Chipkarten für NFC Code Touch

[marcb]

Bei unverschlüsselten Chipkarten / Tags (nach ISO 14443 z.B. Mifare Classic) wird die Seriennummer ausgelesen, entsprechend können vorhandene Medien genutzt werden (die bereits für andere Zwecke eingesetzt werden, z.B. Zutrittskontrolle / Zeiterfassung bei der Arbeit. Das Risiko bei unverschlüsselten Karten ist, dass jemand im Vorbeigehen die Seriennummer auslesen kann und dann damit ein Duplikat (also einen Nachschlüssel) erstellen kann.

Bei verschlüsselten Chipkarten werden nur Desfire EV1 Karten akzeptiert. Hier können offenbar zudem nur fabrikneue ("leere") Chipkarten eingelesen werden.
Hier wird nicht nur die Seriennummer ausgelesen, sondern es werden vermutlich Informationen auf die Karte geschrieben und diese mit einem Passwort verschlüsselt.

Die Frage ist nun: Müssen diese Karten komplett "leer" sein oder ist es ausreichen wenn noch "etwas Platz" für die Loxone Daten ist?
Weiterhin wäre interessant welchen Verschlüsselungsstandard Loxone nutzte (es sind mehrere möglich, sogar "unverschlüsselt").

Leider gibt es hierzu keine Infos von Loxone. Zumindest muss dokumentiert sein welche Anforderungen an Desfire EV1 Karten gestellt werden!

Weiterhin kann ich nicht nachvollziehen, warum man nicht auch bei bestehenden Desfire Karten nur die Seriennummer für die Berechtigung nutzen kann. Dabei werden zwar nicht die Sicherheitsfeatures genutzt, aber man könnte bereits vorhandene Karten einbinden (trotzdem ist es sicherer als bei Mifare Classic, da gibt es fertige Lösungen zum klonen zu kaufen - bei Desfire bisher nicht).

[marcb]

Ticket aufgemacht, erste Antwort:
"für den NFC Code Touch können natürlich benutzt bzw bereits verwendete Desfire EV1 Chips genutzt werden. Wir schreiben nichts auf die NFC sondern lesen den Code nur aus."

Rückfrage:
"aber bestimmte Chipkarten (die bereits Daten enthalten) funktionieren nicht (LED Orange), und die Verschlüsselung bei Desfire nutzt auch nur wenn verschlüsselte Daten aus dem Chip (und nicht die unverschlüsselte Seriennummer) genutzt werden"

zweite Antwort:
"ich habe gerade nochmal Rücksprache gehalten. Also das Orange Licht bedeutet tatsächlich, dass der NFC voll ist. Dieser wird auch geschrieben und nicht nur gelesen wie ich zuvor geschrieben hatte".

Jetzt stellt sich mir noch die Frage
a) Wieviel Speicherplatz wird beim Beschreiben (einlesen in LoxConfig) benötigt?
b) Was passiert wenn ein Desfire Tag aus der Config gelöscht und dann neu eingelesen wird (am selben Miniserver)? Wird er dann erneut beschrieben und es wird nochmal Platz benötigt, oder werden die vorhandenen Daten genutzt?
c) Wird der Schlüssel mit dem die Daten verschlüsselt werden individuell von jedem Miniserverprojekt erzeugt und lokal gespeichert oder gibt es einen einheitlichen Masterkey?

Ansonsten habe ich noch herausgefunden, dass auch Desfire EV2 Chips funktionieren, interessant wäre ob auch Desfire EV3 klappt.

Ich habe nochmal ein Ticket aufgemacht, mal sehen ob ich alle Infos bekomme...

[mm93]

Ticket aufgemacht, erste Antwort:
"für den NFC Code Touch können natürlich benutzt bzw bereits verwendete Desfire EV1 Chips genutzt werden. Wir schreiben nichts auf die NFC sondern lesen den Code nur aus."

