Echte of vervalste MIFARE DESFire kaarten herkennen

De grenzen van visuele controle

Een MIFARE DESFire kaart is geen RFID-kaart waarvan u de echtheid aan het kunststof oppervlak kunt aflezen. Een vervalste kaart kan strak bedrukt zijn, een nette perforatie hebben, een goed ogende QR-code tonen en zelfs een UID laten zien die in een eenvoudige reader-app normaal lijkt. Daarom ontdekken veel inkopers het probleem pas nadat de kaarten al zijn gecodeerd, uitgegeven, naar een locatie zijn verzonden of, erger nog, aan gebruikers zijn overhandigd. Op dat moment gaat het verlies niet alleen meer over de kaartprijs. Het kan ook gaan om mislukte registratie in toegangscontrole, vertraging bij projectoplevering, ontevreden eindgebruikers en een lastig gesprek met de systeemintegrator.

Het lastige is dat vervalste MIFARE DESFire kaarten zich niet altijd gedragen als goedkope rommel. Sommige gebruiken eenvoudige chips van lage kwaliteit die snel uitvallen. Andere bevatten imitatiechips die basiscommando’s van ISO 14443A goed genoeg beantwoorden om een snelle inspectie te misleiden. Weer andere kaarten bevatten mogelijk originele chips uit onduidelijke kanalen, maar zijn opnieuw verwerkt in kaarten met slechte laminering, instabiele antennes of een verkeerde geheugenconfiguratie. Wanneer een inkoper vraagt: “Zijn mijn MIFARE DESFire EV1-, EV2- of EV3-kaarten echt?”, mag het antwoord dus nooit op één klein signaal zijn gebaseerd. U moet de chip, de kaartopbouw, het codeergedrag, de leveranciersdocumenten en het gedrag van de kaart in het echte systeem controleren.

Een nuttig startpunt is het onderscheid tussen cosmetische kwaliteit en chipechtheid. Een kaart met scherpe offsetdruk kan nog steeds een valse chip bevatten. Een eenvoudige witte PVC-kaart kan juist een originele NXP-chip bevatten. De buitenkant vertelt alleen of de kaartenfabriek drukwerk en laminering zorgvuldig heeft uitgevoerd. Ze bewijst niet dat de siliciumchip binnenin origineel is. Voor inkoopteams die echte MIFARE DESFire kaarten aanschaffen voor toegangscontrole, vervoersbewijzen, campus-ID, hotelsloten, ledenadministratie of cashless betaalprojecten, moet de test veel systematischer zijn.

Een aannemer voor toegangscontrole in Zweden leerde dit op de harde manier tijdens een campusupgrade. De kaarten zagen er goed uit en de leverancier had zelfs “DESFire EV2 8K” op elk doosetiket gedrukt. Tijdens de registratie reageerden de kaarten op de reader, waardoor het magazijnteam de zending goedkeurde. De problemen begonnen toen de beveiligingssoftware applicatiesleutels probeerde te laden. Bijna acht procent van de kaarten weigerde bewerkingen die echte DESFire EV2-kaarten zonder moeite hadden moeten uitvoeren. Een diepere controle liet zien dat de chiprespons niet overeenkwam met de opgegeven chipgeneratie. De aannemer had geen eenvoudige blanco RFID-kaarten gekocht, maar een projectvertraging in nette krimpfolie.

Waarom UID uitlezen niet genoeg is

De UID is het gemakkelijkst te controleren, maar ook het gemakkelijkst verkeerd te interpreteren. Veel inkopers scannen een kaart, zien een UID en nemen aan dat de kaart echt is. Dat is onvoldoende. Een UID bewijst alleen dat er iets reageert. Hij bewijst niet dat de chip een originele MIFARE DESFire chip is. Sommige vervalste kaarten tonen een vaste 4-byte of 7-byte UID. Andere kaarten gebruiken een UID-formaat dat niet past bij het opgegeven product. Sommige systemen zijn bovendien zwak ingericht en gebruiken alleen de UID als credential. Daardoor wordt de inkoper nog kwetsbaarder, omdat een valse kaart dan geen volledige DESFire-beveiliging hoeft te ondersteunen om een deur te openen.

