Blog
MIFARE DUOX: zo maak je je RFID-passen veiliger zonder alles te vervangen
Veel RFID-passen herkennen een gebruiker nog alleen aan een vast nummer. Dat is snel, maar het beschermt slecht tegen fraude en namaak. MIFARE DUOX is een contactloze chip van NXP die naast het nummer ook controleert of een pas echt is, zonder dat de tik voor je gebruiker verandert.
Waarom is een UID alleen niet meer genoeg?
Elke RFID-chip heeft een UID: een vast serienummer dat in de chip zit. Veel systemen kijken bij een tik alleen naar dat nummer. Klopt het nummer, dan gaat de deur open of start de laadpaal.
Dat werkt snel en makkelijk. Maar een nummer is geen bewijs dat de pas echt is. Wie het nummer kent of kopieert, kan zich voordoen als een ander. Zo ontstaat ruimte voor fraude, namaak en cyberaanvallen.
Dat speelt bij elke pas waarmee mensen tikken: toegangspassen, parkeerpassen, laadpassen, tankpassen, bedrijfspassen en studentenpassen. Groeit het aantal passen en lezers in je organisatie? Dan moet de beveiliging meegroeien.
Wat is MIFARE DUOX?
MIFARE DUOX is een contactloze chip van NXP Semiconductors voor passen en andere dragers. Volgens NXP is het de eerste contactloze chip in zijn klasse die symmetrische en asymmetrische versleuteling combineert. Daardoor controleert een systeem niet alleen een nummer, maar ook of de pas echt is.
| Soort versleuteling | Hoe het werkt | Wat DUOX gebruikt |
|---|---|---|
| Symmetrisch | Pas en lezer delen dezelfde geheime sleutel | AES-128 en AES-256 |
| Asymmetrisch | Een sleutelpaar: een openbare en een geheime sleutel. De geheime sleutel verlaat de pas nooit | ECC met digitale handtekeningen (ECDSA) en X.509-certificaten |
Nog een paar feiten op een rij:
- Echtheidscontrole: de chip kan met ECC aantonen dat hij een echte NXP-chip is.
- Certificering: hardware en software zijn gecertificeerd volgens Common Criteria EAL6+.
- Standaard: de chip werkt volgens ISO/IEC 14443 Type A, de gangbare norm voor contactloze passen.
Bron: productpagina en factsheet van NXP.
Wat merkt je gebruiker van MIFARE DUOX?
Niets. De tik blijft even snel en even makkelijk. Het verschil zit achter de schermen. Dit levert het je organisatie op:
- Je bent beter beschermd tegen fraude en namaak. Een gekopieerd nummer is niet meer genoeg om binnen te komen.
- Sleutelbeheer wordt eenvoudiger. Met openbare sleutels en certificaten hoef je minder geheime sleutels te verspreiden. Volgens NXP kan een lezer daardoor ook lichter uitgevoerd worden, soms zonder aparte beveiligingsmodule.
- Heb je laadpassen? De laadvariant, MIFARE DUOX EV, ondersteunt de commandoset voor laden (VDE-AR-E 2532-100). Zo kan een pas bij verschillende laadnetwerken werken.
- NXP noemt als toepassingen toegangsbeheer, voertuigtoegang, laden, slimme sloten, openbaar vervoer en loyaliteitsprogramma’s.
Overstappen naar MIFARE DUOX: moet alles op de schop?
Nee, maar het hangt af van de chip die je nu gebruikt.
MIFARE DESFire (EV2, EV3): kleine stap
DUOX gebruikt dezelfde opbouw van applicaties en bestanden als DESFire en ondersteunt de beveiligde communicatie van EV2. Volgens NXP is overzetten daardoor goed te doen.
MIFARE Classic: grotere stap
NXP noemt geen directe compatibiliteit met Classic. Reken op aanpassingen in je lezers en software.
Alleen UID: grote stap
Je systeem controleert nu geen versleuteling, dus lezers en software moeten DUOX gaan ondersteunen.
Je hoeft niet in één keer over. Je kunt beginnen met DUOX-passen in een DESFire-omgeving en de extra beveiliging inschakelen zodra je lezers en software er klaar voor zijn. Zo vervang je passen stap voor stap, bijvoorbeeld bij de normale vervanging of bij nieuwe gebruikers.
Checklist: is MIFARE DUOX iets voor jou?
Stel jezelf deze drie vragen voordat je een keuze maakt:
1. Hoe controleert je systeem een pas nu?
Alleen op het UID, of ook met versleuteling? Alleen het UID betekent de meeste winst.
2. Welke chip zit er in je huidige passen?
Classic, DESFire of iets anders? Weet je het niet zeker? Vraag het ons.
3. Wat zegt de leverancier van je lezers en software over DUOX?
Samen met die leverancier bepaal je wanneer de extra beveiliging aan kan, en in welk tempo je overstapt.
Veelgestelde vragen over MIFARE DUOX
Wat is MIFARE DUOX?
MIFARE DUOX is een contactloze chip van NXP Semiconductors. Volgens NXP is het de eerste contactloze chip in zijn klasse die symmetrische (AES) en asymmetrische (ECC) versleuteling combineert.
Wat is het verschil tussen MIFARE DUOX en MIFARE DESFire?
DUOX bouwt voort op DESFire en gebruikt dezelfde opbouw van applicaties en bestanden. Het grote verschil: DUOX ondersteunt ook asymmetrische versleuteling met certificaten. Daarmee kan een pas bewijzen dat hij echt is, zonder dat pas en lezer dezelfde geheime sleutel hoeven te delen.
Kan ik van MIFARE Classic overstappen naar MIFARE DUOX?
Dat kan, maar de stap is groter dan vanaf DESFire. NXP noemt geen directe compatibiliteit met Classic. Je lezers en software moeten DUOX dus eerst gaan ondersteunen.
Merken gebruikers iets van MIFARE DUOX?
Nee. Voor de gebruiker voelt een DUOX-pas hetzelfde als een gewone pas. De extra beveiliging zit in de controle tussen pas en lezer.
Waarvoor gebruik je MIFARE DUOX?
Voor elke pas waarbij veiligheid telt. Denk aan toegangspassen, laadpassen, tankpassen, parkeerpassen en voertuigtoegang.
Jij kent je systeem, wij kennen passen
Kies je voor DUOX? Dan produceren en personaliseren we je passen. Of het nu gaat om toegangspassen, tankpassen of andere RFID-passen.
- Ruim 40 jaar ervaring in kaartprogramma’s en passenproductie
- Een achtergrond in bankkaart- en creditcardproductie
- ISO 27001-gecertificeerd en AVG-proof
- Jaarlijks bijna 1 miljoen foutloze passen
Benieuwd wat DUOX voor jouw passen betekent? Vertel ons welke passen en lezers je nu gebruikt, dan zoeken we samen uit wat de overstap voor jou betekent.
