讀卡序號CSN與扇區加密讀取有何分別？
安裝門禁系統時，承辦商常問一句「讀卡號還是讀扇區」。同樣一張感應卡，用CSN方式讀取與用扇區加密方式讀取，保安結果完全不同。本文解釋兩種方式的原理、分別與選擇要點，並說明香港市場常見卡片的實際情況。
CSN與扇區的基本概念
感應式智能卡（如MIFARE系列）的儲存空間分為兩層：晶片出廠時有一個固定不變的序號（UID或CSN），其餘空間則劃分為多個扇區（sector），扇區內再分為資料塊，可存放資料與密鑰。門禁系統讀取卡片的方式，就是圍繞這兩層空間作選擇。
CSN（卡號）
CSN（Card Serial Number）是晶片出廠時寫入的全球唯一序號，一般無法更改。門禁系統只讀取這個序號並把它登記為用戶身分，是最簡單、成本最低的讀卡方式。
扇區（Sector）
扇區是晶片內的資料儲存區域，例如MIFARE Classic把儲存空間分為十六個扇區，每區四個資料塊。系統可把用戶身分寫入扇區，並以密鑰保護，讀取時須先通過密鑰驗證才能取得資料。
密鑰（Key）
扇區讀取依賴密鑰驗證：讀卡器與卡片互相確認密鑰後，才允許讀取或寫入扇區資料。密鑰的保密程度，直接決定扇區資料的安全等級。
簡單來說：CSN是「憑卡本身的身分認人」，扇區讀取是「憑卡內加密資料認人」。前者把整張卡視為一個身分憑證，後者則在卡內放入可受密鑰保護的身分資料，並可同時存放其他應用資料（例如餘額、消費紀錄等），為一卡多用提供基礎。
兩種方式都能正常開門，分別不在於「能不能用」，而在於「保安有多強、被複製的難度有多高」。理解了這點，就明白為何同一張卡，用不同方式讀取會得出截然不同的保安結果。
兩種讀取方式的分別
把CSN讀取與扇區讀取並排比較，分別主要體現在安全程度、適用場景與成本三個方面。
| 比較項目 | CSN（只讀卡號） | 扇區加密讀取 |
|---|
| 讀取的資料 | 晶片出廠序號，全卡相同，公開可讀 | 寫入扇區的用戶資料，受密鑰保護 |
| 被複製難度 | 低：序號公開，市面上複製設備可直接讀取並寫入空白卡 | 高：無密鑰無法讀取或寫入，複製須先破解密鑰 |
| 可否一卡多用 | 不可以：卡號只代表身分，不能存放其他資料 | 可以：扇區可存放門禁、儲值、消費等多個應用 |
| 系統成本 | 較低：讀卡器與發卡流程簡單 | 較高：需要發卡器、密鑰管理與加密讀卡器 |
| 適用場合 | 低風險場所、成本敏感項目 | 高保安場所、需要一卡多用的機構 |
以MIFARE Classic為例，這款晶片在全球流通量極大，其加密演算法在多年前已被公開破解，坊間複製設備可以在短時間內讀取卡內資料並複製。採用CSN方式讀取的系統，只要把卡片放在複製設備上，卡號便會被讀走；採用扇區讀取並使用廠商自訂密鑰的系統，複製者須先破解密鑰，門檻高得多。
還有一個實務分別：CSN方式下，用戶的「身分」鎖定在實體卡上，換卡即等於換身分；扇區方式則可以把身分資料重新寫入新卡，遺失補發時資料可複製過渡，管理上較靈活。不過這也意味著扇區資料的密鑰管理必須嚴謹，否則密鑰外洩時所有卡片都會受影響。
需要協助？我們可檢視現有系統的讀卡方式與卡片型號，評估複製風險，並提供加密讀取或雙重驗證的升級方案，歡迎說明現用系統資料。WhatsApp → 為何只讀CSN的卡片容易被複製
門禁卡被複製的事件在香港並不罕見，而絕大部分案例都與CSN讀取方式有關。理解複製的技術過程，就知道防範的方向。
複製一張CSN卡片的過程可分為四步：第一步，把原卡放在複製設備的感應範圍內，設備向卡片發出讀取指令，取得卡號；第二步，取出空白卡，把讀到的卡號寫入空白卡；第三步，新卡立即擁有與原卡相同的卡號；第四步，由於門禁系統只比對卡號，新卡與原卡在系統眼中完全相同，可以正常開門。
整個過程所需的設備在網上可以輕易購得，價格不高，操作亦毋須專業知識。正因如此，只讀CSN的門禁系統，保安強度等同於「把門鎖鑰匙的形狀公開張貼」——任何人只要看到卡，就能複製一把相同的鑰匙。
扇區加密方式則不同。複製者即使讀到卡內資料，亦無法在沒有密鑰的情況下把資料寫入空白卡；即使寫入了，門禁讀卡器在驗證密鑰時亦會拒絕。保安等級的關鍵因此落在密鑰之上：使用出廠預設密鑰的扇區系統，保安形同虛設；使用廠商自訂且妥善管理的密鑰，複製門檻才會真正提高。
