Mifare Classic, вопрос о протоколе аутентификации

Благодаря документы обратного инжиниринга на Mifare Classic, можно изучить протокол аутентификации. Однако у меня есть проблема с пониманием того, как это работает.

В приведенном выше документе после того, как читатель ответит $\{n_R\}$ $\{a_R\}$, тег теперь может вычислять $b_{32}$ (ключевой поток) в $b_{63}$ (благодаря $n_T$, $\текст{идентификатор}$ и ключ тега), так что XOR с ним $\{n_R\}$ извлекать $n_R$. Но как мы можем быть уверены, что $n_R$ такое же, как у читателя?

Ключи в считывателе и на бирке не обязательно совпадают.

Как мы можем быть уверены, что $n_R$ такое же, как у читателя?

Что тег может сделать, так это расшифровать $\{a_R\}$ и сравните с истинным $a_R$, которая является функцией $n_T$ что тег знает. Если эта проверка проходит успешно, что крайне маловероятно, если ключи считывателя и метки не совпадают, метка предположительно принимает $\{n_R\}$ расшифровывает для читателя $n_R$; Я не вижу способа, которым он мог бы дополнительно проверить, учитывая, что $n_R$ является случайным.