Rückfrage:
"aber bestimmte Chipkarten (die bereits Daten enthalten) funktionieren nicht (LED Orange), und die Verschlüsselung bei Desfire nutzt auch nur wenn verschlüsselte Daten aus dem Chip (und nicht die unverschlüsselte Seriennummer) genutzt werden"

zweite Antwort:
"ich habe gerade nochmal Rücksprache gehalten. Also das Orange Licht bedeutet tatsächlich, dass der NFC voll ist. Dieser wird auch geschrieben und nicht nur gelesen wie ich zuvor geschrieben hatte".

Jetzt stellt sich mir noch die Frage
a) Wieviel Speicherplatz wird beim Beschreiben (einlesen in LoxConfig) benötigt?
b) Was passiert wenn ein Desfire Tag aus der Config gelöscht und dann neu eingelesen wird (am selben Miniserver)? Wird er dann erneut beschrieben und es wird nochmal Platz benötigt, oder werden die vorhandenen Daten genutzt?
c) Wird der Schlüssel mit dem die Daten verschlüsselt werden individuell von jedem Miniserverprojekt erzeugt und lokal gespeichert oder gibt es einen einheitlichen Masterkey?

Ansonsten habe ich noch herausgefunden, dass auch Desfire EV2 Chips funktionieren, interessant wäre ob auch Desfire EV3 klappt.

Ich habe nochmal ein Ticket aufgemacht, mal sehen ob ich alle Infos bekomme...

Hi, hast du hierzu nochmal genauere Infos erhalten?

Vielen Dank im Voraus!

[marcb]

Die Rückmeldung war dass Desfire 3 nicht offiziell unterstützt werden.

[marcb]

Ich vermute aber es funktioniert - sobald ich eine preiswerte V3 Karte auftreibe probiere ich es mal aus…

[mm93]

Ok, vielen Dank!

zu deiner dritten Frage:

Wird der Schlüssel mit dem die Daten verschlüsselt werden individuell von jedem Miniserverprojekt erzeugt und lokal gespeichert oder gibt es einen einheitlichen Masterkey?

Seit - ich glaube - Loxone Config 14 sieht man unter NFC Tag eine "NFC App-ID" und einen "NFC App-Schlüssel". Weiß nicht ob das in der alten Config auch schon drinnen war.
Zur Beschreibung der beiden Parameter:
NFC App-ID: "Nummer der Applikation, die verwendet wird um Sicherheitsschlüssel auf der Karte zu speichern. Diese Nummer muss für alle verwendeten NFC-Karten gleich sein."
NFC App-Schlüssel: "Schlüsselcode der verwendeten App auf der NFC-Karte. Dieser Schlüssel wird verwendet, um die Daten in der Applikation zu schützen."

Verstehe ich jetzt folgendermaßen:
Über die NFC App-ID wird der NFC App-Schlüssel symmetrisch verschlüsselt auf den Chip übertragen. Über den NFC App-Schlüssel wird dann die Payload auf dem NFC-Chip verschlüsselt abgelegt. Findet nun eine Kommunikation zwischen Reader und Chip statt, wird die verschlüsselte Payload wieder symmetrisch verschlüsselt (durch die App-ID) übertragen und der Miniserver kann diese dann über den App-Schlüsselt entschlüsseln und abgleichen.

Oder wie siehst du das?

[marcb]

Ich habe die Infos auch in der neuen Config gesehen.
Vom Prinzip sind die Desfire Chips so aufgebaut dass einzelne Bereiche (Applikationen genannt) mit separaten Schlüsseln gespeichert werden. Ähnlich einem Dateisystem mit separat verschlüsselten Dateien.
Wie das im Detail funktioniert kann ich nicht sagen, lt. BSI ist das System aber sicher und zertifiziert.
Leider blockieren manche Anwendungen den kompletten Speicher sodass Loxone nichts mehr hinzufügen kann. So etwa mein Zeiterfassungschip von der Arbeit. Daher brauche ich leider einen eigenen chip für meine Haustüre

[patriwag]

Welche Chipkarten bzw. Chips habt ihr denn im Einsatz? Die Key Fobs stellen sich bei uns als nicht wirklich robust heraus. Mehrere der Key Fobs fallen innen auseinander, falls er starken Stößen ausgesetzt wird. Gibt es gute und günstige Alternativen?

