目录
2.4 Mifare S50与Mifare S70（MF1）
ISO14443的卡分A卡和B卡。A卡包括CPU卡和M1卡（银行卡，公交卡，社保卡，校园卡等），B卡主要是身份证。
一、CPU卡
智能卡按安全级别可以分为三类：存储器卡、逻辑加密卡和CPU卡，其中CPU卡是安全级别最高的。从“CPU”这个名字可以看出，CPU卡最大的特点就是卡片里面有一个"CPU"，有了CPU我们就可以对卡片编程写入软件(COS，卡片操作系统)，实现复杂的安全加密算法，所以CPU卡的安全性是最高的。与之形成对比的是，存储器卡和逻辑加密卡中没有"CPU"，尽管在我们看来像MIFARE1卡看起来似乎也很智能，但M1卡里存在的仅仅是一个专用集成电路(ASIC)，而不是CPU。
说到非接触式CPU卡，就不得不提接触式CPU卡，因为就CPU卡的灵魂——COS来说，二者遵循的协议基本是一样的，都是ISO7816-4，不同之处在于二者进入COS的方式和途径，在此以复旦微电的非接触式CPU卡FM1208M01为例，与接触式CPU卡进入COS的过程对比如下图所示。
CPU卡在进入ISO7816-4协议之前所做的都是一些为卡片和读写器对话进行的准备工作。接触式CPU卡的序列比较简单，卡片插在卡座上，读写器给卡片一个复位(Reset)信号,卡片回送一个应答ATR(Answer To Reset),ATR由5部分组成：
(1)初始字符TS：指定字符传送规则，如果是3B则高电平表示1，低电平表示0，先传送字符最低有效位；如果是3F，则高电平表示0，低电平表示1，先传送字符最高有效位。
(2)格式字符T0：指定存在哪些接口字符以及历史字符的个数。
(3)接口字符 ：指定协议参数和协议类型
(4)历史字符 ：说明诸如制造商、芯片型号等一般信息
(5)校验字符 ：保证ATR数据的完整性，使用的是异或校验
非接触式CPU卡得到ATS(Answer To Select)相对步骤多一些，不过这也是迫不得已，这是由卡片本身的“非接触”特性决定的。不像接触式卡片那样一卡一座，非接触式卡片由于“无源”和“免接触”，读写器的射频场中可能同时存在多张卡片，为了从多张卡片中选中一张进行操作，读写器要启动防冲突和卡选择的过程。由于不能保证射频场中的卡片都是CPU卡，所以读写器选中一张卡片后还要向卡片发送RATS命令，CPU卡会回送一个ATS响应，此ATS与接触式CPU卡的ATR也大同小异，同样由5部分组成：
(1)长度字符TL：指出ATS的长度，不包括后面的校验字节。
(2)格式字符T0：指定存在哪些接口字符以及卡片能接收的帧的最大长度。
(3)接口字符 ：指定协议参数和协议类型
(4)历史字符 ：说明诸如制造商、芯片型号、序列号等一般信息
(5)校验字符 ：保证ATS数据的完整性，使用的是2字节CRC校验
完成ATR或ATS应答之后，卡片可以进行PPS(Protocol Parameter Selection)协商，也可以不协商而使用默认值。此后就进入7816-4，执行COS命令进行数据交换了。
二、M系列卡（MF0、MF1、MF2）
2.1 M系列卡的共性
Mifare是NXP公司生产的一系列遵守ISO14443A标准的射频卡，包Mifare S50、Mifare S70、Mifare UltraLight、Mifare Pro、Mifare Desfire等，由于Mifare的巨大影响力，业内有时把其它公司生产的遵守ISO14443A标准的射频卡也称为“Mifare”,尤其是Mifare S50卡片，几乎就是ISO14443A标准的代言人。
至于“Mifare”这个名字的由来，据说1998年Philips收购了瑞士的米克朗(Mikron)公司，该公司之前开发了一套收费系统叫作MIkron FARE-collection System，即米克朗收费系统，简写为Mifare。
Mifare系列卡片有时也根据卡内使用芯片的不同，把Mifare UltraLight称为MF0，Mifare S50和S70称为MF1，Mifare Pro称为MF2，Mifare Desfire称为MF3。
Mifare系列的共同特征就是遵守ISO14443A国际标准，这些共同特征描述如下：
1.它们都是接近卡PICC（Proximity ICC），读写距离最大10cm。
2.它们的射频频率都是13.56MHz±7KHz。
3.这些卡片都是无源免接触的，能量由读写器产生的射频场提供。
4.读写器产生的射频场的磁场强度在1.5A/m～7.5A/m之间，卡片在这个场强区间内可以连续的正常工作。
5.卡片首先进入读写器的射频场得电完成初始化,之后等待读写器的命令。读写器与卡片的数据交流总是采用RTF模式,即读写器先发出命令,卡片在规定的时间内对命令作出应答,如果读写器没有命令,卡片无论如何也不能先发言。
6.读写器向卡片发送命令使用100% ASK调制的修正米勒(Modified Miller)码,卡片应答时使用副载波调制的曼侧斯特(Manchester)码。