Een fitnessketen in Dubai bestelde op maat bedrukte MIFARE DESFire kaarten voor leden toegang. De oude readers waren ingesteld om alleen de UID te lezen, waardoor de valse batch tijdens een eenvoudige deurtest gewoon werkte. Het probleem ontstond pas toen de keten overstapte op een nieuw ledenplatform dat DESFire-applicaties en versleutelde data gebruikte. De helft van de kaarten kon niet worden gepersonaliseerd. De inkoper dacht dat de nieuwe software defect was, maar de echte oorzaak was dat de oorspronkelijke acceptatietest te oppervlakkig was. Een echte DESFire toegangskaart moet verder worden getest dan alleen UID-uitlezing, zeker wanneer het project afhankelijk is van beveiligde applicaties, bestandsstructuren en gediversifieerde sleutels.

Chipfamilie controleren in plaats van compatibiliteit geloven

Verificatie van de chipfamilie zegt veel meer dan een snelle UID-scan. Als een kaart wordt verkocht als MIFARE DESFire EV3, moet zij zich bij controle met geschikte tools ook als EV3 gedragen. Als zij wordt verkocht als EV2 4K, mag zij geen kenmerken tonen die eerder passen bij EV1 of een onbekende kloon. Technische teams controleren vaak ATQA, SAK, ATS, geheugengrootte, gedrag bij het aanmaken van applicaties, ondersteunde commando’s en authenticatieprestaties. Deze details horen misschien niet thuis in een marketingbrochure, maar ze zijn cruciaal bij echte inkoop. Een serieuze RFID-kaartenleverancier moet zonder moeite kunnen spreken over chiptype, geheugengrootte, UID-lengte, werkfrequentie, normconformiteit en codeermethode.

Er is ook een praktisch verschil tussen “compatibel” en “echt”. Sommige leveranciers gebruiken vage termen zoals “DESFire compatible card”, “same as DESFire” of “works with DESFire reader”. Zulke formuleringen moeten een inkoper direct voorzichtiger maken. Compatibel kan aanvaardbaar zijn voor een laagrisico-test in een gesloten omgeving, maar het is niet hetzelfde als originele MIFARE DESFire. Voor beveiligde toegangskaarten, OV-kaarten, personeelsbadges en betaalgerelateerde credentials hebben inkopers normaal gesproken echte chips nodig, geen chips die er alleen op lijken. Als een offerte veel goedkoper is dan het normale marktniveau en de tekst vermijdt om “original NXP MIFARE DESFire” te vermelden, is het risico duidelijk.

Een integrator van vervoersapparatuur in Polen ontving kaarten die een eenvoudige readertest doorstonden, maar faalden tijdens SAM-gebaseerde personalisatie. De leverancier had ze omschreven als “DESFire compatible 4K cards”. De inkoopafdeling vond die formulering onschuldig, maar de systeemengineer niet. Tijdens de test faalden de kaarten bij beveiligde authenticatie in dezelfde workflow die voor echte DESFire EV1-kaarten werd gebruikt. De integrator wees de batch af vóór de lancering en redde daarmee de pilot. De les was eenvoudig: wanneer het systeem originele DESFire-beveiliging vereist, is “compatibel” geen veilige vervanging.

