谈谈 Mifare Classic 破解

谈谈 Mifare Classic 破解

2008 年的时候，荷兰恩智浦（NXP）公司开发的 RFID 产品 Mifare Classic 就被破解了，黑历史在这里就不在具体说了，想详细了解可以自己 Google 百度。现在还是重点说说关于 Mifare Classic 破解的内容。

Mifare Classic 提供 1 Kb - 4Kb 的容量，现在国内采用的多数是 Mifare Classic 1k(S50)[后面简称 M1 卡]，而我以后的测试也大多是基于 M1 卡开展。

大家要先了解 M1 卡的结构，这能够为后期的破解做铺垫。

M1 卡有从 0 到 15 共 16 个扇区，每个扇区配备了从 0 到 3 共 4 个段，每个段可以保存 16 字节的内容，为什么这里要强调从 0 开始呢？这跟 C 语言里面数组下标默认从 0 开始是差不多的，好计算地址偏移，我们不必太过在意，只是要记住是从 0 开始，写入数据的时候不要写错地方就可以了。每个扇区的第 4 个段（也就是 3 段）是用来保存 KeyA，KeyB 和控制位的，因为 M1 卡允许每个扇区有一对独立的密码保护，这样能够更加灵活的控制数据的操作，控制位就是这个扇区各种详细权限计算出来的结果。

每张 M1 卡都有一个全球唯一的 UID 号，这个 UID 号保存在卡的第一个扇区（0 扇区）的第一段（0 段），也称为厂商段，其中前 4 个字节是卡的 UID，第 5 个字节是卡 UID 的校验位，剩下的是厂商数据。并且这个段在出厂之前就会被设置了写入保护，只能读取不能修改，当然也有例外，有种叫 UID 卡的特殊卡，UID