security - RFID 卡编程加密安全

Question

我正在尝试开发一种自定义加密安全协议(protocol)，用于通过 RFID 智能卡进行身份验证，我在互联网上所能找到的只是有关如何将静态标签写入卡中的通用信息。对于我的项目，我需要读卡器向卡发送挑战随机数(固定长度随机字节)，然后卡应发回使用硬编码 key (例如使用 AES CBC)或哈希 HMAC 加密的挑战。

问题是:我该如何对卡进行编程以执行此类行为？我可以编写代码来执行此操作，但如何将其“闪存”到卡上。此外，阅读器的代码也不是问题(我想使用带有阅读器模块的 Arduino)。

然后，考虑到距离只有几厘米(例如门后)，是否有足够功率的无源芯片来执行此类计算，或者最好使用有源芯片？

Answer 1

无源标签无法做到这一点。这些只是保存着他们吐出的序列号。

您需要一些更智能的卡。您基本上有两个选择:

1) 选择适合您需求的通用卡

您描述的身份验证方案使用非常广泛，几乎所有通用智能卡都实现了该方案，无论是接触式接口(interface)还是非接触式 (RF) 接口(interface)(或两者兼而有之)。如果您采用这种方式，则无需使用自己的代码对卡进行编程，只需获取规范并通过发送适当的命令使用您想要的键值初始化卡。实际上，对于这些卡，通常有通用工具可用于初始化它们。简单。

例如，

Mifare(由 NXP 开发)使用非常广泛，易于获取，而且卡很便宜(缺点:它肯定不是有史以来最安全的卡)。您可以使用 Mifare Classic - 具有专有的 NXP 安全协议(protocol) - 规范 here (注意，读卡器必须兼容)或 Mifare UltraLight C，具有开放 3DES 加密 - 规范 here 。还有其他变体(例如使用 AES 的 Mifare Plus)。只是不要选择简单的 Mifare Ultralight，它不提供身份验证手段。您会发现，对于所有这些类型的卡，都有一个内置的身份验证方案，可以在功能上满足您的需求(它实际上是相互身份验证，因此它的功能比您需要的更多，但没关系)。

FeliCa(由索尼制造)、ACOS3(由 ACS 制造 - 规范 here )是其他可能性，尽管我不太熟悉。

2) 获取可编程卡

有一些，但是非接触式的不太容易找到，而且价格非常昂贵。您可以查找:

BasicCard (ZeitControl)，具有双界面。这些卡可以在 Basic 中进行编程，并且有一些可用的套件(但我也不熟悉)。

JavaCard(任何制造商)，这是一个标准，但对于小批量来说很难找到。不过，一些网上商店似乎有一些。这些卡可以用 Java(实际上是 Java 的子集)进行编程。有一些可用于开发阶段的工具(例如来自 Oracle 的工具，甚至是 Eclipse 插件)。然后，为了在智能卡中加载自定义小程序，您需要熟悉GlobalPlatform，这是另一个(公开可用的)标准，描述了在智能卡中管理应用程序的方式。不过，这太宽泛了，无法在这里详细描述。网上可以找到资源，但是这条路绝对是最难的。