ID卡和IC卡NFC基础知识
1. 基础知识
于是，我开始查阅资料，基本确定了⼩⽶⼿机是还是可以通过其它⽅式模拟加密门禁卡的。
然后，资料查多了，记不到，⼜怕以后⽤到需要重新，⼲脆⽔⼀篇博客记录下来。
如果熟悉NFC和IC卡，或者只想模拟加密门禁卡，并不关⼼原理，这章可以跳过，直接看下⼀章。
1.1 ID卡和IC卡
ID卡：全称⾝份识别卡(Identification Card)，多为低频(125Khz)，是⼀种不可写⼊的感应卡，含固定的编号，主要有台湾SYRIS的EM 格式，美国HID、TI、MOTOROLA等各类ID卡。
IC卡：全称集成电路卡(Integrated Circuit Card)，⼜称智能卡(Smart Card)。多为⾼频(13.56Mhz)，可读写数据、容量⼤、有加密功能、数据记录可靠、使⽤更⽅便，如⼀卡通系统、消费系统等，⽬前主要有PHILIPS的Mifare系列卡。
主要区别：
ID卡，低频，不可写⼊数据，其记录内容(卡号)只可由芯⽚⽣产⼚⼀次性写⼊，开发商只可读出卡号加以利⽤，⽆法根据系统的实际需要制订新的号码管理制度；
IC卡，⾼频，不仅可由授权⽤户读出⼤量数据，⽽且亦可由授权⽤户写⼊⼤量数据(如新的卡⽤户的权限、⽤户资料等)，IC卡所记录内容可反复擦写；
IC卡由于其固有的信息安全、便于携带、⽐较完善的标准化等优点，在⾝份认证、银⾏、电信、公共交通、车场管理等领域正得到越来越多的应⽤，例如⼆代⾝份证、银⾏的电⼦钱包，电信的⼿机SIM卡、公共交通的公交卡、地铁卡、⽤于收取停车费的停车卡、⼩区门禁卡等；以上图⽚来⾃淘宝商家，⽹上了半天相关资料，发现淘宝商家解释得最清楚。
总结：
1.ID卡多为低频，IC多为⾼频；
2.IC卡整体上看⽐ID卡更有优势，市⾯上使⽤的⼤多数也是IC卡；
3.对于矩形⽩卡，⾥⾯为矩形线圈、表⾯没有编号的多为IC卡，⾥⾯为圆形线圈、表⾯有编号的多为ID卡；
4.对于异形卡，有编号的多为ID卡，最好使⽤带NFC的⼿机进⾏测试(⽬前⼿机NFC只能读⾼频13.56Mhz)，IC卡会有反应；
1.2 接触式和⾮接触式IC卡
IC卡⼜可以分为接触式IC卡和⾮接触式IC卡。
接触式IC卡：该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进⾏数据的读写；
⾮接触式IC卡：⼜称射频卡、感应式IC卡，该类卡与卡设备⽆电路接触，⽽是通过⾮接触式的读写技术进⾏读写（例如RFID、NFC），其内嵌芯⽚除了CPU、逻辑单元、存储单元外，增加了射频收发电路。该类卡⼀般⽤在使⽤频繁、信息量相对较少、可靠性要求较⾼的场合。
两者⽐较好区分，直接看卡上有⽆⾦属触点即可。
1.3 RFID和NFC
⾮接触式的读写技术常见的有两种：RFID技术和NFC技术。
RFID技术：
1.通常应⽤在⽣产，物流，跟踪和资产管理上；
2.根据频率划分包含低频、⾼频（1
3.56MHz）、超⾼频、微波等；
3.作⽤距离取决于频率、读写器功率、读写器天线增益值、标签天线尺⼨等，⼯作距离在⼏厘⽶到⼏⼗⽶不等；
4.读写器和⾮接触卡可以是⼀对多关系，也可以说⼀对⼀关系；且读写器和⾮接触卡是两个实体，不能切换；
NFC技术：
1.通常应⽤在门禁，公交卡，⼿机⽀付等领域；
2.频率也是1
3.56MHz，且兼容⼤部分RFID⾼频相关标准（有些是不兼容）；
3.NFC作⽤距离较短，⼀般都是0~10厘⽶；
4.读写器和标签⼏乎都是⼀对⼀关系；且⽀持读写模式和卡模式，可以作为读写器也可变为⾮接触卡；
总体来说，NFC是RFID的⼦集，但NFC有些新特性⼜是RFID所不具备的。
1.4 ID卡类型
ID卡，⼯作在低频（125Khz），根据卡内使⽤芯⽚的不同，有如下分类：
ID卡
EM4XX系列，多为EM4100/EM4102卡，常⽤的固化ID卡，出⼚固化ID，只能读不能写；常⽤于低成本门禁卡，⼩区门禁卡，停车场门禁卡；
ID⽩卡
EM4305或T5577，可⽤来克隆ID卡，出⼚为⽩卡，内部EEPROM可读可写，修改卡内EEPROM的内容即可修改卡⽚对外的ID号，达到复制普通ID卡的⽬的；
T5577写⼊ID号可以变⾝成为ID卡，写⼊HID号可以变⾝HID卡，写⼊Indala卡号，可以变⾝Indala卡
HID卡
全称HID ProxⅡ，美国常⽤的低频卡，可擦写，不与其他卡通⽤；
1.5 IC卡类型
IC卡中最常见的是NXP Mifare系列卡，⼯作在⾼频（13.56Mhz），根据卡内使⽤芯⽚的不同，有如下分类：
M1卡
全称Mifare S50，是最常见的卡，出⼚固化UID（UID即指卡号，全球唯⼀），可存储修改数据；常⽤于学⽣卡，饭卡，公交卡，门禁卡；
