> For the complete documentation index, see [llms.txt](https://nailtpax.gitbook.io/nailtonpaixao/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://nailtpax.gitbook.io/nailtonpaixao/articles/seguranca-fisica-clonando-crachas-de-acesso.md).

# Segurança Física: Clonando Crachás de Acesso

## Introdução

Seja no acesso a clínicas médicas ou na rotina de edifícios corporativos, os cartões de proximidade tornaram-se onipresentes. No entanto, existe um risco *silencioso*: sob a fachada de modernidade, muitas organizações ainda operam com tecnologias obsoletas, como o MIFARE Classic 1k. Essa defasagem transforma o que deveria ser um dispositivo de segurança em uma vulnerabilidade crítica e exposta.

<figure><img src="/files/q06fgFBn4u5Edhe9jY1g" alt=""><figcaption></figcaption></figure>

Dados da [**HID Global** ](https://www.hidglobal.com/documents/2024-state-physical-access-trend-report)indicam que o legado dessas tecnologias ainda é uma realidade para muitas organizações. O padrão MIFARE Classic está presente em quase **20%** das infraestruturas de controle de acesso globais. Esse cenário cria uma brecha perigosa: enquanto as empresas acreditam estar protegidas por cartões "inteligentes", elas estão, na verdade, utilizando um sistema cujas chaves de segurança podem ser obtidas em poucos minutos.

### E o que seria um **MIFARE Classic 1k?**&#x20;

<figure><img src="/files/dFFgz3PPRHDfIwxRuhsj" alt=""><figcaption></figcaption></figure>

Essa tecnologia, conhecida como MIFARE Classic 1k, é o componente invisível por trás do que utilizamos popularmente como cartão de aproximação. Tecnicamente, trata-se de um chip de rádio (RFID) que opera na frequência de 13,56 MHz, sendo o padrão global para crachás corporativos e transporte público devido ao seu baixo custo.&#x20;

### **E por que essa tecnologia é vulnerável?**

A vulnerabilidade não reside no cartão físico, mas na criptografia adotada. O MIFARE 1k utiliza um sistema de criptografia (chamado Crypto-1) que já não oferece resistência ao poder de processamento da computação moderna.

É como tentar proteger uma área restrita com uma fechadura mecânica comum fabricada nos anos 90: para um chaveiro experiente — ou um invasor com as ferramentas certas — o segredo já é de domínio público. Hoje, dispositivos portáteis conseguem interrogar o chip, explorar essas falhas estruturais em segundos e extrair todas as chaves necessárias para criar uma cópia idêntica e funcional.

### Como é possível clonar um cartão RFID?

Para demonstrar a fragilidade do MIFARE Classic 1k de forma ética e controlada, utilizei o
\
Proxmark3 Easy, uma ferramenta compacta e acessível para análises e testes de penetração (pentest) RFID/NFC, capaz de ler, gravar, clonar e emular cartões 125kHz (LF) e 13.56MHz (HF). Adicionalmente, estou fazendo uso do  Iceman, um firmware alternativo e popular que expande os recursos do hardware Proxmark3, oferecendo mais funcionalidades para pesquisa de RFID.

<figure><img src="/files/rrLNvKFWhVtJaS9YZm7f" alt=""><figcaption></figcaption></figure>

***

## PoC (Prova de Conceito)

&#x20;A seguir, apresento visualmente os passos dessa auditoria, simulando o que um atacante faria para obter acesso total a uma empresa.

### **Etapa 1 - identificação do alvo**.

Começamos inserindo o cartao no leitor RFID do Proxmark.

<figure><img src="/files/YMU97x8V3WAHrBnNEWOf" alt=""><figcaption></figcaption></figure>

No terminal do Linux ou Windows iniciamos com o comando `./pme` e em seguida utilizando o comando `hf search` que faz uma varredura e nos revela informações sobre o cartão.

<figure><img src="/files/khzahvc7tVuYrnieqoNp" alt=""><figcaption></figcaption></figure>

A varredura e nos revela informações cruciais:

* `UID (90 6F 55 E1)`**:** Número de identidade único do cartão.
* **`Possible Types`:** O sistema confirma que se trata de um **MIFARE Classic 1K**.
* **"`Prng detection... weak`"** **:** Esse campo é o detalhe mais importante. Ele indica que o gerador de números aleatórios do cartão é fraco (previsível), o que confirma tecnicamente que as chaves de segurança podem ser exploradas e quebradas em poucos minutos.

Uma vez que as chaves de segurança foram quebradas, o chip deixa de ser um cofre trancado e passa a ser um livro aberto. O processo de Dump consiste em ler cada um dos 16 setores de memória do cartão e extrair os dados hexadecimais contidos neles.

Utilizamos o  comando `hf mf chk` para realizar um teste de chaves padrão (ataque de dicionário).&#x20;

<figure><img src="/files/cz9Xow823yK6tpk4P8Kl" alt=""><figcaption></figcaption></figure>

O Proxmark3 identificou rapidamente que o cartão utiliza senhas default, como `FFFFFFFFFFFF` e `000000000000`. Encontrar apenas uma dessas chaves já é o "pé na porta" necessário para comprometer todo o restante do chip.

Com uma chave válida em mãos, utilizamos o comando `hf mf nested`. Ele explora falhas matemáticas do chip para deduzir as chaves que ainda estavam protegidas. Em apenas 5 segundos, o sistema recuperou todas as chaves (inclusive as personalizadas), deixando o cartão totalmente exposto e pronto para a clonagem.

