doc/magic_cards_notes.md

   1 # Notes on Magic Cards, aka UID changeable
   2 This document is based mostly on information posted on http://www.proxmark.org/forum/viewtopic.php?pid=35372#p35372
   3
   4 Useful docs:
   5 * [AN10833 MIFARE Type Identification Procedure](https://www.nxp.com/docs/en/application-note/AN10833.pdf)
   6
   7 - [ISO14443A](#iso14443a)
   8   * [Identifying broken ISO14443A magic](#identifying-broken-iso14443a-magic)
   9 - [MIFARE Classic](#mifare-classic)
  10   * [MIFARE Classic block0](#mifare-classic-block0)
  11   * [MIFARE Classic Gen1A aka UID](#mifare-classic-gen1a-aka-uid)
  12   * [MIFARE Classic Gen1B](#mifare-classic-gen1b)
  13   * [MIFARE Classic DirectWrite aka Gen2 aka CUID](#mifare-classic-directwrite-aka-gen2-aka-cuid)
  14   * [MIFARE Classic DirectWrite, FUID version aka 1-write](#mifare-classic-directwrite-fuid-version-aka-1-write)
  15   * [MIFARE Classic DirectWrite, UFUID version](#mifare-classic-directwrite-ufuid-version)
  16   * [MIFARE Classic, other versions](#mifare-classic-other-versions)
  17   * [MIFARE Classic APDU aka Gen3](#mifare-classic-apdu-aka-gen3)
  18   * [MIFARE Classic Super](#mifare-classic-super)
  19 - [MIFARE Ultralight](#mifare-ultralight)
  20   * [MIFARE Ultralight blocks 0..2](#mifare-ultralight-blocks-02)
  21   * [MIFARE Ultralight Gen1A](#mifare-ultralight-gen1a)
  22   * [MIFARE Ultralight DirectWrite](#mifare-ultralight-directwrite)
  23   * [MIFARE Ultralight EV1 DirectWrite](#mifare-ultralight-ev1-directwrite)
  24   * [MIFARE Ultralight C Gen1A](#mifare-ultralight-c-gen1a)
  25   * [MIFARE Ultralight C DirectWrite](#mifare-ultralight-c-directwrite)
  26 - [NTAG](#ntag)
  27   * [NTAG213 DirectWrite](#ntag213-directwrite)
  28   * [NTAG21x](#ntag21x)
  29 - [DESFire](#desfire)
  30   * ["DESFire" APDU, 7b UID](#desfire-apdu-7b-uid)
  31   * ["DESFire" APDU, 4b UID](#desfire-apdu-4b-uid)
  32 - [ISO14443B](#iso14443b)
  33   * [ISO14443B magic](#iso14443b-magic)
  34 - [ISO15693](#iso15693)
  35   * [ISO15693 magic](#iso15693-magic)
  36
  37
  38 # ISO14443A
  39
  40 ## Identifying broken ISO14443A magic
  41
  42 When a magic card configuration is really messed up and the card is not labeled, it may be hard to find out which type of card it is.
  43
  44 Here are some tips if the card doesn't react or gives error on a simple `hf 14a reader`:
  45
  46 Let's force a 4b UID anticollision and see what happens:
  47 ```
  48 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
  49 hf 14a reader
  50 ```
  51 It it responds, we know it's a TypeA card. But maybe it's a 7b UID, so let's force a 7b UID anticollision:
  52 ```
  53 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
  54 hf 14a reader
  55 ```
  56 At this stage, you know if it's a TypeA 4b or 7b card and you can check further on this page how to reconfigure different types of cards.