Verpakking, documentatie en fysieke kaartopbouw

Verpakking en documentatie kunnen helpen, maar mogen nooit als definitief bewijs worden gezien. Een goede leverancier moet een duidelijke factuuromschrijving, chipmodel, geheugengrootte, kaartmateriaal, antenneontwerp, testmethode en batchtraceerbaarheid kunnen leveren. Bij grotere orders kunnen inkopers informatie over de chipbron, een verklaring over het gebruik van originele chips en kwaliteitsrapporten per batch vragen. Toch kunnen documenten worden gekopieerd en etiketten worden gedrukt. De sterkere aanpak is documentcontrole combineren met sampletests. Vraag pre-productiesamples aan, test ze in uw eigen readers en bewaar goedgekeurde samples als referentie voor massaproductie.

Een distributeur van hotelsloten in Italië keurde ooit goudbedrukte DESFire hotelsleutelkaarten goed op basis van alleen drukproeven. De kunststof kaart zag er uitstekend uit, met gladde laminering en nauwkeurige kleurweergave. Toen de massaproductie arriveerde, werkten sommige kaarten in de slotencoder, terwijl andere na enkele schrijfbewerkingen uitvielen. De fabriek gaf later toe dat het goedgekeurde sample en de massaproductiebatch uit verschillende chipbronnen kwamen. Daarna paste de distributeur zijn inkoopregels aan. Geen enkel sample werd nog goedgekeurd zonder ook de chipbatch en het codeergedrag vast te leggen.

Fysieke constructie blijft belangrijk, ook al bewijst die niet of de chip echt is. Originele chips kunnen waardeloos worden door slechte kaartproductie. Als de antenneverbinding zwak is, kan de kaart een korte leesafstand, instabiele koppeling of vroege uitval na buigen vertonen. Als de lamineringstemperatuur slecht wordt beheerst, kan de inlay verschuiven of kan de chipmodule onder spanning komen te staan. Een inkoper die MIFARE DESFire PVC-kaarten test, moet de leesafstand op meerdere readers, vlakheid, buigweerstand, randafdichting, hechting van de bedrukking en werking na normaal gebruik controleren. Vervalste of verdachte batches tonen vaak ongelijkmatige leesprestaties, omdat de fabriek zich richt op het uiterlijk maar binnenin bespaart.

Een mijnbouwbedrijf in Chili bestelde DESFire-kaarten voor toegang tot beveiligde zones. De kaarten moesten bestand zijn tegen intensief dagelijks gebruik, stof en portemonnees vol metalen gereedschap. De chipcontrole gaf gemengde resultaten, maar het zichtbare probleem was vooral instabiel lezen. Sommige kaarten moesten exact tegen de reader worden gehouden, terwijl echte referentiekaarten op een comfortabele afstand werden gelezen. Bij een faalanalyse bleek dat de inlaypositie sterk varieerde. De inkoper dacht eerst alleen aan vervalste chips, maar het project faalde door een combinatie van twijfelachtige chipinkoop en slechte kaartassemblage.

Testen met meerdere readers en geheugengrootten

Een inkoper moet het gedrag ook vergelijken op verschillende typen readers. Een vervalste kaart kan werken op één desktop-USB-reader en falen op een wandgemonteerde toegangsreader. Zij kan een mobiele NFC-scan doorstaan, maar uitvallen op de encoder die door het echte softwareplatform wordt gebruikt. MIFARE DESFire kaarten worden vaak ingezet in systemen waarin readers, encoders, SAM-modules, middleware en credential management software voorspelbaar gedrag verwachten. Een realistische test moet daarom de hardware en software omvatten die in het project werkelijk worden gebruikt, niet alleen een telefoonapp of een goedkope reader uit een bureaulade.

Een smart-lockerbedrijf in India zag dit tijdens de uitrol van bedrijfslockers. De kaarten werkten tijdens kantoortests met een gangbare USB NFC-reader. Op locatie weigerde de lockercontroller echter ongeveer één op de twaalf kaarten tijdens het laden van credentials. De leverancier hield vol dat de kaarten in orde waren omdat “de UID kan worden gelezen”. De inkoper stuurde samples naar een technische partner, die vaststelde dat de kaarten niet de DESFire-functies ondersteunden die in de inkooporder waren opgegeven. Na de overstap naar geverifieerde MIFARE DESFire EV3-kaarten werkten dezelfde lockercontrollers normaal. Het probleem zat nooit in de locker, maar in de verkeerde kaart achter een vertrouwde naam.

