHz y de 13,56 MHz.
DESFire, porque su estructura de aplicaciones y ficheros permite que mantenimiento, sistemas y restauración tengan cada uno sus propias claves sin acceder a los datos de los demás. Hacerlo con los sectores de Classic es posible, pero su administración es frágil.
Una pregunta resuelve casi todos los casos
¿Qué ocurre si alguien copia esta tarjeta? Si nadie sabe responder, la especificación no está terminada, y cualquier recomendación de chip anterior a esa respuesta tiene poco valor.
Cuatro datos, y ninguno exige tener la especificación terminada: el modelo de lector o de cerradura con el que debe funcionar la credencial, la cantidad, el material y el acabado, y el diseño o un boceto. El resto puede definirse después; la guía para especificar un pedido de tarjetas explica todo lo demás.
Kaway fabrica en su propia planta de Dongguan (China). Los chips que codifica habitualmente son EM4200, T5577, MIFARE Classic EV1 1K y 4K, MIFARE Ultralight EV1, MIFARE DESFire EV2 y EV3, NTAG213, NTAG215, NTAG216, ICODE SLIX y combinaciones de doble frecuencia, y la codificación y la personalización se hacen en la misma planta que la impresión.
El cuerpo de la tarjeta puede ser de PVC o PVC reciclado con un núcleo reciclado al 80 %, de PET o de madera: tilo, cerezo, nogal negro y bambú. Las tarjetas de madera se fabrican en una planta con certificación FSC (FSC-C195226). El pedido mínimo es de 500 unidades y la producción estándar es de 12 días naturales para tarjetas de PVC y de madera.
Es un hecho. CRYPTO1 está comprometido desde 2008 y los ataques prácticos están ampliamente documentados. Su importancia depende de lo que proteja la tarjeta. Sería exagerado decir que todas las instalaciones Classic deben cambiarse mañana; sería irresponsable recomendar Classic para un hotel nuevo sin advertirlo.
Sí. El chip y el cuerpo son decisiones independientes: un DESFire de 8 KB cabe en la misma tarjeta ID-1 de la norma ISO/IEC 7810 que un Ultralight de 64 bytes, en PVC o en madera. La guía de tarjetas llave para hotel explica qué cambia con cada material.
A 13,56 MHz, normalmente de 2 a 5 cm con un lector estándar, y depende más de la antena y la potencia del lector que de la tarjeta. A 125 kHz, normalmente de 2 a 10 cm. Las distancias mucho mayores corresponden a UHF, que es otra tecnología para otro uso.
El UID grabado en fábrica es único, pero un control de accesos basado solo en el UID es débil, porque cualquiera puede leer un UID y existen tarjetas con UID grabable. Un UID es un identificador, no un método de autenticación. Los sistemas que conceden acceso solo con el UID equivalen, en la práctica, a sistemas sin cifrar, sea cual sea el chip.
Sí, y eso es precisamente una tarjeta de doble frecuencia: dos transpondedores pasivos, cada uno con su chip y su antena, independientes entre sí y en el mismo cuerpo laminado.
About this guide
Published by Kaway Group. The date on this page shows when this guide was last updated. If anything here is out of date, or contradicts what your integrator tells you, tell us and we will correct it.
Ask for a free sample in your material and chip.