  57
  58 To restore anticollision config of the Proxmark3:
  59
  60 ```
  61 hf 14a config --std
  62 ```
  63 # MIFARE Classic
  64
  65 Referred as M1, S50 (1k), S70 (4k)
  66
  67 ## MIFARE Classic block0
  68
  69 UID 4b: (actually NUID as there are no more "unique" IDs on 4b)
  70
  71 ```
  72 11223344440804006263646566676869
  73 ^^^^^^^^                         UID
  74         ^^                       BCC
  75           ^^                     SAK(*)
  76             ^^^^                 ATQA
  77                 ^^^^^^^^^^^^^^^^ Manufacturer data
  78 (*) some cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
  79 ```
  80
  81
  82 Computing BCC on UID 11223344: `hf analyse lcr -d 11223344` = `44`
  83
  84 UID 7b:
  85
  86 ```
  87 04112233445566884400c82000000000
  88 ^^                               Manufacturer byte
  89 ^^^^^^^^^^^^^^                   UID
  90               ^^                 SAK(*)
  91                 ^^^^             ATQA
  92                     ^^^^^^^^^^^^ Manufacturer data
  93 (*) all? cards have a different SAK in their anticollision and in block0: +0x80 in the block0 (e.g. 08->88, 18->98)
  94 ```
  95
  96 ## MIFARE Classic Gen1A aka UID
  97
  98 ### Identify
  99
 100 ```
 101 hf 14a info
 102 ...
 103 [+] Magic capabilities : Gen 1a
 104 ```
 105
 106 ### Magic commands
 107
 108 * Wipe: `40(7)`, `41` (use 2000ms timeout)
 109 * Read: `40(7)`, `43`, `30xx`+crc
 110 * Write: `40(7)`, `43`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 111
 112 ### Characteristics
 113
 114 * UID: Only 4b versions
 115 * ATQA:
 116   * all cards play blindly the block0 ATQA bytes, beware!
 117 * SAK:
 118   * some cards play blindly the block0 SAK byte, beware!
 119   * some cards use a fix "08" in anticollision, no matter the block0
 120   * some cards use a fix "08" in anticollision, unless SAK in block0 has most significant bit "80" set, in which case SAK="88"
 121 * BCC:
 122   * all cards play blindly the block0 BCC byte, beware!
 123 * ATS:
 124   * no card with ATS
 125
 126 #### MIFARE Classic Gen1A flavour 1
 127
 128 * SAK: play blindly the block0 SAK byte, beware!
 129 * PRNG: static 01200145
 130 * Wipe: filled with 0xFF
 131
 132 #### MIFARE Classic Gen1A flavour 2
 133
 134 * SAK: play blindly the block0 SAK byte, beware!
 135 * PRNG: static 01200145
 136 * Wipe: filled with 0x00
 137
 138 #### MIFARE Classic Gen1A flavour 3
 139
 140 * SAK: 08
 141 * PRNG: static 01200145
 142 * Wipe: filled with 0xFF
 143
 144 #### MIFARE Classic Gen1A flavour 4
 145
 146 * SAK: 08
 147 * PRNG: weak
 148 * Wipe: timeout, no wipe
 149
 150 #### MIFARE Classic Gen1A flavour 5
 151
 152 * SAK: 08
 153 * PRNG: weak
 154 * Wipe: reply ok but no wipe performed
 155
 156 #### MIFARE Classic Gen1A flavour 6
 157
 158 * SAK: 08 or 88 if block0_SAK most significant bit is set
 159 * PRNG: weak
 160 * Wipe: timeout, no wipe
 161
 162 #### MIFARE Classic Gen1A flavour 7
 163
 164 * SAK: 08 or 88 if block0_SAK most significant bit is set
 165 * PRNG: weak
 166 * Wipe: filled with 0x00
 167
 168 ### Proxmark3 commands
 169
 170 ```
 171 hf mf csetuid
 172 hf mf cwipe
 173 hf mf csetblk
 174 hf mf cgetblk
 175 hf mf cgetsc