M0卡
全称Mifare UltraLight，相当于M1卡的精简版，容量更⼩、功能更少，但价格更低，出⼚固化UID，可存储修改数据；常⽤于地铁卡，公交卡；
以上两种固化了UID，为正规卡，接下来就是⼀些没有固化UID，即不正规的卡：
UID卡
全称Mifare UID Chinese magic card，国外叫做中国魔术卡，M1卡的变异版本，使⽤后门指令(magic指令)，可修改UID（UID在block0分区），可以⽤来完整克隆M1卡的数据；
但是现在新的读卡系统通过检测卡⽚对后门指令的回应，可以检测出UID卡，因此可以来拒绝UID卡的访问，来达到屏蔽复制卡的功能（即UID防⽕墙系统）；
CUID卡
为了避开UID防⽕墙系统，CUID卡应运⽽⽣，取消响应后门指令(magic指令)，可修改UID，是⽬前市场上最常⽤的复制卡；
近两年，智能卡系统制造公司，根据CUID卡的特性研发出CUID卡防⽕墙，虽然现在（2019年）还不是很普及，但是总有⼀天CUID卡会和UID卡⼀样⾯临着淘汰；
FUID卡
FUID卡只能写⼀次UID，写完之后⾃动固化UID所在分区，就等同M1卡，⽬前任何防⽕墙系统都⽆法屏蔽，复制的卡⼏乎和原卡⼀模⼀样；
但缺点也相对明显，价格⾼、写坏卡率⾼，写错就废卡。
UFUID卡
集UID卡和FUID卡的优点于⼀⾝，使⽤后门指令，可修改UID，再⼿动锁卡，变成M1卡。
可先反复读写UID，确认数据⽆误，⼿动锁卡变成M1，解决了UID卡的UID防⽕墙屏蔽，也解决FUID的⼀次性写⼊容易写错的问题，且价格⽐FUID卡还便宜；
判断是M0卡(Mifare UltraLight)，还是M1卡(Mifare Classic 1k)，可以通过SAK值判断。
产品ATQA SAK UID长度
Mifare Mini00 0409 4 bytes
Mifare Classic 1k00 0408 4 bytes
Mifare Classic 4k00 0218 4 bytes
Mifare Ultraligh00 44007 bytes
Mifare Plus00 44207 bytes
1.6 IC卡详细分析
1.6.1 IC卡存储器结构
以M1卡为例，介绍IC卡数据结构。
M1卡有从0到15共16个扇区，每个扇区配备了从0到3共4个数据段，每个数据段可以保存16字节的内容；
每个扇区中的段按照0~3编号，第4个段中包含KEYA（密钥A 6字节）、控制位（4字节）、KEYB（密钥B 6字节），每个扇区可以通过它包含的密钥A或者密钥B单独加密；
⼚商段
苹果手机nfc怎么复制门禁卡每张M1卡都有⼀个全球唯⼀的UID号，这个UID号保存在卡的第⼀个扇区（0 扇区）的第⼀段（0 编号数据段），也称为⼚商段。
其中前4个字节是卡的UID，第5个字节是卡 UID 的校验位，剩下的是⼚商数据。
并且这个段在出⼚之前就会被设置了写⼊保护，只能读取不能修改，前⾯各种能修改UID的卡，UID是没有设置保护的，也就是⼚家不按规范⽣产的卡。
数据段
除了第0扇区外，其它每个扇区都把段0、段1、段2作为了数据段，⽤于保存数据。
数据段的数据类型可以被区尾的控制位（Access Bits）配置为读/写段（⽤于譬如⽆线访问控制）或者值段（⽤于譬如电⼦钱包）。
值段有固定的存储格式，只能在值段格式的写操作时产⽣，值段可以进⾏错误检测和纠正并备份管理，其有效命令包括读、写、加、减、传送、恢复，值段格式如下：
Value表⽰⼀个带符号4字节值，为了保证数据的正确性和保密性，值被保存了3次，两次直接保存，⼀次取反保存。该值先保存在0字节-3字节中，然后将取反的字节保存在4字节-7字节中，还保存了⼀次在8字节-11字节中。
Adr表⽰⼀个字节的地址，当执⾏备份管理时⽤于保存存储段的地址。地址字节保存了4次，取反和不取反各保存了2次。在执⾏加值、减值、恢复和传送等操作时，地址保持不变，它只能通过写命令改变。
控制段
每个扇区都有⼀个区尾控制段，它包括密钥A和密钥B（可选），以及本扇区四个段的访问控制位 (Access bits)；访问控制位也可⽤于指出数据段的类型（为读/写段还是值段）；控制段的存储格式如下：
如果不需要密钥B，那么区尾的最后6个字节可以作为数据字节，⽤户数据可以存储在区尾的第9个字节，这个字节具有和字节6、7、8⼀样的访问权限。
1.6.2 IC卡访问存储器
数据段⽀持的操作
根据使⽤的密钥和相应区尾访问条件的不同，数据段所⽀持的存储器操作也不同，存储器的操作类型如下：
可以看到只有作为值段时，才能加、减、传送、恢复。
各区的访问位定义