Geheugengrootte is een ander detail dat controle verdient. Inkopers bestellen vaak DESFire 2K-, 4K- of 8K-kaarten, afhankelijk van het aantal applicaties en databestanden dat zij nodig hebben. Een vervalste of verkeerd voorgestelde kaart levert mogelijk niet de geheugencapaciteit die op de offerte staat. Soms verzendt een leverancier 2K-kaarten tegen een 4K-order, in de hoop dat de koper het niet merkt. Dit gaat niet altijd om chipvervalsing; het kan ook een vervangingsprobleem zijn. Het resultaat is hetzelfde: de kaart kan falen wanneer het systeem groeit, wanneer extra applicaties worden toegevoegd of wanneer toekomstige upgrades meer geheugen vereisen.

Een universiteit in Kenia bestelde studentenkaarten voor deurtoegang, bibliotheekuitleen, kantinebetaling en aanwezigheidsregistratie. In de aanbesteding stonden MIFARE DESFire 8K-kaarten, omdat de campus later extra diensten wilde toevoegen. De inkomende batch doorstond een basisscan, maar het IT-team maakte vóór acceptatie een testprofiel met alle geplande applicaties. Het kaartgeheugen bleek niet overeen te komen met het etiket. De leverancier noemde het een “klein misverstand”, maar de inkoper zag terecht een ernstig inkoopfalen. Zonder die test zou het probleem pas een jaar later zijn opgedoken, wanneer de campus het systeem wilde uitbreiden.

Authenticatietests en mobiele apps

Authenticatietests zijn vaak het moment waarop vervalste DESFire kaarten door de mand vallen. Een echte kaart moet DESFire-authenticatie en beveiligde bewerkingen kunnen uitvoeren volgens de opgegeven generatie en configuratie. Afhankelijk van het project kan het technische team AES-authenticatie, het aanmaken van applicaties, het aanmaken van bestanden, sleutelwijzigingen, lees- en schrijfbewerkingen, transactiegedrag en foutafhandeling testen. Inkopers hoeven geen chipingenieur te worden, maar ze moeten wel iemand betrekken die DESFire-codering en veilige credentialconfiguratie begrijpt. Bij belangrijke projecten is sampletesting door de toegangscontrole-integrator of kaartpersonalisatiepartner geen optie maar een vereiste.

Wees voorzichtig met mobiele NFC-apps. Ze zijn handig voor een snelle eerste blik, maar vormen geen volledige methode om vervalsingen te herkennen. Veel apps tonen UID, technologietype en enkele basisgegevens. Dat helpt, maar het is onvoldoende om een batch goed te keuren. Een valse kaart kan nog steeds vertrouwde velden tonen. Een echte blanco kaart kan er juist weinigzeggend uitzien totdat correct is geauthenticeerd. De betere aanpak is werken met professionele DESFire-testtools, goedgekeurde encoders en de workflow van het doelsysteem. Als een leverancier sampletesting niet ondersteunt of technische vragen ontwijkt, is dat op zichzelf al een waarschuwing.

Prijs, leveranciersgedrag en inkooppraktijk

Prijs is een praktisch signaal, maar geen wetenschappelijke test. Originele MIFARE DESFire chips kosten meer dan eenvoudige laagfrequente kaarten, basis-HF-kaarten of veel generieke NFC-chips. Als een aanbieding voor op maat bedrukte MIFARE DESFire EV3-kaarten veel goedkoper is dan die van alle andere serieuze leveranciers, vraag dan wat er ontbreekt. Misschien is codering niet inbegrepen. Misschien is het kaartmateriaal anders. Misschien is de chip niet origineel. Misschien gebruikt de leverancier oude voorraad met onduidelijke traceerbaarheid. Een lage prijs bewijst geen vervalsing, maar is wel een reden om scherpere vragen te stellen.

