(Felica/Mifare/NFC チャレンジシリーズ) その他の記事はこちら「Felica/Mifare/NFC でいろいろ実験」
https://qiita.com/nanbuwks/items/1f416d6e45a87250ee0a

Raspberry Pi で libnfc + PN532 NFC RFID module
https://qiita.com/nanbuwks/items/0c73add503b354774035

にて libnfc を試してみました。これを元に PN532 NFC RFID module を操作するプログラムをかけばいいのですが、なかなか見通しが悪くサンプルプログラム以上のことをしようとしても難しい。

さて、examples の中に pn53x-tamashell というファイルがあり、これは pn53x に直接命令を送れるのかな？

公式のドキュメントなどは見つけることができなかったが、アイスランドの教材らしい pdf が見つかった。

Mifare Ultralight に対してポーリング/読み込み/書き込み/認証/盗聴/エミュレーションを行っています。

ポーリング

pdf で書かれているポーリングのレッスンを試してみます。

コマンド

> 4a0100

と入力すると以下のように待受になります。

4a0100
Tx: 4a  01  00

Mifare Classic 1K を近づけると以下のように反応がありました。


Rx: 01  01  00  04  08  04  c5  b2  0f  ad

コマンドの詳細はユーザマニュアル
https://www.nxp.com/docs/en/user-guide/141520.pdf
に記されています。

InListPassiveTarget コマンドとして、4Aを送出、

ISO/IEC14443 Type A (Mifare) を指定しています。

返事として以下が返ってきていることがわかります。

NbTg 01
Tg 01
SENS_RES 00 04
SEL_RES 08
NFCIDLength 04
NFCID1 C5 B2 0F AD

AutoColl/AutoPoll

先のコマンドでは FeliCa の検出はできませんでした。FeliCa と Mifare両方対応するために、

「PN532 NFC RFID module + Arduino で FeliCa と Mifare を判別する」
https://qiita.com/nanbuwks/items/a264201dcc0b4e12e72d

の AutoColl/AutoPoll コマンドを試してみます。

に示されています。

何もない時


6001011011
Tx: 60  01  01  10  11  
Rx: 00

AutoPoll に Mifair カードが検出された場合


> 6001011011
6001011011
Tx: 60  01  01  10  11  
Rx: 01  10  09  01  00  04  08  04  c5  b2  0f  ad


01	tg枚
10	カードType:MiFare
09	データ長
01	論理番号
00 04	ATQA (SENS_RES)
08	SAK (SEL_RES)
04	NFCID1 長
c5 b2 0f ad	UID (NFCID1)

のカードが検出できています。

AutoPoll に FeliCa カードが検出された場合


> 6001011011
6001011011
Tx: 60  01  01  10  11  
Rx: 01  11  13  01  12  01  01  14  b4  27  6b  11  5a  23  0f  0d  23  04  2f  77  83  ff  
>


01	Tg枚
11	カードType:FeliCa
13	データ長
01	論理番号
12	POL_RES
01	Response Code
01 14 b4 27 6b 11 5a 23	NFCID2t
0f 0d 23 04 2f 77 83 ff	Parameter (PAD)

?? Pad って何かな？

以下のようにすると無限に待ち受けに入ります


60FF011011
Tx: 60  ff  01  10  11

カードを近づけると返事が返ってきます。


Rx: 01  10  09  01  00  04  08  04  c5  b2  0f  ad

上記はMifareに反応した場合の返答です。先の返答と同じ値が返ってきてますね。

GetFirmwareVersion


02
Tx: 02  
Rx: 32  01  06  07


32	IC:PN532
01	Ver. 1
06	Rev. 6
07	Support ISO18092,ISO/IEC14443 TypeB,ISO/IEC14443 TypeA

データ読んでみる

InDataExchange かな？

この通り、送ってみます。

最初に鍵を送っておきます。


> 40016004feeffeeffeeff2f3f4f5
40016004feeffeeffeeff2f3f4f5
Tx: 40  01  60  04  fe  ef  fe  ef  fe  ef  f2  f3  f4  f5  
Rx: 00

次に

> 40013004
40013004
Tx: 40  01  30  04  
Rx: RF Transmission Error

うまくいきません

「ハードウェアハッキングして NFC コントローラの命令を解析する」
https://qiita.com/nanbuwks/items/8baa0408e08812258c95

のようにして、必要なコマンドを調べてみました。
InDataExchange の前に InListPassiveTarget が必要っぽかったので、以下のようにしてみました。


 > 4A0100
4A0100
Tx: 4a  01  00  
Rx: 01  01  00  04  08  04  f2  f3  f4  f5

このあと鍵 FEEFFEEFFEEFを送ります

> 40016004feeffeeffeeff2f3f4f5
40016004feeffeeffeeff2f3f4f5
Tx: 40  01  60  04  fe  ef  fe  ef  fe  ef  f2  f3  f4  f5  
Rx: 00

