将我的 CASIO F-91W 改造为非接触式支付设备

# 我如何将卡西欧 F-91W 黑客改造为非接触支付设备 来源：https://hackernoon.com/how-i-hacked-and-turned-my-casio-f-91w-into-a-contactless-payment-device ## **前言** 最近我一直在频繁出差，并且我很欣赏这样一个事实：只需借助*非接触*技术即可支付公交车/地铁车程或周围的咖啡/啤酒。基于苹果/谷歌/三星支付的系统需要主动解锁您的技术设备，这在支付过程中会产生一些延误。 > 如果你排队时身后有一堆人等着，然后出了点问题，你就完蛋了 🥪。 意大利米兰的非接触支付设备地铁闸机 作为一名资深的**极客**，从我脸上还长青春痘的时候起，我就一直佩戴着CASIO F-91W（https://www.google.com/search?q=casio%20f-91w&ref=hackernoon.com）。这款传奇腕表凭借其流畅的设计、坚固的构造和惊人的电池寿命（据说可持续使用**约 7 年**），赢得了全球科技爱好者的青睐。自80年代采用石英技术以来，它已成为数字手表革命的象征。 我想，不必从**钱包**中取出*信用卡/借记卡*，也不必从**口袋**里掏出**手机**来支付，而是将手表靠近**销售点终端**，用*一点现代魔法*✨完成支付，这一定会很棒。 因此，我决定通过结合怀旧与创新，*以纯粹的黑客风格*赋予它新的生命，并将其提升到**新水平**。 ## **分析** **NFC**（*近场通信*）技术能够在两个相关设备之间无需直接物理接触的情况下交换信息。就*非接触支付卡*而言，它们无需插入**销售点终端**插槽或输入**PIN**码即可使用，使金融交易更快捷、更方便。 我所拥有（或曾拥有）的供应商屏蔽非接触支付卡 在塑料（或金属）*非接触支付卡*内部，我们可以找到几个组件： - **微芯片**：通常称为**安全***集成电路*（**IC**）*芯片*或*智能芯片*，它充当卡片的大脑，包含各种子组件，如**CPU**（它控制卡片的操作并管理数据处理）、**内存**（存储数据信息，如账户详情、交易历史和*安全密钥*）以及**加密核心**（它可以生成*真随机数*，有助于解决算术挑战，可以执行数据的加密/解密，并有助于卡片和终端的认证过程）。 - **天线**：通常由*铜*或*铝*制成，负责发射和接收*射频信号*，以实现*非接触*通信。它被设计成特定的图案，以确保高效的**信号传输**。 通过天线可以**传输**和**接收***射频**波*，这是一种能量形式，可以通过携带信息在空间或材料中传播。**NFC**协议的频率为**13.56 MHz**（在某些情况下可能会有所变化，在支付系统或ATM机上略高，约为**14.5**至**15.5 MHz**）。*波长*（用符号*λ-lambda*表示，简单来说，是单个波周期的长度测量）在自由空间中通过*光速***常数**（约300,000公里/秒）除以目标频率来计算。 天线波长计算公式 因此，一根理想的天线应该由**22.12米**长的导线组成，但按照惯例会选择λ-lambda的**分数**（λ/2、λ/4、λ/8、λ/16等）。另一个重要因素是导线的电阻抗(https://en.wikipedia.org/wiki/Electrical_impedance?ref=hackernoon.com)，它主要取决于其**材料**、**电阻率**以及导线本身的**横截面**。 *支付卡*是**被动**设备，不需要自身的电源。相反，当它们靠近**主动****NFC**设备（如*智能手机*或*非接触支付终端*）时，会通过*电磁感应*供电。**主动****NFC**设备产生*磁场*，该磁场在**NFC***的目标设备天线*中感应出*电流*。这个*感应电流*提供足够的**功率**来激活它，使其能够与**主动**设备进行操作和通信。 各种非接触支付卡的微芯片 + 天线设计 大多数旧技术*智能卡*将天线嵌入在塑料（或树脂）外壳中，*焊接在芯片上*，因此芯片**直接**从*感应电流*获取电力。 带有独立、电感耦合天线的卡片和芯片模块 新的*支付卡*技术采用**双接口**，无需*微芯片*和*天线*模块之间的任何有线连接。卡体中的*天线*在*芯片*模块嵌入区域周围有*额外的几圈*。这个卡体*天线***电感**耦合到*一个直接集成到**微芯片**模块中的微型环形天线*。这简化了卡片生产过程，因为天线不需要附着（例如，粘合、焊接或锡焊）到*芯片*模块。 好奇想看看在塑料外壳内的天线形状（现实地说）是什么样子吗？ 嵌入线圈模块（CoM）非接触支付卡中的可变电容天线 串联连接的“方块”充当可变电容器。