 176 hf mf cload
 177 hf mf csave
 178 hf mf cview
 179 ```
 180
 181 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 182
 183 ```
 184 # MFC Gen1A 1k:
 185 hf mf cwipe -u 11223344 -a 0004 -s 08
 186 # MFC Gen1A 4k:
 187 hf mf cwipe -u 11223344 -a 0044 -s 18
 188 ```
 189 or just fixing block0:
 190 ```
 191 # MFC Gen1A 1k:
 192 hf mf csetuid -u 11223344 -a 0004 -s 08
 193 # MFC Gen1A 4k:
 194 hf mf csetuid -u 11223344 -a 0044 -s 18
 195 ```
 196
 197 ```
 198 script run hf_mf_magicrevive
 199 ```
 200
 201 To execute commands manually:
 202 ```
 203 hf 14a raw -a -k -b 7       40
 204 hf 14a raw    -k            43
 205 hf 14a raw    -k -c         A000
 206 hf 14a raw       -c -t 1000 11223344440804006263646566676869
 207 ```
 208 wipe:
 209 ```
 210 hf 14a raw -a -k -b 7       40
 211 hf 14a raw -t 1000          41
 212 ```
 213
 214 ### libnfc commands
 215
 216 ```
 217 nfc-mfsetuid
 218 nfc-mfclassic R a u mydump
 219 nfc-mfclassic W a u mydump
 220 ```
 221
 222 ## MIFARE Classic Gen1B
 223
 224 Similar to Gen1A, but supports directly read/write after command 40
 225
 226 ### Identify
 227
 228 ```
 229 hf 14a info
 230 ...
 231 [+] Magic capabilities : Gen 1b
 232 ```
 233
 234 ### Magic commands
 235
 236 * Read: `40(7)`, `30xx`
 237 * Write: `40(7)`, `A0xx`+crc, `xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx`+crc
 238
 239 ## MIFARE Classic DirectWrite aka Gen2 aka CUID
 240
 241 (also referred as MCT compatible by some sellers)
 242
 243 ### Identify
 244
 245 ```
 246 hf 14a info
 247 ...
 248 [+] Magic capabilities : Gen 2 / CUID
 249 ```
 250
 251 Not all Gen2 cards can be identified with `hf 14a info`, only those replying to RATS.
 252
 253 To identify the other ones, you've to try to write to block0 and see if it works...
 254
 255 ### Magic commands
 256
 257 Android compatible
 258
 259 * issue regular write to block0
 260
 261 ### Characteristics
 262
 263 * UID: 4b and 7b versions
 264 * ATQA:
 265   * some cards play blindly the block0 ATQA bytes, beware!
 266   * some cards use a fix ATQA in anticollision, no matter the block0. Including all 7b.
 267 * SAK:
 268   * some cards play blindly the block0 SAK byte, beware!
 269   * some cards use a fix "08" or "18" in anticollision, no matter the block0. Including all 7b.
 270 * BCC:
 271   * some cards play blindly the block0 BCC byte, beware!
 272   * some cards compute a proper BCC in anticollision. Including all 7b computing their BCC0 and BCC1.
 273 * ATS:
 274   * some cards don't reply to RATS
 275   * some reply with an ATS
 276
 277 #### MIFARE Classic DirectWrite flavour 1
 278
 279 * UID 4b
 280 * ATQA: play blindly the block0 ATQA bytes, beware!
 281 * SAK: play blindly the block0 SAK byte, beware!
 282 * BCC: play blindly the block0 BCC byte, beware!
 283 * ATS: no
 284 * PRNG: weak
 285
 286 #### MIFARE Classic DirectWrite flavour 2
 287
 288 * UID 4b
 289 * ATQA: fixed
 290 * SAK: fixed
 291 * BCC: computed
 292 * ATS: 0978009102DABC1910F005
 293 * PRNG: weak
 294
 295 #### MIFARE Classic DirectWrite flavour 3
 296
 297 * UID 4b
 298 * ATQA: play blindly the block0 ATQA bytes, beware!
 299 * SAK: fixed
 300 * BCC: play blindly the block0 BCC byte, beware!
