Emulating complex HF-RFID protocols for identity and sensing

Transkript

1 School of Engineering InES Institute of Embedded Systems Emulating complex HF-RFID protocols for identity and sensing (Präsentiert an der Embedded Computing Conference in Winterthur vom 27 sten August 2013) Dipl. MSc Olivier Rion Contacts: / marcel.meli@zhaw.ch

2 und und Lösung 2/34 Lösung

3 und Lösung 3/34 und Heutzutage ist die RFID Technologie sehr verbreitet Millionen von Geräten sind im Einsatz Immer mehr Anwendungen erscheinen Anwendungen für Identifikation von Leuten oder Material Eintrittskontrollen, Ticketing, usw... Sensordaten lesen mit dem gleichen Kanal wie RFID -> Wiederverwendung von vorhandener RFID Reader Infrastruktur RFID Sensornetz Die meisten RFID Geräte sind einfach und preisempfindlich Grössenoptimierung (Kosten) Wenig Raum für Extra Features -> Debugging oder Tests Komplexe sind manchmal notwendig Z.B. NFC Schwieriger zum Debuggen und Testen Emulation von RFID Geräten kann helfen

4 und Lösung 4/34 und RFID kann für verschiedene Zwecke dienen Anwendungsentwicklung helfen Anwendung optimieren, verschiedene Kommunikationsphasen oder Anwendungsschicht analysieren Debugg und Test von Produkten Vereinfacht die Analyse von Problemen, wenn die Daten beobachtet werden können Ermöglicht Sicherheitstests Mit den übrigen Ressourcen der können Sicherheit Features implementiert und getestet werden -> Sicherheitsprobleme detektieren Ermöglicht Geschwindigkeitstests Die Möglichkeit, mehrere Karten in der zu emulieren -> Ermöglicht Geschwindigkeitstests Fehler Simulation, um Konsequenzen testen zu können Kontrollierte Fehler einfügen Unterricht Gutes Tool, um RFID zu verstehen

5 und Lösung und Das Ziel dieser Präsentation ist eine einfache und flexible Emulation von komplexen n vorzustellen ngrösse = normale RFID Kartengrösse Genügend Ressourcen -> verschiedene mit Extra Funktionen unterstützen Die folgenden Features ermöglichen die nötige Einfachheit und Flexibilität: Programmierbare -> Muss mit komplexem Low Layer umgehen können Genügend CPU- und Speicher-Ressourcen für die Anwendung und alle nicht zeitkritischen Funktionen Unsere Meinung: Der 5 Mikrocontroller ist die ideale Plattform für Low-Cost und flexible HF und LF RFID Emulationsprotokolle Wir haben mit Erfolg emuliert und die Plattform in der Lehre oder für Test genutzt Der gute Analogteil von 5 erlaubt, die Plattform als Sensor zu brauchen. Die IDs von einem Sensor können emuliert werden 5/34

6 und Wie RFID Tags funktionieren Der Tag enthält Informationen in einem nicht-volatilen Speicher Diese Informationen werden gesendet, wenn angefordert Die Informationen können mit Hilfe eines Reader gelesen werden Tag und Reader kommunizieren mit einem RF Feld generiert von einem Reader Tranceiver Transponder Lösung Oscillator Antenna Driver Coil1 EM4102 Coil2 Diagrams taken from datasheet of EM4102 (125kHz tag), EM Marin Filter and Gain Demodulator Data decoder Data received from transponder Signal on coils CLOCK EXTRACTOR Transponder coil COIL1 VDD Logic Clock Cress AC1 + FULL WAVE RECTIFIER Csup SEQUENCER MEMORY ARRAY Transeiver coil AC2 - COIL2 VSS RF Carrier Data DATA MODULATOR Serial Data Out DATA ENCODER Modulation Control 6/34