セクタ4を読んでみます


> 40 01 30 04
40 01 30 04
Tx: 40  01  30  04  
Rx: 00  33  30  31  32  33  34  35  36  37  38  00  00  00  00  00  00

読めました

このRXの中身


00	Status=0x00: terminated successfully
33 30 31 32 33 34 35 36 37 38 00 00 00 00 00 00	DataIn

DataIn はセクターのデータになります

良く見ると、InDataExchangeの前にInListPassiveTargetを送っている図がありました。
ここでTarget numberを取得しないといけない

なお、一連の操作はタイミングを早くしないとうまくいかなかったです。
カードを置かずに

4A0100
40016004feeffeeffeeff2f3f4f5
40 01 30 04
を連続でコマンド投入して、それからカードを置くと3つ一緒にうまく処理できました。

初期化

32 05 FF 01 FF : RFConfiguration MaxRetries ( MxRtyATR=FF, MxRtyPSL=01, MxRtyPassiveActivation=FF )

14 01 14 01 : SAMConfiguration Mode=Normal mode,TIMEOUT=14, IRQ=driven
4A 01 00 : InListPassiveTarget MaxTg=1,BrTy=106 kbps type A (ISO/IEC14443 Type A)
60 01 01 11 10 : InAutoPoll PollNr =1,Period=1, Type1=0x11 ,Type2=0x10
4A 01 00 E1 00 : InListPassiveTarget MaxTg=1,BrTy=106 kbps type A (ISO/IEC14443 Type A)
40 01 14 06 011606000a1e7703 01 8B 1A 03 80 00 80 02 80 03

スクリプト

見てみると、TAMASHELLはスクリプトエンジンを入っているとかそういうことではなく、単にリダイレクトでパラメータを入れているだけみたいです。
ReadNavigo.sh を元にしてみました。

Mifareを読む

上のものを押し込んでみました。


#!/bin/sh

ID=$(cat << EOF | \
    pn53x-tamashell |\
    grep -A1 "^Tx: 4a  01  00" |\
    sed -e '1d' -e "s/^Rx: 01  ..  ..  ..  ..  ..  \(..  ..  ..  ..\).*/\1/" -e 's/  //g'
# Timeouts
#3205000002
# ListTarget
4a0100
# TypeB' APGEN
#42010b3f80
EOF
)

if [ -z "$ID" ]; then
	echo "Error: can not read ID" >&2
	exit 1
fi
echo $ID



DATA=$(cat << EOF | \
    pn53x-tamashell |\
    grep -A1 "^Tx: 40  01  30" |\
    sed -e '1d' -e "s/^Rx: 00  \(..  ..  ..  ..\).*/\1/" -e 's/  //g'
4A0100
40 01 60 04 FE EF FE EF FE EF $ID
40 01 30 04
EOF
)
if [ -z "$DATA" ]; then
	echo "Error: Can not read sector 4 data" >&2
	exit 1
fi
echo $DATA

実行

$ ReadMifare.sh
f26b7b3e
33303135

TAMASHELLでFeliCa読んでみる

Polling


> 4a  01  01  00  fe  00  01  00 
4a  01  01  00  fe  00  01  00 
Tx: 4a  01  01  00  fe  00  01  00  
Rx: 01  01  14  01  11  16  06  00  0a  1e  77  03  03  32  42  82  82  47  aa  ff  fe  00

解読すると、

パケット内容	意味
4A	命令:InListPassiveTarget
01	MaxTg = 0x01
01	BrTy = 0x01 : : 212 kbps (FeliCa polling)
00 FE 00 01 00	InitiatorData

となり、InitiatorData は FeliCa のコマンドとなります。

FeliCaコマンドについては、「FeliCa Card User's Manual Excerpted Edition」
を見てみます。
https://www.sony.net/Products/felica/business/tech-support/


00	Polling command
FE00	System Code
01	Request Code=0x01:System code request
00	Time Slot=0x00: Designation of maximum number of slots possible to respond=1

System Code FE00とは何かな？

https://japannfcreader.tret.jp/help-improve-the-app.html
や、
https://gist.github.com/oboenikui/ee9fb0cb07a6690c410b872f64345120
によると、楽天Edy nanaco WAON 大学生協ICプリペイドなどが該当している。
決済機能の付いたものが FE00 になるのかな？

返ってきた返答：


 01  01  14  01  01  01  06  01  67  02  a5  15  03  32  42  82  82  47  aa  ff  fe  00

パケット内容	意味
01	NbTg
01	Logical number
14	length
01	response code byte
11 16 06 00 0a 1e 77 03	NFCID2t
03 32 42 82 82 47 aa ff	PAD
fe 00	System code