这与多层嵌套的绕组相结合，允许模块在不同频率下耦合。 > 总的来说，各组件协同工作，以实现安全便捷的**非接触**交易。**天线**允许无线通信，而**微芯片**管理数据处理、安全和身份验证，确保持卡人信息的隐私和完整性。 ## **工具** 为了“看穿**复杂**而**无形**的*无线电波*世界，我不得不依赖一些特定的**设备**。 上图：NanoVNA | 左下：Proxmark3 | 右下：RFID-RC522 - **NanoVNA (https://nanovna.com/?ref=hackernoon.com):** Nano*矢量网络分析仪*是一款便携且价格实惠的手持设备，用于测量和分析*射频*（**RF**）和*微波*电路的特性。它旨在为RF组件和网络的复杂*阻抗*、*反射*系数、*传输*系数和其他参数提供精确的测量。 - **Proxmark3 (https://proxmark.com/proxmark-3-hardware/proxmark-3-easy?ref=hackernoon.com)**：是一个开源硬件和软件平台，专为**RFID**（射频识别）研究和开发而设计。它是一款用途广泛的工具，被*安全研究人员*、*渗透测试人员*和**RFID**爱好者广泛用于探索、分析和与各种**RFID**技术交互。它由一个紧凑的电路板组成，配备集成天线和多个*射频*模块。它支持各种**RFID**协议，包括*低频*（LF）和*高频*（HF）**RFID**标准，如125kHz、**13.56MHz**和900MHz。该设备既可以模拟**RFID***卡/标签*，也可以充当*读写器*，允许用户*克隆*、*模拟*和*操作***RFID**信号。需要指出的是，虽然**Proxmark3**是安全研究和学习的宝贵工具，但它应该**负责任地**并在**适用司法管辖区的合法范围内**使用。 - **RFID\-RC522 (https://www.amazon.com/HiLetgo-RFID-Kit-Arduino-Raspberry/dp/B01CSTW0IA/ref=sr_1_5?crid=3JP1N1I5U526&keywords=rfid-522&qid=1688038106&sprefix=rfid-52%2Caps%2C385&sr=8-5&ref=hackernoon.com):** 是一种流行的**RFID**模块，通常用于与**RFID***标签或卡片*通信。它基于MFRC522芯片，这是一款高度集成的读写器**IC**，用于*非接触*通信。 在这种特定情况下，**RFID-RC522**芯片被拆解，以利用**PCB**上的*微带天线*作为**NanoVNA**的探头。 微带天线探头特写 我拆下了**C10**和**C11***电容*，然后在它们的位置上焊接了两个母头跳线连接器。 拆解后的带有同轴连接器 + 电缆的RFID-RC522电路 然后，我拆下了**NanoVNA**设备附带的一根同轴连接器电缆。将内芯线（+）与外层屏蔽网（-）分开后，我分别焊接了**公头***跳线连接器*，以形成可拆卸接口（根据理论：**跳线越长***，读取**RF**值时的“噪声”就**越高**，所以，保持尽可能**短**）。 通过将这个“科学怪人”**天线探头**与**NanoVNA**通过**S11**→**CH0**输入耦合，我就能畅游于*无线电波*之中了。 ## **设置** 我首先使用**NanoVNA** + **RFID-RC522**组合。 刚开机的NanoVNA设备 开机后，**NanoVNA**显示**大量**信息，但其中大部分对此目的而言是*不相关*的。它有一个电阻式触摸屏以及一个基于滚轮的操纵杆，可以帮助在其**菜单**中导航。 NanoVNA菜单，目标为DISPLAY设置 重点全在**黄色**轨迹上，因此我通过进入**DISPLAY**子菜单并双击**TRACE 1**（青色）、**TRACE 2**（绿色）和**TRACE 3**（洋红色），禁用了所有不必要的轨迹。可以看到它们从屏幕上消失了。 NanoVNA DISPLAY -> TRACE 子菜单 然后我点击了**BACK →****SCALE → SCALE/DIV**并设置了“4”（这给出了良好的比例）。 NanoVNA DISPLAY -> SCALE -> SCALE/DIV 子菜单 我通过点击**ENT**按钮确认。 NanoVNA菜单，目标为STIMULUS设置 然后我返回主菜单并点击了**STIMULUS**。 NanoVNA STIMULUS 子菜单 通过点击**START**，我设置了**12.5 MHz**。 