7.卡片与读写器之间通讯的数据速率有4种:106Kbps,212Kbps,424Kbps,848Kbps。但在读卡选择命令(含)之前,通讯速率只能是106Kbps。读卡选择之后,卡片和读写器可以协商使用什么样的速率。106Kbps是怎么来的,它是载波频率13.56MHz除以128得来的，通俗的说法是“载波128分频”。
8.卡片未进入射频场时称为断电(Power-Off)状态，进入射频场得电复位后进入休闲(Idle)状态，收到读写器的呼叫命令后进入准备(Ready)状态，经过防冲突循环被选中后进入激活(Active)状态，在激活状态收到休眠命令或不认识的命令后进入休眠(Halt)状态。
9.这些卡片都有一个全球唯一的序列号，序列号的长度可能是4字节，7字节或10字节。当多张卡片同时进入读写器的射频场时，卡片们遵守面向比特的防冲突机制，由读卡器选出唯一的一张卡片进行操作。读写器操作完一张卡片后，可以发送休眠命令让这张卡片进入休眠状态，而读卡器继续对其他卡片进行操作。
10.这些卡片在卡选择(含)之前的操作步骤都是一样的，卡选择之后的操作就不一样了，比如有的需要验证密码，有的不需要，而且验证密码的方式也有区别。
11.从卡片进入磁场到卡片被选中要经过两步。
第一步是读写器呼叫磁场内的卡片，卡片对呼叫做出应答。
(1)由于磁场内可能有刚进入磁场并得电复位处于休闲状态的卡片，也可能有已经被读写器操作过，被读写器发送休眠命令进入休眠状态的卡片，对这两类不同的卡片，读写器使用两种不同的命令进行呼叫：卡请求(REQA,0x26)和卡唤醒(WAKE-UP,0x52)。
(2)其中卡请求(REQA)只能呼叫处于休闲(Idle)状态的卡片，卡唤醒(WAKE-UP)可以呼叫所有卡片，包括处于休眠(Halt)和休闲状态的卡片。
(3)收到卡呼叫命令后，卡片将对命令做出应答(Answer To Request,ATQA),告诉读写器自己是否遵守面向比特的防冲突机制，如果不遵守，读写器自然就不会往下操作了，除非双方约好了一种特殊的防冲突协议，不过那就不叫“遵守ISO14443A”了。ATQA有两个字节，第一个字节的值没有规定(RFU),第二个字节的高两位b7b6表示卡序列号长度(“00”为4字节，“01”为7字节，“10”为10字节)， b5位的值没有规定(RFU),b4-b0表示是否遵守面向比特的防冲突机制，如果遵守，b4-b0必须有且仅有1位为1。通常情况下，Mifare S50的ATQA是0004H，Mifare S70的ATQA是0002H，Mifare UltraLight的ATQA是0044H，Mifare Light的ATQA是0010H，Mifare Desfire的ATQA是0344H。业内习惯称ATQA为卡类型，并且称“Mifare S50的卡类型是0004H，Mifare S70的卡类型是0002H，Mifare UltraLight的卡类型是0044H，Mifare Desfire的卡类型是0344H……”，这种说法其实是不严谨的。已经出现了ATQA为0044H和0344H的卡片，但这种卡片并不是Mifare UltraLight和Mifare Desfire，而是一种新的7字节的Mifare S50。这很正常，因为ISO14443A中规定，ATQA的作用是卡片表明自己是否遵守面向比特的防冲突机制以及自身卡序列号的长度，并不是表示哪种类型的卡片。
第二步是防冲突
(1) 之所以把“防冲突”和“选择”放在一块说，是因为二者的命令码是一样的,区别在于命令码后面包含多少位已经确认的卡序列号。
(2) 面向比特的防冲突机制每个防冲突循环需要32bit的卡号参加。读写器向所有参加防冲突的卡片发出一个防冲突命令码，并告诉卡片们已经确定了多少位卡序列号，让卡序列号前面部分与读写器发出的已经确认的序列号相同的卡片做出应答。
(3) 如果已确认的卡序列号小于32位，就是防冲突命令，卡片将回送除了已确认卡序列号之外的剩余的卡序列号部分；如果已确认的卡序列号等于32位，就是卡选择命令了，被选中的卡片将作出对选择的应答(Select AcKnowledge,SAK)。
(4) 防冲突和卡选择命令还有一个区别就是，卡选择命令有CRC_A校验，而防冲突命令没有CRC_A校验。
(5) 如果卡片卡号是4个字节，防冲突选择的命令码是0x93。
(6) 如果卡片卡号是7个字节，则要进行两个层次(cascade level)的防冲突选择，第一层(cascade level 1)的命令码是0x93；卡号的前3个字节参加；第二层(cascade level 2)的命令码是0x95，卡号的后4个字节参加。
(7) 如果卡片卡号是10个字节，则要进行三个层次(cascade level)的防冲突选择，第一层(cascade level 1)的命令码是0x93,卡号的前3个字节参加；第二层(cascade level 2)的命令码是0x95，卡号的第4、5、6个字节参加；第三层(cascade level 3)的命令码是0x97，卡号的后4个字节参加。