 301 * ATS: no
 302 * PRNG: weak
 303
 304 #### MIFARE Classic DirectWrite flavour 4
 305
 306 * UID 7b
 307 * ATQA: fixed
 308 * SAK: fixed
 309 * BCC: computed
 310 * ATS: 0978009102DABC1910F005
 311 * PRNG: static 00000000
 312
 313 #### MIFARE Classic DirectWrite flavour 5
 314
 315 * UID 4b
 316 * ATQA: fixed
 317 * SAK: play blindly the block0 SAK byte, beware!
 318 * BCC: computed
 319 * ATS: no
 320 * PRNG: weak
 321
 322 #### MIFARE Classic DirectWrite flavour 6
 323
 324 **TODO** need more info
 325
 326 * UID 7b
 327 * ATS: 0D780071028849A13020150608563D
 328
 329 ### Proxmark3 commands
 330
 331 ```
 332 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -d 11223344440804006263646566676869
 333
 334 hf mf wipe --gen2
 335 ```
 336
 337 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 338
 339 ```
 340 hf 14a config -h
 341 ```
 342
 343 e.g. for 4b UID:
 344
 345 ```
 346 hf 14a config --atqa force --bcc ignore --cl2 skip --rats skip
 347 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -k 11223344440804006263646566676869 # for 1k
 348 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -k 11223344441802006263646566676869 # for 4k
 349 hf 14a config --std
 350 hf 14a reader
 351 ```
 352
 353 e.g. for 7b UID:
 354
 355 ```
 356 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 357 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -k 04112233445566084400626364656667 # for 1k
 358 hf mf wrbl --blk 0 -k FFFFFFFFFFFF -k 04112233445566184200626364656667 # for 4k
 359 hf 14a config --std
 360 hf 14a reader
 361 ```
 362 ## MIFARE Classic DirectWrite, FUID version aka 1-write
 363
 364 Same as MIFARE Classic DirectWrite, but block0 can be written only once.
 365
 366 Initial UID is AA55C396
 367
 368 ### Identify
 369
 370 Only possible before personalization.
 371
 372 ```
 373 hf 14a info
 374 ...
 375 [+] Magic capabilities : Write Once / FUID
 376 ```
 377
 378 ## MIFARE Classic DirectWrite, UFUID version
 379
 380 Same as MIFARE Classic DirectWrite, but block0 can be locked with special command.
 381
 382 ### Identify
 383
 384 **TODO**
 385
 386 ### Proxmark3 commands
 387
 388 To lock definitively block0:
 389 ```
 390 hf 14a raw -a -k -b 7 40
 391 hf 14a raw    -k      43
 392 hf 14a raw    -k -c   e000
 393 hf 14a raw       -c   85000000000000000000000000000008
 394 ```
 395
 396 ## MIFARE Classic, other versions
 397
 398 **TODO**
 399
 400 * ZXUID, EUID, ICUID ?
 401 * Some cards exhibit a specific SAK=28 ??
 402
 403 ## MIFARE Classic APDU aka Gen3
 404
 405 ### Identify
 406
 407 ```
 408 hf 14a info
 409 ...
 410 [+] Magic capabilities : Gen 3 / APDU
 411 ```
 412
 413 ### Magic commands
 414
 415 Android compatible
 416
 417 * issue special APDUs
 418
 419 ```
 420 cla  ins p1  p2  len
 421  90  F0  CC  CC  10 <block0>  - write block 0
 422  90  FB  CC  CC  07 <uid>     - change uid (independently of block0 data)
 423  90  FD  11  11  00           - lock permanently
 424 ```
 425 It seems the length byte gets ignored anyway.
 426
 427 Note: it seems some cards only accept the "change UID" command.
 428
 429 It accepts direct read of block0 (and only block0) without prior auth.
 430
 431 Writing to block 0 has some side-effects:
 432
 433 * It changes also the UID. Changing the UID *does not* change block 0.
 434 * ATQA and SAK bytes are automatically replaced by fixed values.
 435 * On 4-byte UID cards, BCC byte is automatically corrected.
