[AB-SmartHouse] Zutrittskontrolle mit Fingerprint / Fingerabdruck

[starwarsfan]

Hallo Lars

https://knx-user-forum.de/forum/proj...25#post1955025

Ah, danke! Das ist mir irgendwie durch die Lappen gegangen.

IMHO sollte es die Standardeinstellung sein, dass ein Passwort [gesetzt ist|generiert wird|angegeben werden muss]. Oder anders gesagt, die Verwendung eines Passwortes sollte nur durch explizites Opt-Out deaktiviert werden können.

[larsrosen]

https://knx-user-forum.de/forum/proj...25#post1955025

[starwarsfan]

Hallo miteinander

Ich verfolge mit grossen Interesse die Diskussion hier, habe aber gerade etwas den Faden verloren.

Derzeit ist die Finger-Id nur 2 Byte, daraus eine 16 Byte UUID zu machen würde einige Probleme für die KNX-Übertragung verursachen und in der ETS-Applikation das Editieren erheblich erschweren.

KNX-Secure ist ja nur vom Bus her bis zur OpenKNX-Hardware relevant, nicht aber zwischen OpenKNX-Hardware und dem Fingerprint. Daher die Frage: Merkt eure Firmware, wenn man vorn dran den Fingerprint austauscht? Sprich, die OpenKNX-Hardware ist "innen", der Fingerprint "aussen". Jetzt tauscht mir jemand den Fingerprint aus und schickt "seine" Finger-IDs. Was passiert dann?

[vogelsang]

Der BCU Key ist in meinen Augen keine gute Idee. Selbst Geräte mit BCU Key können ausgelesen werden.
KNX Data Secure ist hier der bessere Weg, da die Kommunikation verschlüsselt ist.

[mumpf]

thewhobox: Ich dachte, unser Stack wertet den BCU-Key gar nicht aus? Aber ich weiß es nicht, ich hab mich damit nicht beschäftigt.

Gruß, Waldemar

[thewhobox]

mumpf mal rein theoretisch: würde da nicht schon der BCU-Key ausreichen?

[Hennessy]

Derartige Passwörter als Backup noch in der Verteilung einstanzen oder so …

[mumpf]

Die Finger-ID wird ja vermutlich eine Art UUID sein,

Stand heute ist das nicht so, ich weiß auch nicht, ob das wirklich helfen würde. Und es gibt auch einen technischen Aspekt: Derzeit ist die Finger-Id nur 2 Byte, daraus eine 16 Byte UUID zu machen würde einige Probleme für die KNX-Übertragung verursachen und in der ETS-Applikation das Editieren erheblich erschweren.

Wie gesagt, echte Sicherheit gibt es erst mit Secure. Die Idee hier war erstmal, nur wenige GA durch die Filter zur Außenlinie durchlassen zu müssen und alle Schlatvorgänge auf der Innenlinie erledigen zu können.

Anderes Thema bezüglich Sicherheit: Wir haben eine Idee, wie wir das Passwort so ablegen, dass es nicht durch eine Rekonstruktion ausgelesen werden kann. Bedeutet allerings wirklich, dass wenn man das Passwort vergisst, man die Fingerprint-Scanner wegwerfen kann. Es gibt dann kein Weg zurück, weil wir das Passwort auch nicht mehr rausbekommen.

Gruß, Waldemar

[Springrbua]

mumpf die Idee gefällt mir! Die Finger-ID wird ja vermutlich eine Art UUID sein, wodurch sie ja nicht durch Brute-Force "erraten" werden kann.
Für NFC wird die Platine ja zwangsweise außen benötigt wenn ich das richtig verstanden habe, daher wäre die andere Variante dann ja nicht mal möglich.