7 und Lösung 7/34 in emulierten HF n überwinden Bedingungen zu erfüllen, um komplexe zu emulieren: Genügend Rechenleistung Gewisse brauchen hohe Datenraten und haben zeitkritische Operationen Emulation muss für Daten Encoding/Decoding schnell genug sein Effizienter Daten Transfer zur CPU durch Interrupt Die physikalische Schicht muss schnell genug sein Zeitliche Einschränkungen müssen beachtet werden. Komplexe Timers und Logic Blöcke notwendig (meistens dedizierte ) Genügend Ressourcen für die Anwendung CPU und Speicher Ressourcen sind für den emulierten Teil notwendig Flexible Interrupt Struktur (schnell mit Interrupts umgehen) Möglichkeit, die Signale über die ganze Kette zu analysieren Kommunikationskanäle für die beobachteten Daten, ohne die Reaktionszeit des Systems zu beeinflussen Logging von Daten in NV Speicher Signale herausführen zum Analysieren (z.b. bei der Lehre)

8 und Lösung 8/34 Vorhandene Möglichkeiten, HF-RFID zu emulieren: Kombination von einem externen FPGA und einem Mikrocontroller Das FPGA ist für die zeitkritischen Layers zuständig Der Mikrocontroller ist für die oberen Layer zuständig Das ist eine 2 Chips Lösung RFID Chips für das Front-End Multi-Protokoll RFID Chip + CPU Neue oder Protokolländerungen sind schwierig Emulation von mehreren Karten ist schwierig Microcontroller External Bus (i.e. SPI) Logic / Dedicated chip (time critical work) Analog envelope Reader Leistungsstarke Prozessoren Leistungsstarke Prozessoren für die emulation Reaktionszeit problematisch (Implementation von Komplex bit Funktionen)

9 und Lösung 9/34 Lösung für RFID Emulation Der ermöglicht eine kleine flexible billige Low-Power-Lösung Der wurde für RFID Emulation schon verwendet Eine Application note beschreibt die Emulation eines RFID Readers mit einem 1 ZHAW-InES hat verschiedene 1 Versionen für die Emulation von Readers mit einfachen RFID n gebraucht ZHAW-InES hat auch den 3 gebraucht, um ein 125KHz RFID Reader für Lehrzwecke zu erstellen 5 Logic (time critical work) Analog envelope Der 5 hat eine stärkere CPU und ermöglicht es, kompliziertere zu emulieren Andere Arbeiten mit HF-RFID Karten Emulation mit 3/5 sind uns nicht bekannt Reader

10 und Lösung (1,2,3) (= Programmable System on Chip) Familie von Mikrocontroller mit internen programmierbaren Blöcken Die CPU kontrolliert das System 3 Generationen: 1, 3 (80C51), 5 (Cortex M3) Konfigurierbare Analogblöcke Verstärker Filters ADC, DAC, usw... Konfigurierbare Digitalblöcke UART, SPI Counters, Timers, PWM, Logic Funktionen, usw... 1 ermöglicht on-the-fly Rekonfiguration Funktionsblöcke können Signale von CPU bekommen oder Signale zur CPU weiterleiten Diese Arbeit hat mit einem 3 angefangen, aber schlussendlich wurde der 5 verwendet 10/34

11 8- Bit Timer I 2C Slave UART Quadrature Decoder 8- Bit SPI 16- Bit PWM 8- Bit Timer Logic 12- Bit SPI Logic 12- Bit PWM 16- Bit PRS RFID Emulation 5 architecture 5 Architektur (datasheet, Cypress Semiconductors) 1. Architectural Overview Introducing the CY8C55 family of ultra low power, flash Programmable System-on-Chip () devices, part of a scalable 8-bit 3 and 32-bit 5 platform. The CY8C55 family provides configurable blocks of analog, digital, and interconnect circuitry around a CPU subsystem. The combination of a CPU with a flexible analog subsystem, digital subsystem, routing, and I/O enables a high level of integration in a wide variety of consumer, industrial, and medical applications. Analog Interconnect und Lösung 2.7 to 5.5 V 4-25 MHz ( Optional) KHz ( Optional) SIOs GPIOs GPIOs GPIOs System Wide Resources Xtal Osc IMO RTC Timer WDT and Wake ILO Clock Tree Clocking System Power Management System POR and LVD Sleep Power 1.8 V LDO Usage Example for Digital Interconnect EEPROM Universal Digital Block Array (24 x ) LCD Direct Drive 4 x SC/ CT Blocks (TIA, PGA, Mixer etc) Temperature Sensor CapSense Sequencer Memory System SRAM FLASH Digital Filter Block 4x DAC Digital System System Bus 8051or Cortex M3 CPU Cache ADCs CPU System Analog System 2 x SAR ADC 1 x Del Sig ADC Interrupt Controller PHUB DMA 4 x Timer Counter PWM Program & Debug + 4 x Opamp - 4 x CMP Program Debug Trace + - I2C Master/ Slave FS USB 2.0 GPIOs GPIOs GPIOs GPIOs SIO USB PHY 3 per Opamp 22 11/34

