一、普通读卡器 卡片被复制的核心原因
1、普通的M1卡逻辑加密卡的早期加密算法存在公开的安全漏洞，恶意攻击者只需要用十几元的专用复制设备，靠近普通读卡器的天线周边，就可以空中拦截卡片和读卡器之间的通信数据，几分钟内就可以完全破解卡片的扇区密钥，把整张卡片的数据完整克隆到空白卡上，克隆卡可以完全正常通过读卡器的身份验证，普通读卡器根本无法识别出来。
2、很多低成本读卡器的卡号输出完全是明文裸传，直接把卡片的唯一ID号明文输出给后端控制器，攻击者只需要拦截到一次卡号数据，就可以直接把这个ID号写入到可修改ID的特殊复制卡中，后续就可以无限次冒充合法用户刷卡通行，完全不需要破解卡片的内部数据，复制门槛极低。
3、很多系统的身份认证逻辑只校验卡片的唯一ID号，完全不校验卡片内部的自定义加密数据，哪怕卡片被克隆，后端系统也根本无法识别出来，这类系统的安全防线几乎完全为零，卡片被复制之后根本没有任何感知，很容易出现陌生人刷卡进入核心区域的严重安全事故。
二、安全芯片硬件级防克隆的核心原理
1、内置国密安全芯片的防复制读卡器，采用双向动态随机认证机制，每次刷卡的时候读卡器都会生成一个随机数，发送给卡片，卡片用内部存储的专属密钥加密这个随机数，返回给读卡器，读卡器用本地安全芯片内部存储的密钥解密验证，只有验证通过之后才认为是合法卡片，每次认证的加密结果都完全不一样，根本无法被拦截复制。
2、采用带唯一全球序列号的CPU卡，卡片内部的序列号在芯片出厂的时候就一次性熔断固化，完全不可修改，根本不存在可以修改这个序列号的特殊复制卡，读卡器每次刷卡都校验这个固化的唯一序列号，攻击者根本无法克隆出序列号完全一致的卡片，从硬件层面彻底杜绝ID号篡改复制的可能性。
3、安全芯片内部的密钥完全硬件加密存储，永远不会以明文形式出现在软件层面，哪怕攻击者拆解读卡器，也根本无法通过物理方式导出内部的根密钥，彻底杜绝了密钥被窃取的风险，整个系统的安全防线牢不可破，完全符合金融级的安全防护标准。
三、防复制落地的实操要点
1、高安全门禁、单位食堂消费这类场景，绝对不能用只校验卡号的普通ID卡系统，必须升级成带双向动态认证的CPU卡防复制系统，从根源上杜绝卡片被恶意克隆的安全漏洞，避免无关人员随意刷卡进入核心区域，或者盗刷食堂消费余额，造成财产损失。
2、采购防复制读卡器的时候，要求供应商提供国家密码管理局颁发的国密产品认证证书，确认设备的安全芯片符合国家相关安全标准，不要采购没有任何安全资质的三无防复制产品，这类产品大多是软件层面做的简单加密，很容易被破解，根本起不到真正的防克隆作用。
3、系统上线之后，定期做安全渗透测试，用专业的RFID复制设备现场测试系统的防复制能力，确认卡片无法被复制，及时发现潜在的安全漏洞，避免系统上线之后被恶意人员破解克隆，造成严重的安全事故，保障整个系统的长期安全稳定运行。
