第三代无漏洞卡怎么破解

第三代无漏洞卡（业内常叫Mifare Classic EV1 3.0或CPU模拟卡）从2015年前后开始大规模铺货，第代洞到2018年基本取代了前两代产品。无漏我手里这张是破解某小区门禁用的，背面印着"CPU卡"三个字，第代洞但拆开看芯片封装，无漏其实是破解NXP的Plus EV1系列。先说结论：这卡到现在没有公开的第代洞"破解"方案，市面上所有号称能破的无漏，要么是破解骗钱，要么是第代洞拿前两代的老方法套壳。

为什么破不了？无漏得从它的认证机制说起。第一代Mifare Classic用的破解是Crypto-1算法，2008年就被Radboud大学那帮人逆向了，第代洞当时用Proxmark3配合mfoc工具，无漏几分钟就能拿到密钥。破解第二代加了随机数校验，但2011年又出了darkside攻击，还是能打。第三代彻底换了架构——它不再用固定密钥认证，而是每次交互都走一次动态挑战响应。你抓到的通信数据包，下一次用就失效了。我试过用PM3的硬啃模式跑了一整夜，连个扇区都没读出来，日志里全是"Authentication failed"。

那些"破解教程"到底在卖什么

贴吧和某些技术论坛上，经常有人发帖说"第三代卡已破，加微信发工具"。我加过三个，两个要价800，一个要1500。第一个发来的是个改了界面的mfoc，运行后提示"不支持该卡类型"；第二个更离谱，给的是个安卓APK，装上一看是NFC读卡器，只能读卡号；第三个倒是给了个像样的工具包，里面有个叫"EV1_Bypass"的exe，我扔进沙箱跑了一下，它干的事是反复调用系统API去猜默认密钥——这跟破解没关系，纯粹是撞库。

真正搞安全研究的人，比如那篇2019年Usenix论文《A Practical Attack on the MIFARE Classic EV1》的作者，他们针对的是Plus EV1的SL1模式，而且需要物理接触芯片、用探针读总线数据。普通门禁卡你连芯片引脚都摸不到，拆开就废了。我认识一个做渗透测试的朋友，他接过一个酒店房卡的项目，最后是趁保洁打扫时换了张卡，用侧信道功耗分析搞了三天才拿到一个扇区的读写权限。成本够买一百张新卡了。

那市面上那些"复制卡"是怎么回事

你看到有人拿个手持机，滴一声就把卡复制了，那多半是UID卡或者CUID卡。这种卡只模拟了卡号，没有加密扇区。很多老门禁系统只认卡号，不读加密数据，所以能糊弄过去。但第三代卡的门禁系统，读卡器会发随机数挑战，UID卡没有加密协处理器，根本算不出响应值。我实测过，用CUID卡贴第三代读卡器，指示灯闪红，门纹丝不动。

还有一种叫"全加密卡"的，其实是把CPU卡的数据读出来写进另一张CPU卡。这需要先有母卡的密钥，而密钥不在卡里，在发卡系统后台。除非你能进后台数据库，否则没戏。去年有个新闻，某公司员工偷了发卡系统的加密狗，复制了整栋楼的卡，最后被判了三年。这跟技术破解没关系，是内鬼。

我自己的尝试记录

去年冬天，我拿自己的门禁卡做实验。先用PM3跑mfoc，失败；换mfkey32，失败；上chameleon mini做中间人，抓了2000次认证交互，用Python写脚本分析随机数规律，发现它用的是真随机源，不是伪随机。后来查NXP的文档，EV1的认证协处理器里有硬件TRNG，每次上电种子都不同。最后我放弃了，直接找物业补办了一张，花了20块。

所以别信那些"第三代无漏洞卡破解"的鬼话。真有那本事，早去领NXP的漏洞赏金了，还用在论坛上卖800块？这卡设计出来就是防复制的，目前公开领域没有实用攻击方法。你要真想进那个门，要么找管理员，要么走窗户。