12 und Lösung 5 Features vom Datasheet 32-bit ARM Cortex-M3 (80C51 for 3) CPU core DC bis 67 MHz Operation Flash Programm Speicher, up to 256 KB, 100,000 write cycles, Up to 64 KB SRAM Speicher 2-KB electrically erasable programmable read-only Speicher 24-channel direct memory access (DMA) mit multilayer Low voltage, ultra low power Betriebsspannungsbereich: 2.7V - 5.5V 6MHz Low power Modus mit: 2-uA sleep mode 300-nA hibernate mode mit RAM retention 12/34

13 und Lösung 5 features Vielseitiges I/O system 46 bis 70 I/Os (60 GPIOs, 8 SIOs, 2 USBIOs) Alle GPIO zu allen Digital- oder Analogperipherien routability Digitalperipherien 20 bis 24 PLD based universal digital blocks (s) Full-Speed USB 2.0, Timers, Counters, PWM Blöcke, SPI, UART, I2C Fixed point digital filter block (DFB) für FIR und IIR Filters Library of advanced peripherals Cyclic redundancy check (CRC), Pseudo random sequence (PRS) Generator Local interconnect network (LIN) bus 2.0, Quadrature decoder Analogperipherien (2.7V - VDDA - 5.5V) 1.024V ±1% interne Referenzspannung ADC mit 8- bis 20-bit Resolution SAR ADCs, opamps, usw... 13/34

14 und Lösung Blockschaltbild des RFID Emulator PICC/VICC Die Flexibilität vom ermöglicht die Emulation von PICC (ISO14443A) und VICC (ISO15693) Karten mit der gleichen Plattform Die aktuelle braucht noch ein Antennentuning Zwischen der Antenne und dem steht ein envelope detection block, um die nötigen Signale zu extrahieren (Daten und Clock, wenn nötig und möglich) Der Rest ist im gemacht Mit Änderungen kann das Protokoll ISO14443B emuliert werden Loop Analog Envelope SPI TX RX Manchaster Encoder Modified Miller Decoder Controll Fram e Detection FIFO FIFO 8051 Corte x-m3 USB USART 14/34

15 und RFID mit Antennen Konfiguration der mit einem Terminal durch UART oder USB: Systemkonfiguration von PC: IDs, Kartentyp, usw... Parameter zum Messen (für RFID Sensoren) RF Verkehr zum PC weiterleiten für die Visualisierung Befehle über den PC senden Lösung 15/34

16 RFID IO Erweiterung, um Sensoren, LEDs, usw. anzuschliessen Genügend Ressourcen stehen zur Verfügen für eventuelle RF Module und Lösung 16/34

17 Die kann im Prinzip alle mit einer Modulation 100% emulieren: und Lösung ISO/IEC (1 out of 4 mode (schnellster Modus) und 1 subcarrier unterstützt) (implementiert und getestet) Der Clock muss vom Reader aufgenommen werden ISO/IEC 14443A (implementiert und getestet) Obere Protokolllayers können auf diesen n emuliert werden (Proprietäres Protokoll implementiert und getestet) Notiz: Einige brauchen kleine Anpassungen 17/34