Een facilitymanagementbedrijf in Duitsland vergeleek drie offertes voor DESFire-personeelskaarten. Twee leveranciers zaten dicht bij elkaar in prijs, terwijl één aanbieder ver onder het marktniveau zat. De goedkoopste leverancier beloofde originele chips, maar weigerde vóór betaling te bevestigen of het om EV1, EV2 of EV3 ging. De inkoper vroeg vijf samples en een eenvoudige schriftelijke chipverklaring. De leverancier verdween een week en kwam daarna terug met een ander aanbod voor “DESFire compatible” kaarten. Daarmee voorkwam de inkoper een slechte bestelling. Soms begint vervalsingsdetectie al voordat de kaart arriveert, gewoon door te kijken hoe een leverancier normale vragen beantwoordt.

Druk- en personalisatieregistraties kunnen zwakke leveranciers eveneens ontmaskeren. Een serieuze RFID-kaartenfabriek moet UID-matching, matching met gedrukte nummers, QR-code-matching, chipcodering en verpakkingsvolgorde beheersen wanneer het project dat vereist. Vervalste of gemengde batches gaan vaak samen met rommelige data. U kunt dubbele UID’s in exportlijsten, ontbrekende nummers, inconsistente chiptypen of kaarten die niet bij het gedrukte serienummer passen aantreffen. Voor inkoop van toegangskaarten kunnen zulke procesfouten net zo schadelijk zijn als een valse chip, omdat ze registratie en audittrails verstoren.

Een farmaceutische fabriek in Mexico bestelde DESFire-personeelskaarten met gedrukte personeelsnummers en gecodeerde interne ID’s. Niet alle kaarten waren vervalst, maar de batch was gemengd. Sommige kaarten waren echte DESFire EV1-kaarten, andere bevatten onbekende compatibele chips, en het databestand van de leverancier had dubbele rijen. De fabriek wees de order af, omdat een beveiligd kaartproject niet op geluk mag draaien. Daarna eiste de inkoper sample-codeerbestanden, UID-lijsten, bevestiging van het chiptype en willekeurige controles uit verzegelde dozen voordat een zending werd geaccepteerd.

Best practices voor inkoop van echte kaarten

Een van de verstandigste gewoonten is het bewaren van een bekende echte referentiekaart. Als uw organisatie regelmatig MIFARE DESFire kaarten koopt, bewaar dan kaarten uit een geverifieerde bron en gebruik ze als vergelijkingsset. Test leesafstand, readerrespons, personalisatiesnelheid, geheugengedrag en systeemcompatibiliteit naast elkaar. Vervalste kaarten lijken vaak minder verdacht wanneer ze alleen worden getest. Ze vallen sneller op wanneer ze onder dezelfde omstandigheden worden vergeleken met een bekende echte kaart. Dit is vooral nuttig voor inkoopteams die niet diep technisch zijn, maar wel een praktische screeningsmethode nodig hebben.

Een netwerk van openbare bibliotheken in Canada gebruikte deze aanpak na ontvangst van een verdachte vervangingsbatch DESFire-bibliotheekkaarten. De kaarten konden worden gescand, maar de uitleenkiosken reageerden trager dan normaal. In plaats van op gevoel met de leverancier te discussiëren, vergeleek het IT-team de nieuwe batch met een geverifieerde oudere batch op dezelfde kiosk, dezelfde desktopencoder en hetzelfde softwareprofiel. Het verschil was consequent genoeg om een diepere technische inspectie te rechtvaardigen. De nieuwe batch werd geretourneerd en de leverancier gaf later toe dat hij zonder goedkeuring van chipbron was veranderd.

