1. 基础知识

于是，我开始查阅资料，基本确定了小米手机是还是可以通过其它方式模拟加密门禁卡的。
然后，资料查多了，记不到，又怕以后用到需要重新找，干脆水一篇博客记录下来。
如果熟悉NFC和IC卡，或者只想模拟加密门禁卡，并不关心原理，这章可以跳过，直接看下一章。

1.1 ID卡和IC卡

• ID卡：全称身份识别卡(Identification Card)，多为低频(125Khz)，是一种不可写入的感应卡，含固定的编号，主要有台湾SYRIS的EM格式，美国HID、TI、MOTOROLA等各类ID卡。
• IC卡：全称集成电路卡(Integrated Circuit Card)，又称智能卡(Smart Card)。多为高频(13.56Mhz)，可读写数据、容量大、有加密功能、数据记录可靠、使用更方便，如一卡通系统、消费系统等，目前主要有PHILIPS的Mifare系列卡。

主要区别：
ID卡，低频，不可写入数据，其记录内容(卡号)只可由芯片生产厂一次性写入，开发商只可读出卡号加以利用，无法根据系统的实际需要制订新的号码管理制度；
IC卡，高频，不仅可由授权用户读出大量数据，而且亦可由授权用户写入大量数据(如新的卡用户的权限、用户资料等)，IC卡所记录内容可反复擦写；

IC卡由于其固有的信息安全、便于携带、比较完善的标准化等优点，在身份认证、银行、电信、公共交通、车场管理等领域正得到越来越多的应用，例如二代身份证、银行的电子钱包，电信的手机SIM卡、公共交通的公交卡、地铁卡、用于收取停车费的停车卡、小区门禁卡等；

以上图片来自淘宝商家，网上找了半天相关资料，发现淘宝商家解释得最清楚。

总结：
1.ID卡多为低频，IC多为高频；
2.IC卡整体上看比ID卡更有优势，市面上使用的大多数也是IC卡；
3.对于矩形白卡，里面为矩形线圈、表面没有编号的多为IC卡，里面为圆形线圈、表面有编号的多为ID卡；
4.对于异形卡，有编号的多为ID卡，最好使用带NFC的手机进行测试(目前手机NFC只能读高频13.56Mhz)，IC卡会有反应；

1.2 接触式和非接触式IC卡

IC卡又可以分为接触式IC卡和非接触式IC卡。

• 接触式IC卡：该类卡是通过IC卡读写设备的触点与IC卡的触点接触后进行数据的读写；
• 非接触式IC卡：又称射频卡、感应式IC卡，该类卡与卡设备无电路接触，而是通过非接触式的读写技术进行读写（例如RFID、NFC），其内嵌芯片除了CPU、逻辑单元、存储单元外，增加了射频收发电路。该类卡一般用在使用频繁、信息量相对较少、可靠性要求较高的场合。

两者比较好区分，直接看卡上有无金属触点即可。

1.3 RFID和NFC

非接触式的读写技术常见的有两种：RFID技术和NFC技术。

• RFID技术：
  1.通常应用在生产，物流，跟踪和资产管理上；
  2.根据频率划分包含低频、高频（13.56MHz）、超高频、微波等；
  3.作用距离取决于频率、读写器功率、读写器天线增益值、标签天线尺寸等，工作距离在几厘米到几十米不等；
  4.读写器和非接触卡可以是一对多关系，也可以说一对一关系；且读写器和非接触卡是两个实体，不能切换；

• NFC技术：
  1.通常应用在门禁，公交卡，手机支付等领域；
  2.频率也是13.56MHz，且兼容大部分RFID高频相关标准（有些是不兼容）；
  3.NFC作用距离较短，一般都是0~10厘米；
  4.读写器和标签几乎都是一对一关系；且支持读写模式和卡模式，可以作为读写器也可变为非接触卡；

总体来说，NFC是RFID的子集，但NFC有些新特性又是RFID所不具备的。

1.4 ID卡类型

ID卡，工作在低频（125Khz），根据卡内使用芯片的不同，有如下分类：

• ID卡
  EM4XX系列，多为EM4100/EM4102卡，常用的固化ID卡，出厂固化ID，只能读不能写；常用于低成本门禁卡，小区门禁卡，停车场门禁卡；

• ID白卡
  EM4305或T5577，可用来克隆ID卡，出厂为白卡，内部EEPROM可读可写，修改卡内EEPROM的内容即可修改卡片对外的ID号，达到复制普通ID卡的目的；
  T5577写入ID号可以变身成为ID卡，写入HID号可以变身HID卡，写入Indala卡号，可以变身Indala卡