18 und Lösung : Charakteristik ISO15693 VICC (Vicinity cards) Maximale Reichweite 1m - 1.5m Frequence fc=13.56 MHz Reader - Karte Kommunikation ASK mit 10% oder 100% Modulation Index Data coding ist mit Pulse Position Modulation gemacht 1 out of 4 Symbol time = 75.52uS pause (9.44uS) position codes 2 bits (26.48kbps) 1 out of 256 Symbol time = 4.833mS, pause (9.44uS) position codes 8 bits (1.65kbps) Karte - Reader Kommunikation Low speed fc/2048 = 6.62kbps High speed fc/512 = 26.48kbps Data Coding: Manchester ASK 100% mit Modulation Index mit KHz subcarrier FSK 100% mit Modulation Index mit 2 subcarrier KHz und KHz 18/34

19 : Layer 1 Logik Die Logik behandelt RX/TX, UART, Switches Interrupts und Lösung 19/34

20 und Lösung : Funktionen Die unterstützt die folgenden Befehle: inventory (ISO15693_3_inventory_f) stay quiet (ISO15693_3_stay_quiet_f) read single block (ISO15693_3_read_single_block_f) write single block (ISO15693_3_write_single_block_f) lock block (ISO15693_3_lock_block_f) read multiple blocks (ISO15693_3_read_multiple_blocks_f) write multimple blocks (ISO15693_3_write_multiple_blocks_f) select (ISO15693_3_select_f) reset to ready (ISO15693_3_reset_to_ready_f) write afi (ISO15693_3_write_afi_f) lock afi (ISO15693_3_lock_afi_f) write dsfid (ISO15693_3_write_dsfid_f) lock dsfid (ISO15693_3_lock_dsfid_f) get system information (ISO15693_3_get_system_information_f) get multiple block security status (ISO15693_3_get_multiple_block_security_status_f) 20/34

21 und Lösung : Beschreibung CPU Alle Layers sind initialisiert Das Hauptprogramm wartet auf die Interrupts Logik Wenn neue Daten über RF empfangen werden, detektiert die Logik (Layer 1) den start of frame Jedes bit wird in einem Register gespeichert Nach 8 bits wird ein Interrupt generiert CPU Ein Interrupt signalisiert, dass neue Daten empfangen wurden Die jump im Layer 2 liest den Coding 1 out of 4 Nach Wiederauffinden von Daten wird der CRC getestet Danach wird die Layer 3 General function aufgerufen Wenn nötig wird eine Antwort berechnet und gespeichert Nach einer gewissen Zeit wird ein Interrupt generiert Die Daten werden von der Logik geschickt 21/34

22 und Lösung : Tests und Ergebnisse Verschiedene Karten wurden mit der getestet In der waren 4 verschiedene IDs programmiert Die konnte dann mit dem Reader und der des RFID Verkäufers gelesen werden Das Wechseln von einer Karte auf eine andere erfolgte durch Switches 22/34 Die folgenden Karten können emuliert werden (04 für NXP) 0xE0, 0x04, 0x01, 0x00, 0x33, 0x01, 0x04, 0xE0 //0xE0, 0x04, 0x01, 0xxxx1 xxxx ICODE SLIX 0xE0, 0x04, 0x01, 0x00, 0x44, 0x01, 0x04, 0xE0 //0xE0, 0x04, 0x01, 0xxxx0 xxxx ICODE SLI 0xE0, 0x04, 0x01, 0x00, 0x55, 0x02, 0x04, 0xE0 //0xE0, 0x04, 0x02, 0xxxx0 xxxx ICODE SLI-S 0xE0, 0x04, 0x01, 0x00, 0x66, 0x02, 0x04, 0xE0 //0xE0, 0x04, 0x02, 0xxxx1 xxxx ICODE SLI-S

23 : Sensing und Lösung Statt IDs kann die Sensordaten lesen und diese Daten dem Reader zur Verfügung stellen Die ADC Inputs oder andere digitale Signale können auch für Sensing gebraucht werden Ressourcen (CUP und Speicher) stehen noch für weitere Funktionen zur Verfügung 23/34