(8) 大家可能已经发现，前面说每个防冲突循环需要32bit的卡号参加，后面又说可以3个字节(24bit)参加，是不是前后矛盾？是的，为了凑够32bit，如果只有3个字节的卡号参加防冲突循环，则卡片自动在3个卡号字节之前增加一个字节0x88,这个0x88被称为层标签(cascade tag)，从而满足防冲突循环对32bit卡号的要求。
(9) 每一层的防冲突选择循环如果卡被选中，卡片都要返回“选择应答”(Select AcKnowledge,SAK),告诉读写器是否需要下一层的防冲突选择循环以及是否遵守ISO14443-4。
12.最后再次强调以上就是“共同遵守ISO14443A”的含义，也就是从卡片进入磁场到卡片被选中，它们的操作流程都是一样的。之后大家便分道扬镳，有的继续遵守ISO14443-4，有的开始验证密码，有的就直接可以进行读写操作了。
2.2 M系列卡的三次相互认证
射频识别系统中由于卡片和读写器并不是固定连接为一个不可分割的整体，二者在进行数据通讯前如何确信对方的合法身份就变得非常重要。根据安全级别的要求不同，有的系统不需认证对方的身份，例如大多数的TTF模式的卡片；有的系统只需要卡片认证读写器的身份或者读写器认证卡片的身份，称为单向认证；还有的系统不仅卡片要认证读写器的身份，读写器也要认证卡片的身份，这种认证我们称为相互认证。Mifare系列卡片中的认证就是相互认证。
最常见的认证是使用密码或者叫口令，就像特务见面，只要说对了口令(密码)就可以确信对方是自己人。直接说口令(密码)存在巨大的风险，万一被别人听到了后果不堪设想，所以最好不要直接说出密码，而是通过某种方式（运算）把密码隐含在一串数据里，这样不相干的人听到了也不知道什么意思。为了让隐含着密码的这一串数据没有规律性，对密码运算时一定要有随机数的参加。于是最常见的相互认证是双方见面时一方给另一方一个随机数，让对方利用密码和约定的算法对这个随机数进行运算，如果结果符合预期则认证通过，否则认证不通过。
“3”真是一个神奇的数字：做事的时候“三思而后行”才不会犯大错；刘备“三顾茅庐”才把诸葛亮请出山；TCP协议中经过“三次握手”就可以确信双方的连接是成功的。Mifare系列卡片采用的相互认证机制也被称为“三次相互认证”，如下图所示。
卡片认证读写器的合法性，先向读写器发送一个随机数，读写器用事先约定的有密码参与的算法对随机数进行运算，然后把运算的结果回送给卡片，卡片收到后检查这个结果对不对，如果对就通过认证，不对就没有通过认证，其情形就是上图中的图a。
读写器认证卡片也是向卡片发送一个随机数，卡片用事先约定的有密码参与的算法对随机数进行运算，然后把运算的结果回送给读写器，读写器收到后检查这个结果对不对，如果对就通过认证，不对就没有通过认证，其情形就是上图中的图b。
可见卡片和读写器认证对方时都是给对方一个随机数，对方返回对随机数的运算结果。这样的“一来一回”我们称之为“两次相互认证”。那么卡片与读写器互相认证就需要两个“一来一回”，应该称为“四次相互认证”才对啊？为什么是“三次相互认证”呢？上图中表现的很明显，读写器在回送对卡片随机数的运算结果时搭了一次便车，把自己认证卡片的随机数也一同送了过去，从而减少了一次数据传送，四次相互认证就变成了“三次相互认证”。
完整的相互认证过程如下：卡片先向读写器发送一个随机数B，读写器用事先约定的有密码参与的算法对随机数B进行运算，然后把运算的结果连同随机数A一起送给卡片，卡片收到后先检查读写器对随机数B运算的结果对不对，如果不对就不再往下进行，如果正确就对随机数A用事先约定的有密码参与的算法进行运算，然后把运算的结果送给读写器，读写器收到后检查这个结果对不对，如果对就通过认证，不对就没有通过认证，其情形就是上图中的图c。
认证的过程中多次提到“事先约定的算法”，到底是什么样的算法呢。这个没有具体规定，但有一个要求是必须的，就是这个算法一定要有密码和随机数的参与。比如Desfire中使用3DES算法，卡片的主密钥作为DES密钥对随机数进行DES运算。双方使用的“算法”以及“参加运算的密码”可以相同，也可以不同，这要看双方的约定。
认证完成后随机数也并不是就没有用了，这两个随机数的组合可以作为下一步操作的数据加密密钥，Desfire中就是这样。
2.3 Mifare UltraLight（MF0）
Mifare UltraLight又称为MF0，从UltraLight(超轻的)这个名字就可以看出来，它是一个低成本、小容量的卡片。低成本，是指它是目前市场中价格最低的遵守ISO14443A协议的芯片之一；小容量，是指其存储容量只有512bit(Mifare S50有8192bit)。
Mifare UltraLight的512bit存储容量分成16个Page，每个Page包含4个字节，如下图所示：