Inkopers moeten ook alert zijn op naamverwarring. MIFARE Classic, MIFARE Plus, MIFARE Ultralight en MIFARE DESFire zijn niet onderling uitwisselbaar. Een leverancier die losjes “MIFARE card” zegt zonder de exacte chip te bevestigen, creëert risico. DESFire wordt vaak gekozen omdat een project sterkere beveiliging en flexibele applicaties nodig heeft. Vervanging door een goedkoper kaarttype kan het systeem breken of de beveiliging verzwakken. Zet in een inkooporder de exacte chipfamilie, generatie, geheugengrootte, UID-eis, kaartformaat, materiaal, drukmethode, codeereis en acceptatietest. Vage inkooptaal geeft een zwakke leverancier ruimte om te vervangen.

Een stedelijk sportcentrum in Nederland maakte die fout bij het nabestellen van lidmaatschapskaarten. De oude order gebruikte echte DESFire-kaarten, maar in het herbesteldocument stond alleen “MIFARE membership card”. De nieuwe leverancier leverde MIFARE Classic-kaarten, omdat die goedkoper waren en technisch gezien ook “MIFARE” heetten. De kaarten waren in strikte zin niet vervalst, maar wel verkeerd voor het systeem. De inkoper moest opnieuw bestellen en de vertraging uitleggen aan drie vestigingen. Exacte formulering had het hele probleem voorkomen.

De veiligste inkoopflow is niet ingewikkeld. Bevestig de vereiste chipgeneratie en geheugengrootte met de systeemintegrator. Vraag de RFID-kaartenleverancier om samples uit de beoogde productiebron. Test die samples met uw echte readers, encoders en software. Controleer UID-gedrag, DESFire-authenticatie, geheugengrootte, aanmaken van applicaties, leesafstand, drukkwaliteit en buigstabiliteit. Keur massaproductie pas goed nadat het sample is geslaagd. Test bij levering willekeurig kaarten uit verzegelde dozen, niet alleen de kaarten die handig bovenop liggen. Bewaar registraties van het goedgekeurde sample, de testresultaten en de leveranciersverklaring.

Voor grotere of beveiligingsgevoelige projecten zijn strengere controles nodig. Eis batchtraceerbaarheid. Vermijd leveranciers die originele MIFARE DESFire niet duidelijk kunnen onderscheiden van compatibele chips. Gebruik gediversifieerde sleutels in plaats van identificatie op basis van alleen de UID. Laat een drukkerij niet zelfstandig de chip kiezen zonder technische goedkeuring. Vraag een kleine pilotbatch vóór de volledige uitrol. Voor vervoer, enterprise-toegangscontrole, campus-ID, overheidsgebouwen en toepassingen rond betaling kan de schade van een vervalste of vervangen kaart veel hoger zijn dan de besparing op een goedkope offerte.

Het belangrijkste punt is eenvoudig: echte DESFire kaarten bewijzen zich door gedrag, niet alleen door uiterlijk. Een echte kaart moet overeenkomen met het opgegeven chiptype, de geheugengrootte, beveiligingsfunctie, codeerworkflow en systeemprestaties. Een valse of vervangen kaart laat meestal signalen achter, maar alleen wanneer u op de juiste plaatsen kijkt. Keur geen zending goed omdat het kunststof er netjes uitziet. Keur haar niet goed omdat een telefoonapp een UID leest. Keur haar niet goed omdat op het etiket EV3 staat. Test de kaart zoals uw project haar werkelijk zal gebruiken.

Wanneer inkopers verificatie van MIFARE DESFire kaarten behandelen als onderdeel van het inkoopproces in plaats van als noodreparatie achteraf, voorkomen zij de meeste schade. Zij stellen betere vragen, weigeren vage formuleringen, voeren zinvolle sampletests uit en houden leveranciers verantwoordelijk. Zo herkent u of uw MIFARE DESFire kaarten echt of vervalst zijn voordat ze de deuren, poorten, lockers, kiosken of mensen bereiken die ervan afhankelijk zijn.