24 und Lösung 5 Logic (time critical work) Analog envelope Reader PICC card emulation Ebenso kann ein PICC (ISO14443A) emuliert werden Die untere Layer (Layer 1) wurde mit digital programmable blocks implementiert Die Modulation und das Coding wurden implementiert, aber die Anti-Collision wurde nur partiell implementiert. Die Logik, Interrupts und die sind für PICC und VICC komplett unterschiedlich 24/34

25 BUG 1 : Status enable Waiting for answer... BUG 1 : Response OK CMD 2 : Sended Waiting for answer... CMD 2 : Response error BUG 1 : Status disable Waiting for answer... BUG 1 : Response OK CMD 2 : Sended Waiting for answer... CMD 2 : Response OK RFID Emulation und Lösung Fehler Simulation und Debugging ist auf jeder Stufe möglich Die empfangenen Daten können direkt von der Logik zum PC gesendet werden Die Daten auf jeder Stufe können auch zum PC für Logging und Analyse weitergeleitet werden Monitoring 5 Layer 3 Layer 2 Layer 1 Logic (time critical work) BUG Simulation 25/34

26 Kartenkonfiguration und Kommunikationslog: Die PC ist über UART mit der PICC verbunden Die Spalte card stellt Konfigurationsmöglichkeiten dar Die Spalte log stellt das Kommunikationslog zwischen Reader und PICC dar und Lösung 26/34

27 Verbesserung des Prüfverfahrens Die verbessert die Tests: und Lösung Schnelle Testprozedur Möglichkeit, mehrere Karten zu emulieren Konfiguration der mit dem PC Die Testprozedur ist sehr vereinfacht Die Tests sind reproduzierbar Gesamter Verkehr zwischen und Reader kann mit dem PC analysiert und gespeichert werden Verschiedene Bugs und Fehler können simuliert werden 27/34

28 Verbesserung des Prüfverfahrens Kommunikation zwischen der und einem Reader mit dem ISO/IEC 14443A Protokoll mit einem Echtzeit Logging über UART. und Lösung 28/34

29 und Lösung Ein Einchip komplex RFID Emulator für multiple protocols wurde implementiert Nur passive Komponente nötig für 100% Modulation Index Nur wenig Komponenten notwendig Die Flexibilität von Blöcken und CPU (Cortex M3) ermöglicht: Komplexe Anwendungen auf die Kommunikationsprotokolle können noch geschrieben werden Sensorwerte können gelesen und als card IDs geschrieben werden, um diese zum PC zu schicken Ermöglicht Tests auf dem Level ( Fehler Simulation) Sehr schnell (kein SPI/I2C Interface) Logging Möglichkeit Reproduzierbare Tests Möglichkeit, mehrere Karten zu emulieren 29/34

30 Danke für Ihre Aufmerksamkeit Fragen? und Lösung 30/34 For more information: Prof. Dr. Marcel, Head of Wireless Systems Group Zurich University of Applied Sciences (ZHAW) Institute of Embedded Systems (InES) Technikumstr. 9 CH-8401 Winterthur Phone:

31 und Lösung Our activities Institute of Embedded Systems, Winterthur, Switzerland Part of Zurich University of Applied Sciences Involved in teaching, applied research projects Wired: Industrial Real Time Communication (Ethernet, ) Wireless: WPAN, RFID, UWB,... Energy harvesting, very Low power applications Examples of Low power developments: Passive, Intelligent RFID Tag (RF harvesting) Battery-less: powered only by the RFID reader Uses a 32-Bit microcontroller to emulate protocols Successful emulation of LF, UHF, Gen2 Identification, sensor, security,... (RFID sensor network) Range of several meters 31/34

32 Our activities Dynapic Wireless (Battery-less, wireless switch >10 million cycles) und Lösung Battery-less, wireless piezo-switch (patent filed) > 10 million cycles Silent (no unwanted clicks), thin, flat, fits on many surfaces 32/34

33 Our activities 6LoWPAN-Ethernet Bridge (Based on Cortex M3) Mobile node with cortex M0 also available. Running on EH und Lösung 33/34

34 Our activities Wireless automation with different energy harvesting sources und Lösung 34/34