门禁卡是出入口系统的第一道凭证，但它恰恰是安全链路上较容易被忽视的一环。有关部门的实测数据显示，相当比例的标配 IC 门禁卡可用复制设备直接仿制，复制一张只要几秒钟。Mifare 1K、CPU 卡、NFC 手机卡、国密卡，名字相近安全等级却差着数量级。搞清楚复制为什么能成功、CPU 卡靠什么防复制，才能决定存量系统是继续用、还是换卡换读卡器。
实测数据：六成 IC 门禁卡可被复制
2026 年京津冀消协对 30 款门锁的感应卡做过一次比较试验：19 款出厂自带 IC 卡中，12 款可以被复制设备直接仿制并秒开，占比超过六成。被复制的卡片大多是 M1 卡（NXP MIFARE Classic 芯片）或更低成本的 T5577 卡。复制流程并不复杂：复制设备读取卡片数据，写入一张空白卡，几秒钟完成，整个过程中卡片持有者毫无察觉。这意味着丢失一张 M1 卡，可能等于把钥匙复制件交给了拾获者；出租屋、物流仓等人员流动大的场景，前任用户持卡复制的问题更值得警惕。
M1 卡为什么不安全：存储芯片与安全芯片的差别
M1 卡本质上只是一片带存储区的射频芯片，认证逻辑固化在卡片出厂时，早期版本的加密算法已被公开破解，卡内数据可以被嗅探、读取和重放。CPU 卡则内置独立安全芯片，卡片自己具备运算能力，密钥不出芯片，每次认证生成动态随机码，复制设备即使拿到通讯数据也无法伪造出一张能开门的卡。两者的物理架构完全不同：M1 卡是"存数据的芯片"，CPU 卡是"会计算的芯片"。正因如此，M1 卡不能通过写数据的方式"升级"成 CPU 卡——芯片类型不兼容，想升级只能换卡，并配套支持 CPU 卡指令的读卡器。
CPU 卡与国密算法：动态认证怎么工作
CPU 卡的安全核心是双向认证。读卡器内部装有安全模块（PSAM 卡），预置行业主密钥；刷卡时，CPU 卡与 PSAM 卡完成一次挑战-应答：读卡器发随机数，卡片用内部密钥计算响应值，双方核对通过才放行，且每轮随机数不同，重放无效。算法上，国际路线常用 AES，国产信创路线用国密 SM1、SM2、SM3、SM4 系列。国密门禁的典型形态是：CPU 卡支持 ISO/IEC 14443 Type A 非接触协议，读卡器带 PSAM 卡座、支持韦根 26/34 输出，卡内密钥分散存储、由密钥管理系统统一管理。单卡成本上，M1 卡几元，CPU 卡普遍几十元以上，换来的是复制难度从"几秒"变成"无公开破解案例"。
手机 NFC 能顶替实体卡吗
手机 NFC 模拟门禁卡是近年常用的替代方案。原理是把卡片信息写入手机安全芯片，刷卡时与读卡器离线完成认证，不需要联网；华为、小米、OPPO、vivo 等主流手机多数支持熄屏刷卡，响应速度一般快于实体 CPU 卡。适用前提有两个：一是门禁读卡器硬件支持 NFC 协议，二是原卡未加密或已获得授权信息——加密的 M1 卡和 CPU 卡通常无法直接模拟。手机 NFC 的便利性突出，但权限管理、换机迁移、多人共用一台手机等场景需要配套规则，大型项目一般仍以实体卡为主、手机卡为补充。
存量系统怎么升级：换卡还是换读卡器
升级判断按风险等级来。关键门点（机房、财务室、贵重物品库房、数据中心）的权限凭证，建议直接升级到 CPU 卡或国密 CPU 卡；普通办公门点可以分阶段。升级前先确认读卡器是否支持 CPU 卡：只支持 MIFARE 协议的旧读卡器识别不了 CPU 卡，需要同步更换读卡器并接入支持加密算法的控制器。因此升级成本要按"读卡器 + 卡片 + 软件密钥管理"打包评估，而不是只算卡钱。新项目则直接一步到位：常规场景 CPU 卡起步，涉密或信创要求场景选国密 CPU 卡 + PSAM 方案。另外，凡是经历过人员更替的门禁卡，建议一律作废重发，防止前任持卡者私下复制的卡片继续有效。
一张表看懂四类卡的安全等级
| 卡片类型 | 工作频率/协议 | 安全机制 | 复制难度 | 典型成本 | 建议 |
|---|---|---|---|---|---|
| ID 卡 | 低频约 125kHz | 无加密 | 无门槛复制 | 极低 | 淘汰，不建议新装 |
| M1 卡（MIFARE Classic） | 13.56MHz | 早期算法已破解 | 秒级复制 | 几元 | 高风险门点尽快替换 |
| T5577 卡 | 13.56MHz 兼容 | 近乎无加密 | 秒级复制 | 更低 | 不建议用于授权门禁 |
| CPU 卡（含国密） | 13.56MHz ISO 14443A | 动态认证、密钥不出芯片 | 无公开破解案例 | 几十元以上 | 新项目与关键门点优先 |
选卡的本质是选"复制成本"。M1 卡复制只要几元和几秒，CPU 卡复制需要攻破安全芯片，两者之间的差价在授权管理价值面前完全可以接受。特大型园区、涉密单位再叠加国密算法与密钥管理体系，把"卡能复制"从可避免变成实际不可能。
TL;DR
- 消协实测显示六成以上标配 IC 卡可被复制，M1 卡与 T5577 卡是重灾区。
- CPU 卡靠内置安全芯片 + 动态随机认证防复制，M1 卡无此能力，且两者物理不兼容、无法"写卡升级"。
- 国密方案是 CPU 卡 + PSAM 安全模块 + SM1/SM2/SM3/SM4 算法，密钥分散管理，适合信创与涉密场景。
- 手机 NFC 刷卡的适用前提是读卡器支持且原卡可授权模拟，适合作为实体卡的补充。
- 升级按风险分级：关键门点先换 CPU 卡和配套读卡器，新项目直接 CPU 卡起步。
参考资料
- 2026 年京津冀消协感应卡比较试验（IC 卡可复制比例）
- CPU 卡国密门禁系统技术说明（ISO 14443 / PSAM / 韦根输出）
参考资料
- access-card-anti-clone
- access-control-basics
- access-control-backup-power