RFID初探之M1卡的分析与复制(使用PN532模块)


无需NFC手机与MIFARE Classic Tool (MCT)

基础概念梳理:RFID、NFC、IC卡与ID卡

RFID (Radio Frequency Identification,射频识别) 技术分为无源RFID、有源RFID与半有源RFID三种类别,其中

  • 有源RFID的应用场景主要有高速上的ETC(车载的OBU设备是供电的,很好理解),因为有源所以传输距离长、速度快
  • 半有源RFID是加了一个休眠机制的有源RFID,功耗低又传输强
  • 无源RFID是本文讨论重点,因为无需供电,成本低、使用广,但只能做近距离的无线传输,工作在包括但不仅限于125KHz、13.56MHz的低频段(这里的低频是相对于有源RFID频段)

而NFC(Near-field communication,近场通信) 技术是RFID技术的子集,NFC只工作在13.56MHz这一个频率。你想,有源RFID的传输距离那么远,当然也就不能叫“近场通信”了。这里放一张好图:

而IC卡 (Integrated Circuit Card,集成电路卡,智能卡) 和ID卡 (Identification Card,身份识别卡) 就属于无源RFID的应用。其中IC卡只工作在13.56MHz频率,这点看起来没有争议。但ID卡不只工作在125KHz,实际上有三个主要频率:

并且我搜到了一个UHF(超高频) ID Card的实际应用,挂在脖子上据称可以最远11米外识别:

因此,

  • 将ID卡称为“低频卡”、IC卡称为“高频卡”是不准确的
  • NFC技术仅工作在13.56MHz,因此无法识别125KHz的ID卡(绝大部分ID卡都是125KHz)
  • 上面那条也是为什么手环、手机的NFC模块不可能复制某些门禁卡(125KHz ID卡)

搜到SMZDM有人用手环复制了ID卡:

结果是钻开表带把线圈塞进去了。。。

此外,

M1卡分析

  • 本文要模拟的卡片类型是13.56MHZ Mifare Classic S50卡,即M1卡
  • Mifare是日本NXP公司的一个商标,Mifare卡是全球使用最广泛的IC卡,但这种技术也已经被广泛破解
  • MF1卡又分为S50与S70,他们的存储空间与认证过程有略微差异,本文研究S50

结构

S50卡有16个扇区,1K的存储空间 (64x16=1024):

  • 0扇区0区块:厂商块
  • 0-15扇区3区块:控制块
  • 其他区块:数据块

从结构图中可以看出,0扇区0区块存放着卡号与厂商信息,在标准Mifare卡中这部分内容是固定不可修改的,但据说是中国人制作出了0扇区0区块可写的魔卡(白卡/UID卡/CUID卡),这也是本文实现卡复制的基础。

认证流程


来源:BlackHat 2014 - Hacking Mifare Classic Cards

图中Tag指卡片0扇区存储的信息标签(UID),它接收到读卡器发来的校验请求后:

  1. 发送UID号给读卡器,进入防冲突循环,防止读卡器同时读到多张卡片
  2. 读卡器返回认证请求
  3. Tag产生一个(伪)随机数nT以明文方式发送给读卡器
  4. 读卡器在自身数据库中根据nT找到对应加密key,自身再产生一个随机数nR,使用key将nT与nR加密后分别返回给卡片
  5. 卡片使用自己的key验证返回值,若正确则响应一个新的校验值,认证流程结束。

破解的关键就在于,最后一步如果卡片验证失败,则会直接返回异常。而M1卡的校验是写死在卡片存储中的,无法实现CPU卡的一些额外逻辑操作,因此可以重放密钥对M1卡进行暴力破解。

当然以上的认证流程、破解部分都是通过成熟的工具完成的,对其有个大概了解,下文的复制不是重点内容。

M1卡复制

整体思路:小米手环对存在加密区的卡片默认无法模拟,因此需要一张白卡做中转。先复制一张非加密卡到手环,再将加密部分直接通过PN532写入手环。

道具

PN532模块 + USB2TTL(CH340模块) + 杜邦线 + UID/CUID卡(T5577)

接线

使用杜邦线连接PN532模块与USB2TTL(CH340):

PN532 CH340
GND GND
VCC 5V
SDA RXD
SCL TXD

黄色跳线帽不用管。接线接错使用模块可能会烧掉。

具体步骤

模块接入电脑后在设备管理器中可以看到,可以将波特率调高一些:

我用的WIN10虚拟机无需安装驱动,直接使用经典的NFC上位机软件即可读卡:

  1. 点击左上三角将整个卡存为dump文件,再额外记录下0扇区0区块(厂商块)的内容备用
  2. 读一张白卡(UID或CUID),将第1步中0扇区0区块的内容填进去,再把整个卡dump出来。
  3. 把第2步的dump数据写进空卡,这一步相当于得到了一张只有卡号、厂商信息的非加密卡
  4. 使用小米手环自己的功能复制第3步得到的卡,由于是非加密卡所以可以直接复制。这一步复制成功的卡还是不能使用的,手环上只有基础的UID信息(厂商块)。
  5. 使用nfc-mfclassic工具将数据块信息直接写入手环:
nfc-mfclassic.exe w A xxxxx.dump # 这是第1步的dump文件

同目录下还需要有配置文件libnfc.conf:

allow_autoscan = true
log_level=2
# 0sec.com.cn
allow_intrusive_scan = true
device.name="PN532Reader"
# 设置端口和波特率
device.connstring="pn532_uart:COM3:115200"

手环的位置不太好读取到,可以多次尝试,我的验证是把手环侧放在模块上面可以识别到。

思考

本来对RFID这一领域毫无涉猎,跟着网上文章复制一张门禁卡后,为了明白自己做的是什么,才去了解到这些东西。搜集资料过程中发现互联网上各种说法定义五花八门,各路大神众说纷纭,本文也一定有不准确的地方,作为RFID初探。

RFID技术的众多应用,说到底就是一个认证授权的过程,只是将令牌信息写死在了硬件中。类比Web应用的认证流程,可以将其想象成前端js加密,破解加密后可以看到明文的HTTP请求内容(所有扇区数据),任何人可以复用此payload(复制卡)。如果服务端不将信息存在数据库中做校验,完全信任客户端发送的信息,则可以任意声明客户端的属性(修改饭卡水卡金额)。

因此提高RFID技术应用的安全性就可以从加密方式和零信任两个地方做抓手赋能,形成闭环:

  • 防止扇区数据被解密 - 强密钥
  • 添加锁定策略防止暴力破解 - CPU卡
  • 服务端数据库存储数据 - 后端校验
文章目录
  1. 1. 基础概念梳理:RFID、NFC、IC卡与ID卡
  2. 2. M1卡分析
    1. 2.1. 结构
    2. 2.2. 认证流程
  3. 3. M1卡复制
    1. 3.1. 道具
    2. 3.2. 接线
    3. 3.3. 具体步骤
  4. 4. 思考
|