Read without Encryption


> 40 01 14 06 01 01 06 01 67 02 a5  15 01 8B 1A 03 80 00 80 02 80 03
40 01 14 06 01 01 06 01 67 02 a5 15 01 8B 1A 03 80 00 80 02 80 03
Tx: 40  01  14  06  01  01  06  01  67  02  a5  15  01  8b  1a  03  80  00  80  02  80  03  
Rx: 00  0c  07  01  01  06  01  67  02  a5  15  01  a6


40	InDataExchange
01	Tg=01
14 06 01 01 06 01 67 02 a5 15 01 8b 1a 03 80 00 80 02 80 03	Felica DataOut

Felica DataOutの中身


14	Len
06	Cmd:Read without Encryption
01 01 06 01 67 02 a5 15	IDm
01	Number of Service
8b 1A	Service Code List
03	Number of Block
80 00	Block List 1
80 02	Block List 2
80 03	Block List 3

Responce


00	Status:successflly?
0c	Len
07 01 01 06 01 67 02 a5 15 01 a6	DataIn

DataIn の中身


07	Responce Code
01 01 06 01 67 02 a5 15	Idm
01	Status Flag 1:最初のブロック処理でエラー発生
a6	Status Flag 2:Illegal Service Code List

うーん、エラーで読めてないですね

ここのところだけやり直して

Rx: 00  3d  07  01  01  06  01  67  02  a5  15  00  00  03  30  31  31  30  31  33  30  32  30  39  36  31  00  00  31  31  33  36  30  31  30  30  36  34  32  30  31  33  30  34  30  31  32  30  32  31  30  33  33  31  39  39  39  39  39  39  39  39

Responce


00	Status:successflly?
3d	?
07 01 01 06 01 67 02 a5 15 00 00 03 30 31 31 30 31 33 30 32 30 39 36 31 00 00 31 31 33 36 30 31 30 30 36 34 32 30 31 33 30 34 30 31 32 30 32 31 30 33 33 31 39 39 39 39 39 39 39 39	DataIn

DataIn の中身


07	Responce Code
01 01 06 01 67 02 a5 15	Idm
00	Status Flag 1
00	Status Flag 2
03	Block num
30 31 32 33 34 35 36 37 38 39 30 31 00 00 31 31	Block1 :"012345678901\0\011"
33 36 30 31 30 30 36 34 32 30 31 33 30 34 30 31	Block2:"3601006420130401"
32 30 32 32 30 33 33 31 39 39 39 39 39 39 39 39	Block3:"20220331999999999"

スクリプト

上のものを押し込んで


#!/bin/sh

ID=$(cat << EOF | \
    pn53x-tamashell |\
    grep -A1 "^Tx: 4a  01  01" |\
    sed -e '1d' -e "s/^Rx: 01  ..  ..  ..  \(..  ..  ..  ..  ..  ..  ..  ..\).*/\1/" -e 's/  //g'
# FeliCa polling
4a010100FE000100
EOF
)

if [ -z "$ID" ]; then
        echo "Error: can not read ID" >&2
        exit 1
fi
echo $ID



DATA=$(cat << EOF | \
    pn53x-tamashell |\
    grep -A1 "^Tx: 40  01  ..  06" |\
    sed -e '1d' -e "s/^Rx: 00  ..  07  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  \(..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..  ..\).*/\1/" -e 's/  //g'
# FeliCa polling
4a010100FE000100
# FeliCa read
40 01 14 06 $ID 01 8b 1a 03 80 00 80 02 80 03
EOF
)
if [ -z "$DATA" ]; then
        echo "Error: Can not read sector 4 data" >&2
        exit 1
fi
echo $DATA

FeliCa polling して、Idmを取得します。
取得したIdm を使って、 8b1a の 8000のブロックを読み込みます。

プログラムでは FeliCa polling で Idm を取得したら pn53x-tamashell が一旦終了して再度呼び出すことになってしまいます。そのときにセッションぽいものが切れてしまい、パラメータエラーとなるので、わざわざ再度 FeliCa polling をムダにかけています。

また、内部では8000,8002,8003 の3つのブロックを読んでますが表示は8000のみを行っています。

感想

pn53x-tamashell を使うと、直接 pn532 とやりとりができます。
SPI/I2C/シリアルどれに対しても同じ操作でやりとりができます。
チップマニュアルとプロトコルマニュアルを見ながら直接パケットを書けるので、ライブラリの処理がチップのどの処理にあたるのかなどに悩まなくても良くなります。

しかしながら思ったより透過的ではなかったです。エラー時に、エラーパケットを返さずにメッセージだけしか出なかったりするので、はてなーと悩んでしまいます。
結局他の手法でエラーパケットの中身を調べて、マニュアルでエラー番号を参照することも必要になってきます。
結局命令バイト数やチェックサム、プリアンプルなどを計算したり付加したりするのが自動になっているだけのメリットしか無いような。