[AB-SmartHouse] Zutrittskontrolle mit Fingerprint / Fingerabdruck

[IPv6]

Vielleicht kannst du mir erklären was du so schlimm daran findest, ein bestehendes System mit sehr überschaubarem Softwareaufwand noch ein bisschen sicherer zu machen? Es verlangt doch niemand, dass das sofort jetzt bitte auf der Stelle umgesetzt werden soll.
Es sind einfach nur Vorschläge und Ideen, was man tun könnte wenn man denn wollte und Zeit und Lust hätte.

Ich halte die Wahrscheinlichkeit für einen solchen Angriff auch für fast ausgeschlossen und plane, das System genau so wie es ist einzusetzen.
Aber ich neige halt dazu, Dinge immer weiter verbessern zu wollen - Spieltrieb des Ingenieurs oder so?

Natürlich ist das bekannt, ist ja nicht so als hätten wir keine Ahnung was wir tun.

Also zumindest zum Zeitpunkt meines Vorschlags war die Idee noch neu.
Und gestern hast du noch argumentiert, dass das nichts bringen würde.

[traxanos]

Die Hardware müsste bloß bei der ersten unbekannten, vom R503 gesendeten ID dicht machen.

Doof das ich meinen FP am Schreibtisch an einer anderen HW angelernt habe. Aber ja das wäre eine Option. Ich würde das aber nicht umsetzen, bin aber auch nicht der Autor. Und es ist immer noch mit Kanonen auf Spatzen. Ich frag mich die gnaze Zeit, wenn euch das alles zu unsicher ist, warum zur Hölle nutzt ihr dann das System?

Das hatte ich so auch schonmal mit Andreas besprochen, als wir uns getroffen hatten, ist ihm also bekannt und hätte eine Chance, umgesetzt zu werden.

Natürlich ist das bekannt, ist ja nicht so als hätten wir keine Ahnung was wir tun.

[overkill]

Die Hardware müsste bloß bei der ersten unbekannten, vom R503 gesendeten ID dicht machen.

Sehr clevere Idee und sollte eigentlich auch recht einfach zu implementieren sein, würde ich (ohne Hintergrundwissen) mal vermuten!

[IPv6]

nein bring es nicht. der range ist klein und man könnte ihn schnell durchlaufen.

Das ist einfach nur einen Schritt zu kurz gedacht.
Die Hardware müsste bloß bei der ersten unbekannten, vom R503 gesendeten ID dicht machen.
Da die Hardware im Normalbetrieb immer den R503 anlernt, weiß sie genau, welche IDs es gibt. Unbekannte IDs würde nur ein fremder R503 (oder eine entsprechende Softwareemulation) senden.

Der R503 speichert 500 IDs, im Normalfall dürften davon so etwa 5 in Verwendung sein. Reduziert also deine Chance, beim Senden einer zufälligen ID einen gültigen Treffer zu landen, auf 1 %. Eine zweite Chance nach einer falschen ID hast du nicht, wenn nach einer unbekannten ID gesperrt wird.

Das hatte ich so auch schonmal mit Andreas besprochen, als wir uns getroffen hatten, ist ihm also bekannt und hätte eine Chance, umgesetzt zu werden.

[traxanos]

Sicherheit ist in meinen Augen nie absolut, sondern relativ

so ist es.

Und es ist in meinen Augen besser, den Vektor zu verkleinern

wenn es sinnvoll ist. es ist immer ein abwägen von interessen und wahrscheinlichkeiten.

Ist eine ähnliche Diskussion wie "brauchen wir AFDD".

aber ich habe auch keine dezidierte Außenlinie

hab ich auch nicht


Das eigentlich Problem an der Diskussion ist, dass es keine Diskussion unter paar Experten ist die eine Abwägung durchführen, sondern das hier ist ein öffentliches Forum, dass ggf. auch Leute unnötig verunsichert. Vor allem weil das gleiche Thema immer und immer wieder aufkommt. Die Leute können die Aussagen von uns nicht ins Verhältnis setzen. Daran sollte man auch etwas denken.