每个数据段和区尾的访问条件由3个位来定义，它们以取反和不取反的形式保存在区尾指定字节中。
访问位控制了使⽤密钥A和B操作存储器的权限，当知道相关的密钥和当前的访问控制条件时，可以修改访问条件，各区的访问位定义如下：
访问位在区尾的存储形式
区尾的访问条件
根据区尾（段 3）访问位的不同，访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”（密钥A或密钥B），区尾的访问条件如下:
⽤灰⾊标明的⾏是密钥B可被读的访问条件，此时密钥B可以存放数据。
例如：当段3的访问条件C13C23C33=100时，表⽰：密钥不可读（隐藏），验证密钥B正确后，可写（或更改）；访问控制位在验证密钥A 或密钥B正确后，可读不可写（写保护）；密钥B不可读，在验证密钥 B 正确后可写；
⼜如：当段3的访问条件C13C23C33=110或者111时，除访问控制位需要在验证密钥A或密钥B正确后可读外，其他如访问控制位的改写，密钥 A，密钥 B 的读写权限均被锁死⽽⽆法访问；
数据段的访问条件
根据数据段（段 0-2 访问位的不同，访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”（密钥A或密钥B）。
相关访问位的设置定义了该段的应⽤（或者说数据段类型）以及所⽀持的应⽤命令，不同的数据段类型
可以进⾏不同的访问操作。读/写段可以进⾏读操作和写操作。值段可以进⾏加、减、传送和恢复的值操作。
其中⼀种情况中（001）只能对不可再充电的卡进⾏读操作和减操作，另⼀种情况中（110）使⽤密钥B可以再充电。⼚商段⽆论设置任何的访问位都只是只读的，数据段的访问条件如下：
如果密钥B可以在相应的区尾被读出，它就不能⽤于确认（在前⾯所有表中的灰⾊⾏）。如果读卡器要⽤这些（带灰⾊标记的）访问条件的密钥B确认任何段，卡会在确认后拒绝任何存储器访问操作。
1.6.3 举例说明
Mifare S50出⼚时，访问控制字节（字节6-字节9）被初始化为“FF 07 80 69”，KEY A和KEY B的默认值为“FF FF FF FF FF FF” ；
字节6为FF，⼆进制为1111111；字节7为07，⼆进制为00000111；字节8为80，⼆进制为10000000，如下：
对照前⾯的访问位在区尾的存储形式图，可得知访问控制位为：
C10C20C30=000；C11C21C31=000；C12C22C32=000；C13C23C33=001。
C10C20C30、C11C21C31、C12C22C32对应数据段0、1、2，参考数据段的访问条件图即可得知该段三个数据区的访问权限；
C13C23C33对应区尾（段 3），参考区尾的访问条件图即可得知该段的访问权限；
块0控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进⾏加值和减值操作；
块1控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进⾏加值和减值操作；
块2控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进⾏加值和减值操作；
块3控制位为：0 0 1 权限为：A密码不可读，验证A或者B密码后可改写A密码；验证A或者B密码后，可读可改写存取控制；验证A密码或者B密码后，可读可改写B密码；
这样每次换算还是有点⿇烦，可以使⽤快速换算：
最下⾯⼀⾏可以输⼊想解释的控制字，也可以根据上⾯的设置⽣成控制字；
最上⾯⼀⾏，左边是数据段0、1、2的访问控制位，右边是对应权限所需要的秘钥；
中间的⼀⾏，左边是区尾的访问控制位，右边是对应权限所需要的秘钥；
1.7 ⾮加密IC卡和加密IC卡
⾮加密IC卡和加密IC卡的区别就是，⾮加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF；
⽽加密IC卡中，其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF，部分扇区加密的卡称半加密IC卡，所有扇区都加密的卡称全加密IC 卡。
⼀般的读卡器，像⼿机的NFC，是读不到IC卡的加密数据的，需要⽤专门的⼯具，⽐如Proxmark3读取。
对于IC卡，除了对卡上数据加密，还有滚动码加密、服务器数据验证等技术。
因此，对IC卡的解密，更多的是门禁卡、签到卡、车库卡等的讨论，像公交卡、饭卡等涉及到资⾦问题的，基本都有服务器定期校验，得先搞定服务器再说，难度⾼还违法。
参考资料：
发布评论