<figure><img src="/files/5lLYyoLK3wehR8PcFDHo" alt=""><figcaption></figcaption></figure>

### Etapa 2 - Dump das informações

Para o dump, utilizamos o `hf mf dump`, ele lê todos os setores do cartão original usando as chaves que acabamos de quebrar e salva um arquivo `.bin` (geralmente com o UID do cartão no nome). Esse arquivo é a "imagem" digital do crachá.

<figure><img src="/files/jvcVmvCq3qyjxwY49x1L" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/5c1UTK7zuEEV7R6TiG12" alt=""><figcaption></figcaption></figure>

### Etapa 3 - Clonando para um cartão novo

Agora, trocamos para o cartão **Magic Card** onde iremos colar os dados.

Diferente de um cartão comum, o Magic Card permite que alteremos o seu UID (o número de identidade do chip), o que é essencial para que a leitora o reconheça como o original.

<figure><img src="/files/KZcTTN2zuaPohwK5uA6l" alt=""><figcaption></figcaption></figure>

Utilizamos o comando `hf search` novamente, para identificar o UID do Magic Card e também obter a informação de que qual geração é o Magic Card.

<figure><img src="/files/dGUGQge774dvHL79dJYr" alt=""><figcaption></figcaption></figure>

Para finalizar utilizamos o comando `hf mf cload -f [NOME_DO_ARQUIVO].bin`

<figure><img src="/files/jN3s7BiYIHmu1fP4ISR4" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/OUUD1Dj3C2yhWBt81yFP" alt=""><figcaption></figcaption></figure>

Se observamos, agora o Magic Card alterou seu UID de de fábrica `11 22 33 44` para o UID do crachá inicial `90 6F 55 E1`.

**Clonagem concluída!**

O que antes era um cartão genérico agora é uma cópia idêntica do crachá original, contendo não apenas o mesmo identificador, mas todos os dados e chaves de acesso. Para o sistema de segurança da empresa, este novo cartão é indistinguível do original, provando na prática como a tecnologia MIFARE Classic 1k pode ser explorada de ponta a ponta em poucos minutos.

### Por que isso é grave ?

A clonagem de cartões RFID não é apenas um "hack" técnico; é a quebra total do perímetro de confiança física de uma organização. Quando um atacante consegue replicar um crachá, ele ganha o ativo mais precioso em segurança: tempo e invisibilidade.

**1. A Quebra do Perímetro Físico**

De nada valem firewalls e MFA se o invasor estiver fisicamente no CPD. O cartão clonado permite ignorar catracas e acessar áreas restritas como salas de diretoria e servidores.

**2. Falha Crítica de Identidade**

O sistema registrará a entrada do usuário legítimo. Em caso de incidente, a investigação inicial apontará para a vítima, gerando erros de auditoria e atrasando a detecção do crime.

**3. O Ataque Silencioso**

Diferente de roubar um crachá físico — onde a vítima percebe a perda e solicita o bloqueio — a clonagem é silenciosa. O dono original continua com o seu cartão no bolso, sem saber que uma réplica digital está sendo usada para comprometer a empresa.

**4. Consequências Diretas para o Negócio**

* **Espionagem Industrial**: Instalação de dispositivos de escuta ou roubo de protótipos e documentos físicos.
* **Comprometimento Lógico**: Um atacante com acesso físico pode conectar um *Rubber Ducky* em uma porta USB de um computador desatendido, ganhando acesso à rede interna em segundos.
* **Dano Reputacional e Financeiro**: Violações de conformidade (como a LGPD, que também abrange o acesso físico a dados) podem resultar em multas pesadas e perda de confiança de clientes e investidores.

***

### Conclusão&#x20;

Como demonstramos nesta PoC, a tecnologia MIFARE Classic 1k é um elo fraco em uma corrente que deveria ser inquebrável. Tratar a segurança física como algo separado da segurança lógica é um erro estratégico. O pentest físico deve ser encarado com a mesma seriedade que um teste de intrusão na rede, pois, no fim do dia, acesso físico é acesso total.

***

### Mitigação

* **Migração Tecnológica:** Substituir cartões legados por tecnologias modernas com criptografia avançada, como o **MIFARE DESFire EV2/3**.
* **Criptografia Forte:** Jamais utilizar as chaves de fábrica (`FFFFFFFFFFFF`). A diversificação de chaves é o mínimo para dificultar ataques de dicionário.
* **Monitoramento:** Sistemas de acesso modernos podem detectar cartões "Magic" ou tentativas de acesso com UIDs clonados.

***

### Referencias

#### Firmware

* Iceman Fork: O firmware de código aberto líder para pesquisa de RFID/NFC, integrando ferramentas avançadas de criptoanálise e automação.

{% embed url="<https://github.com/RfidResearchGroup/proxmark3>" %}

#### Embasamento Teórico

* Vulnerabilidades no MIFARE Classic: Estudo técnico detalhado sobre as falhas estruturais e vetores de ataque em cartões MIFARE (SideChannel - Tempest).

{% embed url="<https://www.sidechannel.blog/en/mifare-classic-2/>" %}

#### Comunidade e Aprendizado (PT-BR)

* Segurança NFC/RFID por Penegui: Guia fundamental e prático para quem deseja se aprofundar em testes de intrusão em identificadores por radiofrequência.

{% embed url="<https://penegui.com/>" %}

***

O objetivo desta demonstração é alertar gestores de segurança: a vulnerabilidade está exposta, cabe às empresas decidirem se irão corrigi-la antes de um incidente real.

*E na sua empresa, você sabe qual tecnologia de acesso é utilizada? Vamos debater sobre segurança física!*

`#CyberSecurity` `#InfoSec` `#OffensiveSecurity` `#RedTeam` `#Cybersecurity #CyberDefense #PhisicalSecurity #PentestRFID #PentestNFC`