Fassen wir also das Ganze nochmal zusammen. Der Fingerprint ist keine Hochsicherheitslösung. Das System ist manipulierbar wie vermutlich alle Fenster und Türen in einem EFH Haus. Braucht jemand besondere Sicherheit muss er sich ein anderes System zulegen und ggf kombiniert mit einer echten Alarmanlage und dazu passenden physichen Einbruchschutz.

[henfri]

Der Kreis derer, die dein Szenario beherrschen ist sicher um einen Faktor 10-100 kleiner, als der Kreis den mein Szenario beherrschen.
Sicherheit ist in meinen Augen nie absolut, sondern relativ. Und es ist in meinen Augen besser, den Vektor zu verkleinern, als das zu lassen, nur weil der Vektor dadurch nicht vollständig geschlossen ist.
Aber nochmal: ich halte auch mein Szenario für unwahrscheinlich genug (aber ich habe auch keine dezidierte Außenlinie )

Damit ist jetzt von meiner Seite dazu genug gesagt.

Gruß,
Hendrik

[traxanos]

mit meinen Fingern eingelesen habe stecke ich nullkommanix um

1) ob ich einen anderen fingerprintreader anstecke oder ein kleines arduniodevice mit entsprechender software ist vom aufwand soweit gleich
2) um dein szenario bescheibt einen gezielten angriff gegen dich! ist ja nicht so das jedes zweite haus ein R503 an der Türe hängen hat Also wenn du angst davor hast das dich explizit einer mit vorbereitung angreift, glaubst du das du ihn davon abhältst weil du die IDs radom vergeben hast
3) ich hab 1-10 z.b. garnicht in verwendung. aber nicht wegen der pseudosicherheit sonder aus organisatorischen gründen. warum geht man überhaupt davon aus das es per se 1-10 bei jedem ist.

Aber das Tolle ist ja. Wenn es dich besser schlaffen lässt, vergibt die IDs zufällig

[henfri]

Hallo,

es geht ja immer um das Verhältnis zw. Aufwand auf der einen Seite (Einbrecher) und der anderen Seite (Entwickler).
Einen FP bei dem ich ID 1-10 mit meinen Fingern eingelesen habe stecke ich nullkommanix um.
Eine Software, die alle IDs durchprobiert und das Protokoll des FP liest habe *ich* nicht schnell umgesetzt.
Auch das laufende einklinken ist nicht einfach (an die Drähtchen kommen, ohne sie zu zerstören). Aber sicher machbar.

Wie gesagt: Eine Frage dessen, was man für realistisch hält. Ich kann gut damit leben, wenn wir zum Schluss kommen, dass der Einbrecher keine ETS und keinen eigenen Sensor mitbringt.
Trotzdem verwende ich nicht ID1-10 :-)

Hier noch ein PR für die Doku:
https://github.com/OpenKNX/OAM-Fingerprint/pull/3

Gruß,
Hendrik

[traxanos]

Das kann man nur bewerten, wenn man das Angriffsscenario kennt. Ich wette, ich komme hier bei fast jedem Nutzer des Fingerprints rein, wenn ich auf die Platine zugreifen kann. Und zwar innerhalb von wenigen Minuten. Und das ohne ETS.

Wenn du auf die Platine kommst, kommst du auch an den KNX Bus. Und wenn du an die Platine kommst, kämmst du sogar an den SecureKey (wenn wir das mal implementiert haben) Wir haben keine Secureenclave! Die IDs spielen keine Rolle. Ich kann die einfach alle kurz durch gehen. Dann müsstet du schon mit sowas wie UUIDs arbeiten.

Das Setzen des Passworts verhindert nicht den von mir genannten Angriffsvektor, da die Kommunikation weiter unverschlüsselt stattfindet.

so ist es.

die Arbeit einstellt bis XYZ, wenn der FP abgesteckt wird

naja ganz so einfach ist es nicht. wann ist das gerät abgesteckt? wenn ich 1s oder 100ms nicht mehr mit dem gerät gesprochen habe. und was ist wenn ich mit einfach laufend einklinke. ist gibt ja keine sabotage überwachung.

