戴均民

使用變色龍快速拷貝旅館房卡

本文章的內容僅限學術及研究用途，本文讀者請勿進行任何違法行為，否則後果自負。

大家好，我是「chameleon-ultra.js」的作者均民。

不知道大家在外住宿時，有沒有遇過房卡不夠用的困擾？前陣子均民跟朋友去日本自由行，入住的旅館只給了 1 張 NFC 房卡，但房間的總電源卻需要插卡才能供電。如果有人想自己出門逛逛，這就尷尬了，因為室友還在房間，就只能把卡片留在房內；要是兩個人想分開行動，還得先喬好房卡該由誰保管，實在非常不方便！

所以現在均民出遊基本上都會帶著 Chameleon Ultra（簡稱：變色龍）跟魔術卡在身上。如果房卡剛好是變色龍能夠破解的 Mifare Classic 卡片，就有機會可以輕鬆拷貝一張房卡，完美解決這個問題！

##什麼是 MFKey32 攻擊？

MFKey32 是一種針對 Mifare Classic 卡片讀卡機的攻擊手法。這種攻擊手法的原理，是先用我們的設備去模擬成卡片，然後拿去給讀卡機讀取至少兩次。

在認證過程中，模擬的卡片會產生一個隨機數（稱為 Tag Nonce）傳送給讀卡機，並記錄下讀卡機的回應。因為這個隨機數是我們自己產生的，所以就能透過演算法還原出讀卡機所用的金鑰（Key）。

##什麼硬體支援 MFKey32 攻擊？

市面上支援 MFKey32 攻擊的硬體其實不少，在我寫這篇文章的時候，最常見的大概是這三種：Proxmark3、Chameleon Ultra、Flipper Zero。

由於攻擊過程需要親自與讀卡機互動，我個人最推薦使用變色龍 Chameleon Ultra。因為它的體積超級小、內建電池，還能透過 USB 和藍牙（BLE）連接，讓它成為執行這項任務的最佳選擇。相比之下，Proxmark3 和 Flipper Zero 不僅價格昂貴，體積也大上許多。

##拷貝步驟

進行 MFKey32 攻擊的核心流程大致如下：

用變色龍讀取房卡的卡號，並模擬成該房卡（需要開啟偵測功能）。
拿著變色龍去感應門鎖的讀卡機至少 2 次（這幾次都會失敗，是正常的！）。
從變色龍中讀取剛剛跟讀卡機互動的認證紀錄。
利用這些紀錄來破解（計算出）金鑰。
用破解出來的金鑰來讀取整張房卡的資料。

請點此打開流程圖

flowchart TD
  _start("Start")
  taginfo["Read Tag via TagInfo"]
  ismf{{"Is Mifare Classic 1k/4k?"}}
  findOtherSolution("Find other solution")
  read["Read Tag<br>(via Chameleon Ultra)"]
  canOpenDoor{{"Can open door with Chameleon Ultra?"}}
  emu["Emulate Tag"]
  openDoor["Tap the reader with Chameleon Ultra to open door"]
  success("Success")
  tap["Tap the reader with Chameleon Ultra at least twice"]
  recover["Detect new key using MFKey32"]
  _start --> taginfo
  taginfo --> ismf
  ismf --> |YES| read
  ismf --> |NO| findOtherSolution
  read --> emu
  emu --> canOpenDoor
  canOpenDoor ----> |YES| openDoor
  openDoor --> success
  canOpenDoor --> |NO| tap
  tap --> recover
  recover --> read