對管理者的提醒：無論採用哪種方式，員工或住戶的卡片遺失後都應即時停用，並定期檢討是否把系統升級至扇區加密讀取。保安是持續投入，而非一次性安裝。
香港常見感應卡的實際情況
香港市場上流通的感應式卡片種類不少，同一晶片亦有不同型號與安全等級，選型時應按實際需求而非單憑價格決定。
| 卡片類別 | 特點 | 常見用途 |
|---|
| EM類低頻卡 | 只讀卡號，無加密可言，複製最容易 | 舊式倉庫、車閘、低成本門禁 |
| MIFARE Classic | 流通量極大，加密演算法已公開破解，出廠密鑰可被讀取 | 香港不少大廈與學校的門禁、儲值卡 |
| MIFARE Plus / DESFire | 支援較高級加密演算法，DESFire獲認證支援AES加密，安全等級較高 | 銀行卡、交通卡等高保安應用 |
香港的八達通與部分銀行卡使用高安全等級的晶片技術，支援以加密方式存放資料與交易驗證，其保安設計經多年市場考驗。門禁系統選用同類技術，意味著卡片可與其他應用共用或沿用同一張卡，但保安等級亦須配以妥善的密鑰管理才有意義。
值得注意的是，市場上不少「平價門禁卡」與「複製卡設備」以低價吸引用戶，但這些設備針對的正是保安較弱的卡片技術。管理者選擇系統時，應先問清楚承辦商：讀卡方式為CSN還是扇區加密？密鑰由誰管理？出廠預設密鑰有否更改？這些問題的答案，比卡片本身的價格更能反映系統的保安水平。
另一個香港常見情況，是大廈沿用多年舊系統，卡片技術停留在只讀CSN階段。此類系統升級時，可以考慮保留原有卡片、只更換讀卡器與控制器的方案，但須確認舊卡的技術是否支援加密讀取；不支援的卡只能全面換卡，成本須一併計入升級預算。
如何選擇適合的讀卡方式
選擇CSN還是扇區讀取，不應只看價格，而應按場所風險、用戶人數與管理能力三方面衡量。
- 評估場所風險——存放貴重物品、敏感資料或涉及人身安全的地方，應採用扇區加密讀取；低風險的內部通道可考慮CSN以節省成本。
- 考慮卡被複製的後果——若一張卡被複製後可以進入伺服器房、財物室或私人住所，複製風險便不能接受，應選加密方式。
- 評估管理能力——扇區加密需要管理密鑰、處理發卡與補卡，若機構沒有專人負責，密鑰可能淪為出廠預設值，保安效果大打折扣。
- 考慮日後擴展——若計劃日後加入儲值、消費或訪客管理，應選支援扇區應用的卡片技術，避免屆時全面換卡。
- 一併規劃權限與審計——無論採用哪種方式，都應配套權限審查、遺失停用與開門紀錄審計，這些制度比讀卡方式本身更能決定整體保安水平。
一個務實的建議：對保安要求較高的場所，可採用「卡號加個人密碼」的雙重驗證，或選用支援加密演算法的卡片並由承辦商設定自訂密鑰。雙重驗證即使卡片被複製，冒用者亦須猜出密碼；加密卡則從源頭提高複製門檻。兩者並用，保安效果最為穩妥。
最後，應把讀卡方式的決定寫入標書或合約，並在驗收時實際測試：以複製卡嘗試開門，確認系統能拒絕；以空白卡嘗試讀取，確認無法寫入身分資料。這些測試應由管理方主導，而非只聽承辦商口頭保證。
與香港私隱條例的關係
讀卡方式的選擇除了保安考量，還涉及個人資料處理。感應卡若存放或連結到用戶身分資料，門禁系統處理的便是個人資料，須符合《個人資料（私隱）條例》的要求。
條例訂明的保障資料原則包括：收集個人資料須有合法目的並與目的相關；資料須準確；保存期限不可超過實際需要；使用須與收集時目的相符；並須採取適當保安措施保護資料。門禁系統的卡片資料、權限紀錄與開門紀錄，均屬此範圍。
對採用扇區加密的系統而言，卡片內的身分資料與密鑰本身更是敏感資料，管理上應限制存取權限，只讓指定負責人接觸發卡器與密鑰；採用CSN的系統雖然卡片內資料簡單，但開門紀錄同樣連結用戶身分，保存期限與查閱程序仍須妥為處理。
香港個人資料私隱專員公署就生物辨識資料另發有專門指引，若系統日後升級為生物辨識門禁，便須按指引評估收集的適當性與必要性。無論採用何種讀卡方式，管理機構都應定期檢討資料處理流程，並在私隱政策中向用戶說明收集與保存安排。