Security by Obscurity: zufälligere IDs verwendet

nein bring es nicht. der range ist klein und man könnte ihn schnell durchlaufen.

Aber eine Verschlüsselung ist aus meiner Sicht dafür im Wohngebäude nicht angemessen, falls es keinen günstigen, verfügbaren Sensor mit entsprechender Soft und Hardwareunterstützung gibt.

so sieht es aus. wenn der sensor sowas bieten würde, wäre die diskussion obsolete weil es "recht einfach" um zu setzen wäre. man müsste schauen wie sich die entschlüsselung auf die vorhanden laufzeit auswirken. es verlngsamt die verarbeitung der anderen module etc.

Ich glaube nicht, dass die Datenmenge zu entschlüsseln die aktuelle HW überfordern würde.

darum geht es nicht. wir arbeiten hier embedded. laufzeiten vom loop haben erheblichen einfluss auf die funktionen. das ganze ist ja nicht eventdriven mit prioritäten etc.

Dennoch ist es unverhältnismäßig

dass ist das was ich zum schluss meinte. wenn jemand darauf wert setzt, dann ist das ggf nicht das richtig produkt. wie gesagt dann erwarte ich aber auch das alles min RC4 ist Und eine Alarmanlage inkl Waschutzanbindung verbaut wurde

[henfri]

Hallo,

Hendrik, ich zumindest hatte die Antwort von ur63 auf den Vorschlag von Kampfwurst bezogen, nicht auf deine Vorschläge.

Verstehe. Aber der arme Kerl weiß doch wahrscheinlich gar nicht, dass das mit dieser Hardware nicht möglich ist.
Man hätte also stattdessen antworten können:
Kampfwurst: Kennst du eine erschwingliche und verfügbare Hardware, die das unterstützt?

Unter Fingerabdruckleser -> Allgemein -> Gefährliche Funktionen kannst du ein Passwort für den Fingerscanner eingeben. Mit der Funktion schließt du den Tausch aus.

FYI: Das Setzen des Passworts verhindert m.W. nicht den von mir genannten Angriffsvektor, da die Kommunikation weiter unverschlüsselt stattfindet. Es verhindert nur das anlernen (und andere administrative Funktionen, die mit dem PW gesichert sind)
Diesen Vektor könnte man - wenn man ihn für relevant hält; ich nicht sonderlich - schützen, indem man
- die Arbeit einstellt bis XYZ, wenn der FP abgesteckt wird (es gibt ja schon ein KO dafür und man kann darüber den Aktor sperren)
- Security by Obscurity: zufälligere IDs verwendet
- ggf. weitere.
Aber eine Verschlüsselung ist aus meiner Sicht dafür im Wohngebäude nicht angemessen, falls es keinen günstigen, verfügbaren Sensor mit entsprechender Soft und Hardwareunterstützung gibt.

mumpf Verstehe, danke. Alles gut.

traxanos

Spricht ja auch nichts dagegen. Aber ich mag diese Pesudosicherheit nicht. Geht mir im Beruf schon täglich auf den ... . Randomisierte Fingerprint-IDs z.B. bringen 0,0 erhöhen aber die Komplexität unnötig.

Das kann man nur bewerten, wenn man das Angriffsscenario kennt. Ich wette, ich komme hier bei fast jedem Nutzer des Fingerprints rein, wenn ich auf die Platine zugreifen kann. Und zwar innerhalb von wenigen Minuten. Und das ohne ETS.
Mit zufälligen IDs würde mir das kaum noch gelingen.

Ist ja nicht so als hätten wir großen i7 mit AES support als HW Platform

Ich glaube nicht, dass die Datenmenge zu entschlüsseln die aktuelle HW überfordern würde.
Dennoch ist es unverhältnismäßig, v.a. beim aktuellen Reader wie du schon sagst nicht möglich.

Hier hatte doch jemand mal eine Liste der möglichen Schwächen und Workarounds zusammengestellt. Die wäre etwas für die Doku.
Edit: es war kleinklausi hier https://knx-user-forum.de/forum/proj...72#post1962872

Gruß,
Hendrik

[traxanos]

Trotzdem werde ich noch Data Secure dafür machen.

