如何防范NFC芯片被复制？NFC门禁应用标签防复制问题咨询

首先对你最初的思路做可行性判断：该思路有基础合理性，但存在明显安全短板。单纯将GUID存入密码保护存储区仅能阻止未授权的明文读取，无法应对中继攻击、拿到密码后的克隆复制风险。更稳妥的方案是在密码保护存储区的基础上增加双向挑战认证流程：读卡器每次生成随机挑战码发送给卡片，卡片用存储的密钥对挑战码做对称加密后返回结果，读卡器校验结果合法才放行，该模式下攻击者哪怕获取到GUID，没有密钥也无法生成合法响应，防复制能力会提升数个等级。

1 商用门禁场景的常规防复制方案 #

• 低安全等级场景（普通小区车库、开放写字楼门禁）：大多采用MIFARE Classic卡，为扇区配置访问密码，仅做卡号或存储区GUID的简单校验，部分方案会在后台绑定卡的唯一UID和用户权限，校验UID与存储区信息匹配才放行，但MIFARE Classic的UID可被专用克隆卡改写，实际防复制效果极差。
• 中高安全等级场景（酒店房卡、政企内部门禁）：基本采用MIFARE DESFire或普通CPU卡，走双向认证+对称/非对称加密逻辑，每次认证的挑战码完全随机，不存在重放攻击风险，部分酒店还会为房卡配置短期有效密钥，退房后密钥直接失效，即使被复制也无法使用。

2 其他支持密码保护存储区的NFC卡片选型 #

除了MIFARE系列外，还有以下几个成本可控的可选方案：

• NTAG 21x/22x系列（NTAG213/215/216均支持密码保护）：属于NFC Forum Type 2标签，兼容性极强，几乎所有手机和商用读卡器都能正常识别，采用32位访问密码，可自定义配置读保护、写保护规则，成本比MIFARE Classic更低，尤其适配需要手机碰一碰开门的场景。
• FM11RF08系列（国产复旦微卡）：完全兼容MIFARE Classic的功能逻辑，扇区密码保护规则完全一致，成本比进口MIFARE Classic低30%左右，是国内民用门禁场景用量最大的卡型之一。
• 国产国密CPU卡（支持SM1/SM7算法）：支持国密双向认证，自带加密存储区，目前成本已经降到和早期版本MIFARE DESFire接近的水平，对安全合规要求高的场景可以选择。

3 MIFARE Classic加密存储区的安全性水平 #

MIFARE Classic的加密逻辑存在公开的已知漏洞：

• 针对无专业设备的普通用户，它的密码保护机制有效，无法随意读取存储区内容。
• 但针对持有专业设备的攻击者，通过暗侧攻击可以在10秒内破解任意扇区的访问密码，拿到存储区全量数据，目前市面上已经有售价仅几十元的现成克隆器，可以直接破解并复制MIFARE Classic卡，完全无法满足有明确防复制要求的安全场景。

补充选型建议 #

如果预算有限，优先选择NTAG216+双向挑战应答认证的方案，成本低、兼容性好，安全性远高于单纯用MIFARE Classic存储GUID的方案。

内容的提问来源于stack exchange，提问作者CodeNinja