Page0和Page1以及Page2的第1个字节是卡片的7字节序列号及其校验字节，其中BCC0=0x88⊕SN0⊕SN1⊕SN2，BCC1=SN3⊕SN4⊕SN5⊕SN6，SN0是制造商代码，由于Mifare UltraLight是NXP公司出品，因而SN0固定为04H。Page2的第2个字节Internal作为内部数据保留。以上共10个字节出厂时固化在存储区内，用户无法更改。
Page3是一次性烧录(One Time Programmable,OTP)页,该页的内容在卡片出厂时全部被写为“0”，用户使用时只能把某一位的内容写为“1”，而永远也不能把“1”写为0，也就是说，新写入的4字节内容与卡内原来的内容进行异或，异或后的结果存储在卡片中。
Page4-Page15是可读写的用户数据区，出厂时其内容初始化为0，用户可以任意读写。
Page2的第3和第4个字节用于将存储区锁定为只读。如下图所示，L4-L15的某一位设置为1，则对应序号的Page内容锁定为只读，每一个Page都可以单独设置。Lotp用于锁定Page3为只读。“螳螂捕蝉，黄雀在后”，Lotp-L15可以锁定别人，这些位本身又被三个BL位锁定，BL15-10用于锁定L15-L10，BL9-4用于锁定L9-L4，BLotp用于锁定Lotp。所有的这16个锁定位也具有OTP特性，通俗的讲就是这些“锁”没有“钥匙”，一旦锁死就再也改不回来了，所以锁定时一定要小心。
Mifare UltraLight的读写操作和 Mifare S50是完全兼容的，这里的“兼容”是指二者可以使用同一个读卡器硬件，同一套软件。当然若软硬件完全相同就不是两种卡了，二者的区别主要体现在软件操作上，包括以下4个方面：
一是Mifare UltraLight的卡序列号有7个字节，而Mifare S50的卡序列号只有4个字节，因此在卡片防冲突选择阶段需要两层(Cascade，93H和95H)操作；
二是Mifare UltraLight没有密码，不需要验证；
三是Mifare UltraLight的Page相当于Mifare S50的BLOCK，因此Mifare UltraLight有16个BLOCK，且每个BLOCK只有4个字节，而Mifare S50有64个BLOCK,每个BLOCK有16个字节；
四是Mifare UltraLight没有电子钱包功能。
基于以上四点，在Mifare S50的程序中在卡请求命令成功执行后，如果判断卡类型字节为Mifare UltraLight(0044H),则在之后的操作中增加第二层防冲突选择，卡选择成功后直接对卡片的0-15块进行读写操作，每次读写只关注前4个字节，不使用电子钱包功能，这样就可以两种卡片完全兼容了。
Mifare UltraLight适合一次性、不需要回收的低成本的电子票证、景区门票等场合的解决方案，据说推出Mifare UltraLight的本来目的是想与125KHz的ID卡竞争，并作为磁条卡的替代方案。从目前的情况看，Mifare UltraLight与ID卡的竞争情况并不乐观，而磁条卡的替代品也大多是ID卡。
2.4 Mifare S50与Mifare S70（MF1）
2.4.1 Mifare S50与S70的简单介绍
Mifare S50和Mifare S70又常被称为Mifare Standard、Mifare Classic、MF1，是遵守ISO14443A标准的卡片中应用最为广泛、影响力最大的的一员。而Mifare S70的容量是S50的4倍，S50的容量是1K字节，S70的容量为4K字节。读写器对卡片的操作时序和操作命令，二者完全一致。
Mifare S50和Mifare S70的每张卡片都有一个4字节的全球唯一序列号，卡上数据保存期为10年，可改写10万次，读无限次。一般的应用中，不用考虑卡片是否会被读坏写坏的问题，当然暴力硬损坏除外。
Mifare S50和Mifare S70的区别主要有两个方面。一是读写器对卡片发出请求命令，二者应答返回的卡类型(ATQA)字节不同。Mifare S50的卡类型(ATQA)是0004H，Mifare S70的卡类型(ATQA)是0002H。另一个区别就是二者的容量和内存结构不同。
Mifare S50把1K字节的容量分为16个扇区(Sector0-Sector15)，每个扇区包括4个数据块(Block0-Block3，我们也将16个扇区的64个块按绝对地址编号为0~63)，每个数据块包含16个字节(Byte0-Byte15)，64*16=1024。
如下表所示：
Mifare S70把4K字节的容量分为40个扇区(Sector0-Sector39)，其中前32个扇区(Sector0-Sector31)的结构和Mifare S50完全一样，每个扇区包括4个数据块(Block0-Block3)，后8个扇区每个扇区包括16个数据块(Block0-Block15)。我们也将40个扇区的256个块按绝对地址编号为0~255)，每个数据块包含16个字节(Byte0-Byte15)，256*16=4096。如下表所示：
每个扇区都有一组独立的密码及访问控制，放在每个扇区的最后一个Block，这个Block又被称为区尾块，S50是每个扇区的Block3，S70的前32个扇区也是Block3，后8个扇区是Block15。