Spricht ja auch nichts dagegen. Aber ich mag diese Pesudosicherheit nicht. Geht mir im Beruf schon täglich auf den ... . Randomisierte Fingerprint-IDs z.B. bringen 0,0 erhöhen aber die Komplexität unnötig. Verschlüsselte Kommunikation mit dem FP, bedeutet das der FP so einen Modus aus unterstützen muss. Dann muss der kram auch wieder entschlüsselt werden. Ist ja nicht so als hätten wir großen i7 mit AES support als HW Platform. (Vom sicheren Keyexchange mal abgesehen)

Und das sollte auch allen klar sein. Und zumindest bei meinem Beitrag geht es um Aufklärung. Ich werbe immer wieder gerne für einen Perspektivwechsel!

Wie auch immer. Ich halte mich dann jetzt zurück, wenn das gewünscht ist.

Nein sinnvolle Diskussion sind gut. Aber leider wiederholen sich Themen immer wieder und dann wird es auch etwas lästig. Weil wir wollen lieber Software entwickeln statt immer die gleichen Themen zu besprechen.

[mumpf]

Hallo Hendrik henfri,

danke für Deinen "emotionalen" Kommentar. Es war nicht mein Ziel, gute Ideen zu unterdrücken oder abzubügeln. Ich versuche nach bestem Wissen und Gewissen möglichst sachlich und fachgerecht zu antworten, wer meine Beträge kennt, wird mir hoffentlich zustimmen. Und wenn mir das manchmal misslingt, dann bin ich gerne bereit, mit zu entschuldigen, ich bin auch "nur" ein Mensch.

Ich hatte die letzten Tage den Eindruck, dass die Qualität Deiner Beiträge nachgelassen hat und Du eher schnell eine Frage getippt als nachgelesen/nachgedacht hast. Natürlich ist das subjektiv und potentiell falsch. Du bist für mich ein sehr erfahrener User mit viel wissen, Du bist länger dabei als ich. Und Du machst auch qualitätsvolle Beiträge - deswegen hab ich z.B. bei Deiner Frage nach Gruppenmonitor und mehrere Antworten im Diagnosemodus ("die ETS dekodiert nur den letzten") etwas sarkastisch geantwortet, denn die Frage war unter Deinem Niveau (das ist als Kompliment gemeint und nur ein Beispiel, um meinen Eindruck zu belegen).

Entschuldige bitte, wenn ich Dir Unrecht getan habe, ich möchte nicht, dass Deine Ideen verloren gehen, auch wenn sie nicht alle realisiert werden können.

Gruß, Waldemar

[ur63]

ich zumindest hatte die Antwort von ur63 auf den Vorschlag von Kampfwurst bezogen, nicht auf deine Vorschläge.

Korrekt, hätte ich einleitend schreiben sollen...ergänzt.

[Ing-Dom]

so, jetzt wird es etwas emotional, aber da müsst ihr durch

Hendrik, ich zumindest hatte die Antwort von ur63 auf den Vorschlag von Kampfwurst bezogen, nicht auf deine Vorschläge.

Ich schätze deine Beiträge (PRs und auch Ideen).

[mumpf]

Trotzdem werde ich noch Data Secure dafür machen. Aber nicht weil alle es wollen, sondern weil es mich interessiert und ich es spannend finde. Und weil ich es schon mal auf testweise hinbekommen habe.

Allerdings ist es ein langer Weg von einem "zusammengeschusterten" Versuch bis zu etwas, dass auch von anderen genutzt werden kann. Denn was wir ganz sicher nicht machen werden: Jedes Gerät bei uns in Betrieb nehmen, damit wir einen Schlüssel vergeben und einen Aufkleber drucken, wie es bei den Herstellergeräten läuft. Hier wird also auch jeder selbst tätig werden müssen, und es wird auch anders laufen, als man es von Herstellern gewohnt ist. Es muss dann eben klar sein, dass eine Secure-Inbetriebnahme aufwändiger wird. Alleine die Software, die den User dann bei der Inbetriebnahme unterstützt, ist noch nicht mal begonnen...

Gruß, Waldemar