[orli]

Ich suche ja immer noch was, dass ich in die Handyhülle stecken kann und was dann noch genug Sendeleistung hat um zu funktionieren. Leider klappt das mit den NFC Stickern von Loxone nicht beim Iphone + Apple Lederhülle.

[marcb]

Ich habe mit diesen Keyfobs gute Erfahrungen gemacht:
z.B. https://www.amazon.de/Stück-KeyFob-MIFARE-DESFire-schwarz/dp/B07R7PQGSB/ref=sr_1_5?__mk_de_DE=ÅMÅŽÕÑ&crid=1MJNSSB8DJW4Q&keywords=Desfire&qid=1697479004&sprefix=desfire%2Cap s%2C97&sr=8-5&th=1

Für die Handyhülle empfehle ich eine Chipkarte, da ist eine größere Antenne drin und entsprechend ist die Reichweite besser.

Ich habe eine Chipkarte im Geldbeutel, das funktioniert gut wenn sie nicht zwischen anderen Karten steckt, daher habe ich sie im Fach mit den Scheinen.

[patriwag]

Prima. Verstehe ich das richtig, ja jede Desfire EV1 auch mit Verschlüsselung unterstütz werden sollte.

[BasDi]

Welche Chipkarte für Handyhüllen könnt ihr empfehlen? Bin da auch auf der Suche und normalerweise braucht man ja auch nur ein paar und nicht wie so oft angeboten mehrere hundert Stück.

[marcb]

Nach meinem Kenntnisstand werden die weißen Chipkarten-Rohlinge alle vom Chip-Hersteller NXP produziert, da sollte es keine Unterschiede geben.
Anders als bei den Schlüsselanhängern, da liefert NXP die Chips und andere bauen diese dann in verschiedenste Hüllen ein.

z.B. bei Amazon nach "Desfire" suchen, da gibt es 5 Karten für 15,90 oder 10 Stück für 28,90€.
Ich habe mir zum testen eine einzelne DESFire EV2 2K Karte für 3,95€ bestellt.

Es funktionieren sowohl EV1 als auch EV2 (habe ich getestet) aber vermutlich auch EV3 Chips. Der Speicher ist auch egal (2K/4K/8K)

[marcb]

Ja genau.

[FabianH]

Um das Thema mal hoch zu holen, der Markt wird ja größer.
Wie siejts mit Armböndern oder Ringen aus?
Gibt es Chips die ixh dafür nutzen kann um sie z.B. kn selbst kreierte Schlüsselanhänger mit Harz einzugießen?

Und ist einer auf die Idee gekommen es mal mit seinem Ausweis zu probieren?

[marcb]

Ausweis leider Nein! Der Personalausweis nutzt zwar denselben Standard wie Mifare Classic und Desfire, ISO 14443, allerdings lassen sich hier vom Code Touch keine Infos draufschreiben. Die lesbare Seriennummer des Ausweises ändert sich bei jedem Auslesen aus Datenschutzgründen.

[marcb]

Da gibt es so einiges, einfach mal Googeln nach Desfire EV1 oder EV2, Speicherkapazität ist egal.

[orli]

Wir waren mal in einem HardRock Hotel, da gabs Armbänder mit NFC Chips drauf für die Zimmertür. Als wir daheim waren, hab ich den mal am NFC Code Touc probiert - ging. Bis das Armband durch war, haben wir damit die Tür geöffnet. Gibt da also was.

[FabianH]

Ja, das mit dem Ausweis hab ich vermutet.
Mein S22 wechselt sich ständig dig die Nummer und ist nach dem erfassen schon beim ersten Versuch unbrauchbar.
habs mit über den Monitor in der config angesehen.

Gut, also nfz nach EV2 und EV2.
Dann versuch ich da mal etwas zu finden was man irgenfwo eingießen kann, höt gern wsd individuelles.

Allerdings hab ich noch nicht ganz begriffen was der Unterschied zwischen rfid und nfc ist. Man bekommt beim googeln nsch NFC eben oft suxh RFID als Ergebnis

[Loxtom577]

Unterschied RFID und NFC:

https://www.identible.de/rfid-vs-nfc.html