S50和S70的0扇区0块（即绝对地址0块）用于存放厂商代码，已经固化，不可更改，卡片序列号就存放在这里。除了厂商块和控制块，卡片中其余的块都是数据块，可用于存贮数据。数据块可作两种应用：
(1) 用作一般的数据保存，可以进行读、写操作。
(2) 用作数据值，可以进行初始化值、加值、减值、读值操作。
数据块和值块有什么区别呢？无论块中的内容是什么，你都可以把他看成普通数据，即使它是一个值块。但是并不是任何数据都可以看成是值，因为值块有一个比较严格的格式要求。值块中值的长度为4个字节的补码，其表示的范围(-2147483648～2147483647),值块的存储格式如下：
带下划线表示取反。VALUE是值的补码，addr是块号(0-63).只有具有上述格式，才被认为是值块，否则就是普通的数据块。
每个扇区的区尾块为控制块，包括了6字节密码A、4字节存取控制、6字节密码B。例如一张新出厂的卡片控制块内容如下：
A0 A1 A2 A3 A4 A5 FF 07 80 69 B0 B1 B2 B3 B4 B5
密码A 存取控制 密码B 新卡的出厂密码一般是密码A为A0A1A2A3A4A5，密码B为B0B1B2B3B4B5，或者密码A和密码B都是6个FF。存取控制用以设定扇区中各个块(包括控制块本身)的存取条件，这部分有点复杂，后面将专文介绍。
读写器与S50和S70的通讯流程如下图所示：
卡片选择和三次相互认证在前面已经介绍过。其他操作如下：
(1) 读 (Read)：读取一个块的内容，包括普通数据块和值块；
(2) 写 (Write): 写数据到一个块，包括普通数据块和值块，值块中写入了非法格式的数据，值块就变成了普通数据块；
(3) 加（Increment）：对值块进行加值，只能对值块操作；
(4) 减（Decrement）：对值块进行减值，只能对值块操作；
(5) 中止（Halt）：将卡置于睡眠工作状态，只有使用WAKE-UP命令才能唤醒。
事实上加值和减值操作并不是直接在Mifare的块中进行的。这两个命令先把Block中的值读出来，然后进行加或减，加减后的结果暂时存放在卡上的易失性数据寄存器(RAM)中，然后再利用另一个命令传输（Transfer）将数据寄存器中的内容写入块中。与传输（Transfer）相对应的命令是存储（Restore），作用是将块中的内容存到数据寄存器中，不过这个命令很少用到。
2.4.2 Mifare S50与S70的存取控制
存取控制指符合什么条件才能对卡片进行操作。
S50和S70的块分为数据块和控制块，对数据块的操作有“读”、“写”、“加值”、“减值(含传输和存储)”四种，对控制块的操作只有“读”和“写”两种。
S50和S70的每个扇区有两组密码KeyA和KeyB，所谓的“条件”就是针对这两组密码而言，包括“验证密码A可以操作(KeyA)”、“验证密码B可以操作(KeyB)”、“验证密码A或密码B都可以操作(KeyA|B)”、“验证哪个密码都不可以操作(Never)”四种条件。
这些“条件”和“操作”的组合被分成8种情况，正好可以用3位二进制数(C1、C2、C3)来表示。
数据块(每个扇区除区尾块之外的块)的存取控制如下表所示：
从表中可以看出，
C1C2C3=000(出厂默认值)时最宽松，验证密码A或密码B后可以进行任何操作；
C1C2C3=111无论验证哪个密码都不能进行任何操作，相当于把对应的块冻结了；
C1C2C3=010和C1C2C3=101都是只读，如果对应的数据块写入的是一些可以给人看但不能改的基本信息，可以设为这两种模式；
C1C2C3=001时只能读和减值，电子钱包一般设为这种模式，比如用S50做的公交电子车票，用户只能查询或扣钱，不能加钱，充值的时候先改变控制位使卡片可以充值，充完值再改回来。
控制块(每个扇区的区尾块)的存取控制如下表所示：
从表中可以看出，
密码A是永远也读不出来的，如果用户的数据块指定了验证密码A却忘了密码A，也就意味着这个数据块作废了，但本扇区其他数据块和其他扇区的数据块不受影响；
存取控制总是可以读出来的，只要别忘了密码A或密码B；
存取控制的写控制在设置时一定要小心，一旦弄成了“Never”，则整个扇区的存取条件再也无法改变，后悔都找不到地方，只能仰天长叹了；
C1C2C3=001(出厂默认值)时最宽松，除了密码A不能读之外，验证了密码A其他读写操作都可以进行；
还有一个有意思的现象是当C1C2C3=000、C1C2C3=010和C1C2C3=001时，所有的操作都不使用密码B，这时候密码B占据的6个字节可以提供给用户作为普通数据存储用，相当于每个扇区增加了6字节的用户可用存储容量。
由于卡片出厂的默认值C1C2C3=001，所以对于新买来的卡片，不要使用密码B进行认证，否则会导致区尾块和数据块都无法进行任何操作。我测试过不同厂家的新卡片，有的验证密码B后确实扇区内的所有块都无法操作，但有的卡片不能操作区尾块，却可以操作数据块，本文以NXP的原装卡为准。当然用户可以放心，新卡不让你验证密码B而你却验证了，不会对卡照成什么伤害，改回用密码A验证，卡片还是可以正常使用的。