NanoVNA STIMULUS -> START 子菜单 通过点击**STOP**，我设置了**16 MHz**。 NanoVNA STIMULUS -> STOP 子菜单 这样，通过只允许设备显示**12.5**至**16 MHz**频段内的信号，就可以过滤掉所有其他信号。 为了查看设置是否正确，我在天线表面放置了一个备用的**NFC**标签。 测试标准NFC标签 > 简单规则：下方的楔形**越深**，“共振”就**越强**。 换句话说，这意味着用于测试的NFC标签与*天线*良好**耦合**（根据*标签/卡片*的不同，频率在**13.56MHz**附近变化是绝对正常的）。 Proxmark3设备 转到**Proxmark3**设备，它需要计算机才能工作。在原始的GitHub仓库(https://github.com/RfidResearchGroup/proxmark3/tree/master/doc/md/Installation_Instructions?ref=hackernoon.com)中，我可以找到所有安装说明（非常详尽且解释清楚）。我运行的是**macOS**，所以我使用了基于brew的(https://github.com/RfidResearchGroup/proxmark3/blob/master/doc/md/Installation_Instructions/Mac-OS-X-Homebrew-Installation-Instructions.md?ref=hackernoon.com#install-proxmark3-tools)教程以快速完成。 在首次运行之前，*建议*用**最新版本**的可用固件**升级**设备。为此，该过程需要按下“半隐藏”按钮，并在按住按钮的同时插入**Micro-USB**线缆。这样，设备将以**DFU模式**启动。 Proxmark3用于DFU的“按钮” 进入**DFU模式**后，只需运行以下命令： > > pm3-flash-all Proxmark3在DFU模式下接收固件升级 它应该会“自动”完成所有操作。 完成后，*断开*并*重新连接***Proxmark3**的**Micro-USB**线缆，即可在串口列表中检测到它。运行以下命令： > **>** pm3 现在可以进入**NFC**黑客/审计的神奇世界了。 Proxmark3 Tools 交互式shell **Proxmark3**工具有一个*交互式shell*（我建议你研究文档中的所有信息，因为这个工具可以做一些——甚至是**非法**的——非常有趣和复杂的事情）。 为了测试它，我将用于**NanoVNA**的同一个**NFC***标签*放在*高频*天线表面。 Proxmark3靠近NFC标签 在交互式shell中运行以下命令： > **>** pm3 → hf search Proxmark3读取NFC标签 就可以读取与**NFC**相关的信息了。 **注意：**尽管**NanoVNA**和**Proxmark3**设备在电气上都得到了很好的“绝缘”，但如果放在导电表面（如金属或类似材料）上，它们可能会受到一些噪声的影响。我将它们放在橡胶鼠标垫上，以确保它们稳定工作。如果在读数中遇到“奇怪”行为，请记住这一点。 非接触支付卡靠近Proxmark3 现在让我们通过调用上一个命令来读取*支付卡*： > **>** pm3 → hf search Proxmark3读取非接触支付卡 正如所观察到的，输出比前一个更加**详细**，因为该卡包含一个“智能芯片”，用于更*复杂*和*安全*的操作。此输出对后续比较很有帮助。 一切正常。所有设备都完全正常工作，设置完成，我们现在可以进入最有趣的部分了。 ## **拆解** 为了弄清楚我的*支付卡*类型，我不得不将其拆开。 热风枪攻击支付卡芯片正面 借助焊接站的*热风*喷嘴（设置为**100°C**），我开始通过在卡片芯片周围来回画圈的方式加热表面。 热风枪攻击支付卡芯片背面 这里真正的技巧是要避免造成**不可逆损坏**，不要在同一个点停留**太久**（防止所有东西*熔化*）。 支付卡芯片正面 经过大约**45秒到1分钟**的*加热*后，我开始用一对镊子轻轻拨动*芯片*，经过几次晃动，我成功地将其从塑料外壳上分离下来。 支付卡芯片背面 尽管有点被**胶水残留物**覆盖，但可以看到*集成天线*的**绕组**，因此内部*芯片*到外部*天线*没有焊接点。 事实证明，这种*支付卡*属于**新技术**类别，是*芯片*与*小型嵌入式天线*的组合，后者与隐藏在*卡*板内的更大*天线*发生**谐振**和**耦合**，如前一段所述。 部分拆解的CASIO F-91W