 436
 437 ### Characteristics
 438
 439 * UID: 4b and 7b versions
 440 * ATQA/SAK: fixed
 441 * BCC: auto
 442 * ATS: none
 443
 444 ### Proxmark3 commands
 445
 446 ```
 447 # change just UID:
 448 hf mf gen3uid
 449 # write block0:
 450 hf mf gen3blk
 451 # lock (uid/block0?) forever:
 452 hf mf gen3freeze
 453 ```
 454 See also
 455 ```
 456 script run hf_mf_gen3_writer -h
 457 ```
 458
 459 Equivalent:
 460 ```
 461 # change just UID:
 462 hf 14a raw -s -c  -t 2000  90FBCCCC07 11223344556677
 463 # read block0:
 464 hf 14a raw -s -c 3000
 465 # write block0:
 466 hf 14a raw -s -c  -t 2000  90F0CCCC10 041219c3219316984200e32000000000
 467 # lock (uid/block0?) forever:
 468 hf 14a raw -s -c 90FD111100
 469 ```
 470
 471 ## MIFARE Classic Super
 472
 473 It behaves like DirectWrite but records reader auth attempts.
 474
 475 To change UID: same commands as for MFC DirectWrite
 476
 477 To do reader-only attack: at least two versions exist.
 478
 479 * type 1: https://github.com/nfc-tools/nfc-supercard for card with ATS: 0978009102DABC1910F005
 480 * type 2: https://github.com/netscylla/super-card/blob/master/libnfc-1.7.1/utils/nfc-super.c for ??
 481
 482 ### Identify
 483
 484 Only type 1 at the moment:
 485
 486 ```
 487 hf 14a info
 488 ...
 489 [+] Magic capabilities : super card
 490 ```
 491
 492 # MIFARE Ultralight
 493
 494 ## MIFARE Ultralight blocks 0..2
 495
 496 ```
 497 SN0  SN1  SN2  BCC0
 498 SN3  SN4  SN5  SN6
 499 BCC1 Int  LCK0 LCK1
 500 ```
 501
 502 UID is made of SN0..SN6 bytes
 503
 504 Computing BCC0 on UID 04112233445566: `analyse lcr -d 88041122` = `bf`
 505
 506 Computing BCC1 on UID 04112233445566: `analyse lcr -d 33445566` = `44`
 507
 508 Int is internal, typically 0x48
 509
 510 Anticol shortcut (CL1/3000) is supported for UL, ULC, NTAG except NTAG I2C
 511
 512
 513 ## MIFARE Ultralight Gen1A
 514
 515 ### Identify
 516
 517 **TODO**
 518
 519 ### Characteristics
 520
 521 #### Magic commands
 522
 523 **TODO**
 524
 525 #### UID
 526
 527 Only 7b versions
 528
 529 #### SAK, ATQA, BCC, ATS
 530
 531 **TODO** need more tests
 532
 533 ### Proxmark3 commands
 534
 535 ```
 536 script run hf_mfu_setuid -h
 537 ```
 538
 539 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 540
 541 ```
 542 hf 14a config -h
 543 script run hf_mf_magicrevive -u
 544 ```
 545
 546 ## MIFARE Ultralight DirectWrite
 547
 548 ### Identify
 549
 550 ```
 551 hf 14a info
 552 ...