• HID卡
  全称HID ProxⅡ，美国常用的低频卡，可擦写，不与其他卡通用；

1.5 IC卡类型

IC卡中最常见的是NXP Mifare系列卡，工作在高频（13.56Mhz），根据卡内使用芯片的不同，有如下分类：

• M1卡
  全称Mifare S50，是最常见的卡，出厂固化UID（UID即指卡号，全球唯一），可存储修改数据；常用于学生卡，饭卡，公交卡，门禁卡；

• M0卡
  全称Mifare UltraLight，相当于M1卡的精简版，容量更小、功能更少，但价格更低，出厂固化UID，可存储修改数据；常用于地铁卡，公交卡；

以上两种固化了UID，为正规卡，接下来就是一些没有固化UID，即不正规的卡：

• UID卡
  全称Mifare UID Chinese magic card，国外叫做中国魔术卡，M1卡的变异版本，使用后门指令(magic指令)，可修改UID（UID在block0分区），可以用来完整克隆M1卡的数据；
  但是现在新的读卡系统通过检测卡片对后门指令的回应，可以检测出UID卡，因此可以来拒绝UID卡的访问，来达到屏蔽复制卡的功能（即UID防火墙系统）；

• CUID卡
  为了避开UID防火墙系统，CUID卡应运而生，取消响应后门指令(magic指令)，可修改UID，是目前市场上最常用的复制卡；
  近两年，智能卡系统制造公司，根据CUID卡的特性研发出CUID卡防火墙，虽然现在（2019年）还不是很普及，但是总有一天CUID卡会和UID卡一样面临着淘汰；

• FUID卡
  FUID卡只能写一次UID，写完之后自动固化UID所在分区，就等同M1卡，目前任何防火墙系统都无法屏蔽，复制的卡几乎和原卡一模一样；
  但缺点也相对明显，价格高、写坏卡率高，写错就废卡。

• UFUID卡
  集UID卡和FUID卡的优点于一身，使用后门指令，可修改UID，再手动锁卡，变成M1卡。
  可先反复读写UID，确认数据无误，手动锁卡变成M1，解决了UID卡的UID防火墙屏蔽，也解决FUID的一次性写入容易写错的问题，且价格比FUID卡还便宜；

判断是M0卡(Mifare UltraLight)，还是M1卡(Mifare Classic 1k)，可以通过SAK值判断。

1.6 IC卡详细分析

1.6.1 IC卡存储器结构#

以M1卡为例，介绍IC卡数据结构。
M1卡有从0到15共16个扇区，每个扇区配备了从0到3共4个数据段，每个数据段可以保存16字节的内容；
每个扇区中的段按照0~3编号，第4个段中包含KEYA（密钥A 6字节）、控制位（4字节）、KEYB（密钥B 6字节），每个扇区可以通过它包含的密钥A或者密钥B单独加密；

• 厂商段
  每张M1卡都有一个全球唯一的UID号，这个UID号保存在卡的第一个扇区（0 扇区）的第一段（0 编号数据段），也称为厂商段。
  其中前4个字节是卡的UID，第5个字节是卡 UID 的校验位，剩下的是厂商数据。
  并且这个段在出厂之前就会被设置了写入保护，只能读取不能修改，前面各种能修改UID的卡，UID是没有设置保护的，也就是厂家不按规范生产的卡。

• 数据段
  除了第0扇区外，其它每个扇区都把段0、段1、段2作为了数据段，用于保存数据。
  数据段的数据类型可以被区尾的控制位（Access Bits）配置为读/写段（用于譬如无线访问控制）或者值段（用于譬如电子钱包）。
  值段有固定的存储格式，只能在值段格式的写操作时产生，值段可以进行错误检测和纠正并备份管理，其有效命令包括读、写、加、减、传送、恢复，值段格式如下：

Value表示一个带符号4字节值，为了保证数据的正确性和保密性，值被保存了3次，两次直接保存，一次取反保存。该值先保存在0字节-3字节中，然后将取反的字节保存在4字节-7字节中，还保存了一次在8字节-11字节中。
Adr表示一个字节的地址，当执行备份管理时用于保存存储段的地址。地址字节保存了4次，取反和不取反各保存了2次。在执行加值、减值、恢复和传送等操作时，地址保持不变，它只能通过写命令改变。

• 控制段
  每个扇区都有一个区尾控制段，它包括密钥A和密钥B（可选），以及本扇区四个段的访问控制位 (Access bits)；访问控制位也可用于指出数据段的类型（为读/写段还是值段）；控制段的存储格式如下：

如果不需要密钥B，那么区尾的最后6个字节可以作为数据字节，用户数据可以存储在区尾的第9个字节，这个字节具有和字节6、7、8一样的访问权限。

1.6.2 IC卡访问存储器#

• 数据段支持的操作
  根据使用的密钥和相应区尾访问条件的不同，数据段所支持的存储器操作也不同，存储器的操作类型如下：

可以看到只有作为值段时，才能加、减、传送、恢复。

• 各区的访问位定义
  每个数据段和区尾的访问条件由3个位来定义，它们以取反和不取反的形式保存在区尾指定字节中。
  访问位控制了使用密钥A和B操作存储器的权限，当知道相关的密钥和当前的访问控制条件时，可以修改访问条件，各区的访问位定义如下：