S50的每个扇区有4个块，这四个块的存取控制是相互独立的，每个块需要3个bit，四个块共使用12个bit。在保存的时候，为了防止控制位出错，同时保存了这12个bit的反码，这样一个区的存储控制位在保存时共占用24bit的空间，正好是3个字节。我们前面说存取控制字有四个字节(区尾块的Byte6～Byte9)，实际上只使用的Byte6、Byte7和Byte8，Byte9没有用，用户可以把Byte9作为普通存储空间使用。各块控制位存储格式如下：
由于出厂时数据块控制位的默认值是C1C2C3=000，控制块的默认值是C1C2C3=001，而Byte9一般是69H，所以出厂白卡的控制字通常是FF078069H.
S70的前32个数据块结构和S50完全一致。后8个数据块每块有15个普通数据块和一个控制块。显然如果每个数据块块单独控制将需要8字节的控制字，控制块中放不下这么多控制字。解决的办法是这15个数据块分为三组，块0～４为第一组，块5～9为第二组，块10～15为第三组，每组共享三个控制位，也就是说每组控制位C1C2C3控制5个数据块的存取权限，从而与前32个扇区兼容。
2.4.3 Mifare1的安全性及7字节序列号M1卡
Mifare1的安全性主要指卡中数据的安全性，要求卡中的数据不能被非法修改或窃听。数据的安全性主要使用加密技术来保证，加密技术有两个关键因素：加密算法和密钥。现代加密技术的一大特点是加密算法公开，如果加密密钥和解密密钥相同，则称为对称加密，密钥不能公开；如果加密和解密密钥不同，则可以公开其中一个密钥(公钥)，另一个不公开(私钥)。加密破解的实质就是如何获得不公开的密钥。
Mifare1中使用了一种称为“crypto1”的加密算法。遗憾的是，这是一种不公开的私有算法。就本人目前所知，这种算法先在卡片与读写器之间进行三次相互认证，认证成功才能进行对卡片的读、写、加值、减值等后续操作，这些操作使用“crypto1”加密流。三次认证的原理与步骤我们是清楚的，但具体采用了什么算法却不得而知，可以确定的是，认证过程中使用了4字节卡序列号、6字节密码和1字节数据块号。
不公开的好处是卡片市场的排他性，而且过去的事实已经证明，NXP的这种做法在市场上取得了巨大的成功。不公开算法的潜在危害也同样显而易见，这种没有经过黑客们攻击考验的加密算法，它的市场应用是如此的大，一旦算法被破解，所有使用这种卡片的应用都将受到威胁。
不幸的是，自2007年以来，Mifare Classic芯片逐步被破解。国外已经有高手，即使在不需要使用合法读卡器的情况下，一种新的攻击能够在300次查询内获得任意扇区的密钥；如果使用合法读卡器，另外一种攻击获得密钥仅需要40毫秒。而且网上已经有“crypto1”的原理图及相关破解源代码。
面对M1卡片这些现实的风险，作为用户应该怎么办呢？其实也大可不必惊慌。任何一种安全算法都不会是100%安全的，任何一种算法都有一种叫做“穷举”的方法可以破解它。一方面“crypto1”虽然被破解，但通常需要一定的破解硬件设备，并要求破解者有一定的专业水平；另一方面对于多数小金额应用的卡片来说，破解的风险与收益也是破解者必须考虑的因素；更重要的是，我们不能一棵树上吊死，可以采取其他的方法协助“crypto1”算法用于防破解，比如一卡一密、对M1卡进行升级、将M1卡联网使用等。
Mifare1的应用如此广泛，而当初设计时它的序列号只有4个字节，为了保证卡序列号的全球唯一性，所有的卡号都占满了也就能生产40多亿张，这样的容量很难满足日益增长的对Mifare1的庞大需求，于是市场上开始出现7字节序列号的M1卡。用户在使用这些7字节M1卡片时会经常会遇到一种现象，就是各个厂家生产的7字节M1卡片有时差异巨大，读写器无法兼容。出现这种情况主要有两个原因。一是经典M1卡片只有4字节卡序列号，只需要一个层次(cascade)的防冲突循环就可以选中卡片；而7字节序列号的M1卡片需要两个层次的防冲突循环才能选中卡片。但是有些卡片并不需要第二层的防冲突循环，如果进行了第二层的防冲突循环反而会出错。
另一个问题出在卡认证阶段。前面说了，卡认证需要4字节卡序列号、6字节密码和1字节数据块号参加。但是新卡片有7字节卡序列号，到底让哪4个字节参加认证呢？目前主要有3种情况，一是使用88H和卡号的前3个字节(也就是第一层防冲突得到的卡序列号数据)参加认证，第二种情况是使用卡号前4个字节参加认证，最后一种情况是使用卡号的后4个字节(也就是第二层防冲突得到的卡序列号数据)参加认证。
所以对于读写器的开发者来说如果你的读写器不能读取7字节卡序列号的M1卡片，可以从是否需要第二层防冲突选择和到底哪4个字节的序列号参加认证两个方面考虑。
2.5 Mifare Desfire（MF3）
2.5.1 Mifare DESFire简介
