物理渗透-Mifare Classic S50(IC)卡分析

前言

我们不管是在小区里还是公司里，都可能会使用过门禁卡，比如乘坐电梯需要刷工牌才使用，而且只能去特定的楼层。生活中还有很多地方用到过IC卡，商铺的会员卡、交通的公交卡等等。关于IC、ID卡的基础、本节不做详细叙述，只介绍M1的IC卡如何去分析并尝试破解。

M1卡介绍

MIFARE CLASSIC是恩智浦半导体开发的可用于非接触式智能卡，我们一般称为M1卡，是非接触式IC卡的一种。符合ISO/IEC 14443A类标准。

有S20,S50(M1),S70几种规格，主要是根据存储器容量划分，存储器容量分别为320B,1K,4K，直观体现就是S50只有16个扇区，而S70有40个扇区，适用的场景不同。

卡片构成

MF1 S50卡片本身是塑料，里面有一块芯片和几匝线圈。集成电路芯片内含1 Kbyte
EEPROM、RF接口和数字控制单元。能量和数据通过天线传输，卡中天线为几匝线圈，直接连接到芯片上。不再需要额外的组件。

• RF接口：调制解调器、检波器、时钟发生器、上电复位、稳压器
• 防冲突：读写范围内的几张卡可以逐一选定和操作，防止干扰。
• 认证：在所有存储器操作之前进行认证过程，保证必须通过各块指定的密钥才能访问该块。
• 控制和算术逻辑单元：数值以特定的冗余格式存储，可以增减。
• 加密单元：域验证的CRYPTO1 数据流加密，保证数据交换的安全。
• EEPROM: 1 Kbyte，分16区，每区4块。每一块有16字节，这就是数据存储的模块。

特性

• 非接触数据传输并提供能源（不需电池）
• 工作距离：可达100mm （取决于天线尺寸结构）
• 工作频率：13.56 MHz
• 快速数据传输：106 kbit/s
• 高度数据完整性保护：16 Bit CRC，奇偶校验，位编码，位计数
• RF接口(ISO/IEC 14443A)：根据非接触式智能卡标准实现。两个方向的数据通信在每一帧的开始只有一个起始位。每个字节一位校验位(奇校验)。选择块的最低(LSB)的字节最选传输，最大帧长度为163位(16字节数据+ 2 CRC字节= 16´2´9 + 9 + 1起始位)。
• EEPROM：1 Kbyte，分为16个区，每区4个块，每块16字节。
• 用户可定义内存块的读写条件
• 数据耐久性10年
• 写入耐久性100.000次
• 防卡绕：智能防干扰功能允许同时又多张卡在现场工作。防干扰算法分别选择每一张卡，并确保选定的卡正确执行交易，不会受到现场另一张卡的干扰。
• 安全性：相互三轮认证（ISO/IEC DIS9798-2），带重现攻击保护的射频通道数据加密，每区（每应用）两个密钥，支持密钥分级的多应用场合，每卡一个唯一序列号，在运输过程中以传输密钥保护对EEPROM的访问权
• 非接触能源和数据传递：在MIFARE卡中，芯片连接到一个几匝的天线线圈上，并嵌入塑料中，形成了一个无源的非接触卡。不需要电池。当卡接近读写器天线时，高速的RF通讯接口将以106 kBit/s 的速率传输数据。

<