 553 [+] Magic capabilities : Gen 2 / CUID
 554 ```
 555
 556 It seems so far that all MFUL DW have an ATS.
 557
 558 ### Magic commands
 559
 560 Issue three regular MFU write commands in a row to write first three blocks.
 561
 562 ### Characteristics
 563
 564 * UID: Only 7b versions
 565 * ATQA:
 566   * all cards play fix ATQA
 567 * SAK:
 568   * all cards play fix SAK
 569 * BCC:
 570   * some cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 571   * some cards compute proper BCC0 and BCC1 in anticollision
 572 * ATS:
 573   * all cards reply with an ATS
 574
 575 #### MIFARE Ultralight DirectWrite flavour 1
 576
 577 * BCC: computed
 578 * ATS: 0A78008102DBA0C119402AB5
 579 * Anticol shortcut (CL1/3000): fails
 580
 581 #### MIFARE Ultralight DirectWrite flavour 2
 582
 583 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 584 * ATS: 850000A00A000AB00000000000000000184D
 585 * Anticol shortcut (CL1/3000): succeeds
 586
 587 ### Proxmark3 commands
 588
 589 ```
 590 hf mfu setuid -h
 591 ```
 592
 593 Equivalent: don't use `hf mfu wrbl` as you need to write three blocks in a row, but do, with proper BCCx:
 594
 595 ```
 596 hf 14a raw -s -c -k a2 00 041122bf
 597 hf 14a raw    -c -k a2 01 33445566
 598 hf 14a raw    -c    a2 02 44480000
 599 ```
 600
 601 When "soft-bricked" (by writing invalid data in block0), these ones may help:
 602
 603 ```
 604 hf 14a config -h
 605 ```
 606
 607 E.g.:
 608 ```
 609 hf 14a config --atqa force --bcc ignore --cl2 force --cl3 skip --rats skip
 610 hf mfu setuid --uid 04112233445566
 611 hf 14a config --std
 612 hf 14a reader
 613 ```
 614
 615 ### libnfc commands
 616
 617 ```
 618 nfc-mfultralight -h
 619 ```
 620 See `--uid` and `--full`
 621
 622 ### Android
 623
 624 * MIFARE++ Ultralight
 625
 626 ## MIFARE Ultralight EV1 DirectWrite
 627
 628 Similar to MFUL DirectWrite
 629
 630 ### Identify
 631
 632 ```
 633 hf 14a info
 634 ...
 635 [+] Magic capabilities : Gen 2 / CUID
 636 ```
 637
 638 ### Characteristics
 639
 640 * UID: Only 7b versions
 641 * ATQA:
 642   * all cards play fix ATQA
 643 * SAK:
 644   * all cards play fix SAK
 645 * BCC:
 646   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 647 * ATS:
 648   * all cards reply with an ATS
 649
 650 #### MIFARE Ultralight EV1 DirectWrite flavour 1
 651
 652 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 653 * ATS: 850000A000000AC30004030101000B0341DF
 654
 655 #### MIFARE Ultralight EV1 DirectWrite flavour 2
 656
 657 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 658 * ATS: 850000A00A000AC30004030101000B0316D7
 659
 660 ## MIFARE Ultralight C Gen1A
 661
 662 Similar to MFUL Gen1A
 663
 664 ## MIFARE Ultralight C DirectWrite
 665
 666 Similar to MFUL DirectWrite
 667
 668 ### Identify
 669
 670 ```
 671 hf 14a info
 672 ...
 673 [+] Magic capabilities : Gen 2 / CUID
 674 ```
 675
 676 ### Characteristics
 677
 678 * UID: Only 7b versions
 679 * ATQA:
 680   * all cards play fix ATQA
 681 * SAK:
 682   * all cards play fix SAK
 683 * BCC:
 684   * cards compute proper BCC0 and BCC1 in anticollision
 685 * ATS:
 686   * all cards reply with an ATS
 687
 688 #### MIFARE Ultralight C DirectWrite flavour 1
 689
 690 * BCC: computed
 691 * ATS: 0A78008102DBA0C119402AB5
 692 * Anticol shortcut (CL1/3000): fails
 693
 694 # NTAG
 695
 696 ## NTAG213 DirectWrite
 697
 698 Similar to MFUL DirectWrite
 699
 700 ### Identify
 701
 702 ```
 703 hf 14a info
 704 ...
 705 [+] Magic capabilities : Gen 2 / CUID
 706 ```
 707
 708 ### Characteristics
 709
 710 * UID: Only 7b versions
 711 * ATQA:
 712   * all cards play fix ATQA
 713 * SAK:
 714   * all cards play fix SAK
 715 * BCC:
 716   * cards play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 717 * ATS:
 718   * all cards reply with an ATS
 719
 720 #### NTAG213 DirectWrite flavour 1
 721
 722 * BCC: play blindly the block0 BCC0 and block2 BCC1 bytes, beware!