Mifare DESFire（MF3 IC D40/D41,本文以D40为例）遵守14443 TypeA协议，卡内的数据以文件形式存储，所以有人认为它是准CPU卡，主要用于安全性要求较高的非接触式领域。与普通MF1 S50不同，DESFire的数据传输速率不仅支持最基本的106Kbps，还支持212Kbps和424Kbps；其数据传送的加密方法也不再使用已经被破解的Crypto1加密流，而是使用更为安全的DES/3DES、AES加密，至少DES/3DES和AES已经经过了多年的公开检验，至今还没有被破解。
DESFire的全球唯一序列号是7字节，支持ISO14443-4和ISO7816的部分协议。7字节的序列号要使用两个防冲突循环才能读出，第一轮防冲突循环卡片返回层级代码0x88， UID的前3个字节SN0-SN2和校验码BCC0，第二轮防冲突循环返回UID的后4个字节SN3-SN6和校验码BCC1，SN0为制造商的ID号，NXP产品固定为16进制的04H.
DESFire有4K字节的非易失存储空间，典型的写时间为2ms（1ms擦除，1ms编程)。存储空间的组织采用柔性文件系统，D40卡上可同时最多支持28种应用,每种应用用一个3字节的应用标识符（AID）表示，每种应用可以设置序号为0-13的最多14组不同的密码，每种应用下可建立最多16个文件.
卡片支持5种不同的文件类型，每种类型使用一个字节的类型编码来表示。文件类型及其编码如下：
每种应用与读写器之间的通讯加密等级根据安全性不同分为3类，使用一个字节的通讯设置码来表示。通讯设置码的各个bit代表的意义如下表所示：
明文模式最简单，就是直接传送没有加密的真值，一旦被截获，黑客看到的就是真实信息；
带有MAC校验的明文传输也好不到哪里去，它是把要传送的明文用CBC模式进行DES/3DES加密，把最后一步的8字节加密输出结果中的前4字节称为MAC校验，加在要传送的明文后面，前面的明文还是明文，只不过加了个校验防止出错而已；
只有第三种完全DES/3DES密文通讯才对得起“DESFire”这个名字，这是真正的加密通讯。所有要传送的密文先用CRC16进行校验，然后明文连同CRC16校验作为一个整体使用CBC模式的DES/3DES加密，传送的是加密后的密文。黑客即使截获了也看不懂，前提是不知道DES密码。
前面叙述时经常用DES/3DES这个组合，那到底是DES还是3DES呢，二者的运算量和加密强度可是有天壤之别啊！这一点DESFire卡片采用了自动识别的方法。DES和3DES密钥的长度都是16字节，如果前8字节与后8字节相同，则自动被作为DES运算；反之，如果前8字节与后8字节不同，则自动被作为3DES运算。
D40卡片的默认出厂设置为密钥全0，单DES操作。
DESFire卡片可以为应用中的文件设置不同的读写权限，读写权限的意思就是读或写文件时是否需要验证密码，以及验证哪一组密码。读写权限使用2个字节的编码来表示，2个字节共16个bit，每4个bit表示一种权限类型：
前面说了，每种应用可以有编号为0-13的最多14组不同的密码，而4位二进制数可以表示0-15共16种组合。当4位权限码的值为0-13时，表示执行相应的读写操作要验证权限码的值指向的一组密码；当权限码的值为14时，表示不用验证任何密码可直接读写；权限码的值为15时表示冻结，就是不论什么条件也不让读写了。
DESFire的卡片命令可以分为6大类：
(1) ISO14443-3 命令
(2) ISO14443-4 命令
(3) 安全相关命令
(4) 卡片级命令
(5) 应用层命令
(6) 数据操作命令
这些命令的理解并不难，DESFire卡片的真正难点在于3次握手认证并生成段密码的过程，这部分内容我将用专门的一篇博文叙述。
2.5.2 Desfire的3次握手认证和段密码生成
3次握手认证并生成临时的通讯密钥在通讯技术中的应用非常普遍，Mifare Desfire也使用了这种成熟的认证加密方法。Desfire在卡片数据传输前使用DES或3DES进行3次握手认证，认证成功一方面表明卡片和读写器双方是可以相互信任的，同时为双方之后的数据传送提供了一组临时使用的段密码进行加密保护。
DES/3DES的基本运算包括加密和解密，Desfire卡片规定，当读写器(PCD)与卡片(PICC)进行DES/3DES运算时，卡片总是进行加密运算，与之对应，读写器总是进行解密运算。DES密钥有16个字节，如果前8个字节与后8个字节相同，则进行DES运算，反之如果前8个字节和后8个字节不同，则进行3DES运算。如下表所示：
DES/3DES运算每次操作8字节，如果数据不足8字节，必须填充为8字节，填充的数据通常是00，如果正好要进行DES运算的数据是“00 00 00”（比如“读取所有数据”命令），则填充一个0x80，后面再填充00。
所有的DES/3DES操作使用密码块链接模式（CBC），即上一次DES运算的结果作为下一次运算的初始向量。发送数据使用发送CBC模式，接收数据使用接收CBC模式。第一次运算的初始向量规定为8字节的00.