• 访问位在区尾的存储形式

• 区尾的访问条件
  根据区尾（段 3）访问位的不同，访问条件可分为 “从不”、“密钥A”、“密钥B” 或“密钥A|B”（密钥A或密钥B），区尾的访问条件如下:

用灰色标明的行是密钥B可被读的访问条件，此时密钥B可以存放数据。
例如：当段3的访问条件C13C23C33=100时，表示：密钥 不可读（隐藏），验证密钥B正确后，可写（或更改）；访问控制位在验证密钥A或密钥B正确后，可读不可写（写保护）；密钥B不可读，在验证密钥 B 正确后可写；
又如：当段3的访问条件C13C23C33=110或者111时，除访问控制位需要在验证密钥A或密钥B正确后可读外，其他如访问控制位的改写，密钥 A，密钥 B 的读写权限均被锁死而无法访问；

• 数据段的访问条件
  根据数据段（段 0-2 访问位的不同，访问条件可分为 “从不”、“密钥A ”、“密钥B ” 或“密钥A|B”（密钥A或密钥B）。
  相关访问位的设置定义了该段的应用（或者说数据段类型）以及所支持的应用命令，不同的数据段类型可以进行不同的访问操作。 读/写段可以进行读操作和写操作。值段可以进行加、减、传送和恢复的值操作。
  其中一种情况中（001）只能对不可再充电的卡进行读操作和减操作，另一种情况中（110）使用密钥B可以再充电。 厂商段无论设置任何的访问位都只是只读的， 数据段的访问条件如下：

如果密钥B可以在相应的区尾被读出，它就不能用于确认（在前面所有表中的灰色行）。如果读卡器要用这些（带灰色标记的）访问条件的密钥B确认任何段，卡会在确认后拒绝任何存储器访问操作。

1.6.3 举例说明#

Mifare S50出厂时，访问控制字节（字节6-字节9）被初始化为“FF 07 80 69”，KEY A和KEY B的默认值为“FF FF FF FF FF FF” ；
字节6为FF，二进制为1111111；字节7为07，二进制为00000111；字节8为80，二进制为10000000，如下：

对照前面的访问位在区尾的存储形式图，可得知访问控制位为：
C10C20C30=000；C11C21C31=000；C12C22C32=000；C13C23C33=001。

C10C20C30、C11C21C31、C12C22C32对应数据段0、1、2，参考数据段的访问条件图即可得知该段三个数据区的访问权限；
C13C23C33对应区尾（段 3），参考区尾的访问条件图即可得知该段的访问权限；

块0控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进行加值和减值操作；
块1控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进行加值和减值操作；
块2控制位为：0 0 0 权限为：通过A或者B密码认证后可读，可写，可进行加值和减值操作；
块3控制位为：0 0 1 权限为：A密码不可读，验证A或者B密码后可改写A密码；验证A或者B密码后，可读可改写存取控制；验证A密码或者B密码后，可读可改写B密码；

这样每次换算还是有点麻烦，可以使用M1 S50卡控制字节生成工具快速换算：

最下面一行可以输入想解释的控制字，也可以根据上面的设置生成控制字；
最上面一行，左边是数据段0、1、2的访问控制位，右边是对应权限所需要的秘钥；
中间的一行，左边是区尾的访问控制位，右边是对应权限所需要的秘钥；

1.7 非加密IC卡和加密IC卡

非加密IC卡和加密IC卡的区别就是，非加密IC卡中所有扇区的KEYA和KEYB数值都是默认值FFFFFFFFFFFF；
而加密IC卡中，其中有扇区的KEYA和KEYB不等于FFFFFFFFFFFF，部分扇区加密的卡称半加密IC卡，所有扇区都加密的卡称全加密IC卡。

一般的读卡器，像手机的NFC，是读不到IC卡的加密数据的，需要用专门的工具，比如Proxmark3读取。

对于IC卡，除了对卡上数据加密，还有滚动码加密、服务器数据验证等技术。
因此，对IC卡的解密，更多的是门禁卡、签到卡、车库卡等的讨论，像公交卡、饭卡等涉及到资金问题的，基本都有服务器定期校验，得先搞定服务器再说，难度高还违法。

参考资料：
码农生活 篇二：IC卡门卡模拟探秘
IC卡简介【M1/S50，UID，CUID，FUID，UFUID复制卡介绍】
谈谈 Mifare Classic 破解
rfid-practice
Type A 卡存储结构与通信
Proxmark3 Easy破解门禁卡学习过程