 723 * ATS: 0A78008102DBA0C119402AB5
 724 * Anticol shortcut (CL1/3000): succeeds
 725
 726 ## NTAG21x
 727
 728 ### Identify
 729
 730 ```
 731 hf 14a info
 732 ...
 733 [+] Magic capabilities : NTAG21x
 734 ```
 735
 736 ### Characteristics
 737
 738 Emulates fully NTAG213, 213F, 215, 216, 216F
 739
 740 Emulates partially  UL EV1 48k/128k, NTAG210, NTAG212, NTAGI2C 1K/2K, NTAGI2C 1K/2K PLUS
 741
 742 Anticol shortcut (CL1/3000): fails
 743
 744 ### Proxmark3 commands
 745
 746 ```
 747 script run hf_mfu_magicwrite -h
 748 ```
 749
 750 # DESFire
 751
 752 ## "DESFire" APDU, 7b UID
 753
 754 ### Identify
 755
 756 **TODO**
 757
 758 ### Magic commands
 759
 760 Android compatible
 761
 762 * issue special APDUs
 763
 764 ### Characteristics
 765
 766 * ATQA: 0344
 767 * SAK: 20
 768 * ATS: 0675338102005110 or 06757781028002F0
 769
 770 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
 771
 772 ### Proxmark commands
 773
 774 UID 04112233445566
 775 ```
 776 hf 14a raw -s -c 0200ab00000704112233445566
 777 ```
 778 or equivalently
 779 ```
 780 hf 14a apdu -s 00ab00000704112233445566
 781 ```
 782
 783 ### libnfc commands
 784
 785 ```
 786 pn53x-tamashell
 787 4a0100
 788 420200ab00000704112233445566
 789 ```
 790 ## "DESFire" APDU, 4b UID
 791
 792 ### Magic commands
 793
 794 Android compatible
 795
 796 * issue special APDUs
 797
 798 ### Characteristics
 799
 800 * ATQA: 0008 ??? This is not DESFire, 0008/20 doesn't match anything
 801 * SAK: 20
 802 * ATS: 0675338102005110 or 06757781028002F0
 803
 804 Only mimics DESFire anticollision (but wrong ATS), no further DESFire support
 805
 806 ### Proxmark commands
 807
 808 UID 04112233445566
 809 ```
 810 hf 14a raw -s -c 0200ab00000411223344
 811 ```
 812 or equivalently
 813 ```
 814 hf 14a apdu -s 00ab00000411223344
 815 ```
 816
 817 It accepts longer UID but that doesn't affect BCC/ATQA/SAK
 818
 819 ### pn53x-tamashell commands
 820 ```
 821 4a0100
 822 420200ab00000411223344
 823 ```
 824
 825 ### Remarks
 826
 827 The same effect (with better ATQA!) can be obtained with a MFC Gen1A that uses SAK defined in block0:
 828
 829 ```
 830 hf mf csetblk --blk 0 -d 1122334444204403A1A2A3A4A5A6A7A8
 831 hf 14a info
 832 [+]  UID: 11 22 33 44
 833 [+] ATQA: 03 44
 834 [+]  SAK: 20 [1]
 835 [+] Possible types:
 836 [+]    MIFARE DESFire MF3ICD40
 837 ```
 838
 839 # ISO14443B
 840
 841 ## ISO14443B magic
 842
 843 No such card is available.
 844
 845 Some vendor allow to specify an ID (PUPI) when ordering a card.
 846
 847 # ISO15693
 848
 849 ## ISO15693 magic
 850
 851 ### Identify
 852
 853 **TODO**
 854
 855 ### Proxmark3 commands
 856
 857 Always set a UID starting with `E0`.
 858
 859 ```
 860 hf 15 csetuid E011223344556677
 861 ```
 862 or (ignore errors):
 863 ```
 864 script run hf_15_magic -u E004013344556677
 865 ```