以下描述3次握手认证和段密码产生的过程及实例，假设卡片密码为16个00：
第一步：读写器作为发起认证的主导方，向卡片发送认证(Authenticate)命令，并携带一个表示密码序号的参数(卡片上每种应用可以最多有14组不同的密码，其序号为0-D)。如果选定的应用标识符AID为0，那么认证将指向卡片的主密码(卡片密钥)，在此情况下，密码序号必须为0。如果AID不为0，则认证的是某一应用的密码。卡片进入磁场上电复位后将默认选中AID为0。也就是说卡片复位的首次密码认证总是指向卡片主密码。如果卡片上不存在指定的密码组号，卡片将返回一个错误码。
第二步：卡片用读写器指定的密码加密一组8字节的随机数RndB，例如RndB＝98 E4 EE 2E 8B 4B F7 B1，加密方法使用DES/3DES，其结果用ek（RndB）表示，此处ek（RndB）＝61 58 F4 51 8A 25 9B 00，并把ek（RndB）返回给读写器。
第三步：读写器用待认证的密码16个00，对收到的ek（RndB）进行DES/3DES解密从而得到RndB＝98 E4 EE 2E 8B 4B F7 B1。接下来读写器对RndB进行8位闭合左循环，从而将第一个字节移到了最后一个字节的位置，结果记为RndB’，RndB’＝E4 EE 2E 8B 4B F7 B1 98。然后读写器自己产生一个8字节的随机数RndA，例如RndA＝00 11 22 33 44 55 66 77,并与RndB’连接起来组成RndA+RndB’＝00 11 22 33 44 55 66 77 E4 EE 2E 8B 4B F7 B1 98共16字节，使用CBC模式的DES/3DES解密运算，得到的结果称为dk（RndA+RndB’）＝74 F4 AE 77 7A A4 31 E8 4B 18 BA 8F 74 CF 80 63发送给卡片。
第四步：卡片收到16字节dk（RndA+RndB’）后执行DES/3DES加密运算，得到结果RndA+RndB’。卡片首先将自己原来的RndB大循环左移8位，看结果是否等于RndB’，如果不相等，卡片将停止认证过程，并回送一个错误码。如果相等，证明卡片使用的密码和读写器使用的密码一致，卡片将获得的RndA也大循环左移8位得到RndA’=11 22 33 44 55 66 77 00，然后对RndA’进行DES/3DES加密运算，得到的结果称为ek（RndA’）=F1 81 F7 32 6D CD 86 A6回送给读写器。
第五步：读写器收到ek（RndA’）后执行DES/3DES解密从而得到Rnd A’，并把自己之前产生的RndA大循环左移8位，得到的结果与Rnd A’比较，如果不相等，读写器将退出认证过程并可将卡片休眠。
第六步：卡片将当前的应用设置为通过认证状态，如果AID=0，则将卡片本身设置为通过认证状态。
第七步：如果双方所有的比较都成功，通过组合RndA和RndB得到一个16字节的段密码，组合的方法如下：
段密码=RndA第一部分+RndB第一部分+ RndA第二部分+RndB第二部分
对于本文中的例子，产生的段密码为
00 11 22 33 98 E4 EE 2E 44 55 66 77 8B 4B F7 B1
之所以采取这种组合方法产生段密码是为了避免恶意的读写器通过将RndA=RndB而将3DES运算强行转化为DES运算。如果之后的数据传输确实想使用单DES操作（使段密码的前8字节与后8字节相等），应使用前8个字节，即RndA第一部分+RndB第一部分，而不能使用后8个字节。
得到16字节的段密码后，3次相互握手认证完成。如果之后的通讯是DES/3DES加密传输，则使用刚产生的16字节段密码作为临时的DES密钥。
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