[mumpf]

Es wird zu der FP-Firmware auch noch eine VFP Variante geben, also einen Virtuellen Fingerprint. Das ist die volle Fingerprint-Applikaiton, aber ohne Fingerprint-Hardware, die - wie das Logikmodul oder der VPM - auf einem REG-Gerät im Schaltschrank laufen kann. Dadurch können die Fingerprints nur die Finger-Ids and den VFP schicken und der macht den Rest. Ist eine weitere Option, wie man das Ganze betreiben kann. Man muss dann nicht so viele Aktionen von der Außenlinie aus machen. Ersetzt natürlich kein Secure, aber erlaubt es, dass man die Tür-öffnen-GA nicht nach außen legen muss.

Das wird die Option sein, die ich bei mir installieren werde...

Gruß, Waldemar

[benji]

Ja, das halte ich auch für eine gute Lösung.



Das wäre natürlich das Sahnehäubchen, wenn du das Testen würdest

Ich werde es testen sobald ich meine Hardware bekomme. Ich hab einen Anwendungsfall mit 30cm und noch einen weiteren mit ca. 0,8-1m

Welche Baudrate wird denn verwendet? Standard 57600??

wäre die Baudrate ggfs über die ETS anzupassen?

[henfri]

Ja, das halte ich auch für eine gute Lösung.

Scanner-Hardware ist ca. 20 cm lang, aber das kann man problemlos verlängern (bis 1 m sehe ich da keinerlei Probleme).

Das wäre natürlich das Sahnehäubchen, wenn du das Testen würdest und die entsprechenden Verlängerungen in deinem Shop anbieten würdest.
Ich habe das ganze ja auch schon mal gebastelt es ist halt doof, wenn man dann noch mal bei ebay nach einer entsprechenden Verlängerung suchen muss.

Falls die Platine dann doch nach aussen muss, gibt es ja auch noch die Möglichkeit besondere Schrauben nehmen (ähnlich Felgenschloss).

Aber wie gesagt: die wenigsten Einbrecher aus meinem Bekanntenkreis haben einen Laptop dabei
Und die Versicherung sagt auch nichts, wenn das grüne Kabel aussen liegt.
Die interessieren sich nur für einen Einbruchspuren. Und solange der Einbrecher tatsächlich ohne Laptop kommt, wird es die ergeben, unabhängig davon, ob das grüne Kabel draussen hängt oder nicht.

[abtools]

Hallo Dominik,

ich fände eine Lösung gut bei der nur der Sensor außen sitzt und die Controllerplatine mit KNX-Anschluss innen. Die 30cm durchs Mauerwerk sollten locker machbar sein.
Für extra Sicherheit könnte man es auch galvanisch trennen.

Ich hab bei mir 2 DIY Codelocks, da hab ich das genau so realisiert... war eines meiner ersten Projekte...

Das "Standardkabel" an der Scanner-Hardware ist ca. 20 cm lang, aber das kann man problemlos verlängern (bis 1 m sehe ich da keinerlei Probleme).
Und dann kann man noch das weiter oben bereits erwähnte Passwort für die Kommunikation zwischen der Platine und mit der Scanner-Hardware aktivieren.

Viele Grüße
Andreas

[Ing-Dom]

ich fände eine Lösung gut bei der nur der Sensor außen sitzt und die Controllerplatine mit KNX-Anschluss innen. Die 30cm durchs Mauerwerk sollten locker machbar sein.
Für extra Sicherheit könnte man es auch galvanisch trennen.

Ich hab bei mir 2 DIY Codelocks, da hab ich das genau so realisiert... war eines meiner ersten Projekte...

[Springrbua]

Erstmal vielen Dank für das coole Projekt.
Einen KNX Fingerabdrucksensor für < 100€ ist schon mal eine Ansage!
Ich habe (leider) schon einen ekey xLine für knapp 700€, ich habe aber das Gefühl dass der vom Funktionsumfang her deutlich nach hinkt.
Hier hat man alles lokal und selbst unter Kontrolle. Die Finger hat man direkt in KNX und hat somit wahrscheinlich keine Probleme personenabhängige Logik zu implementieren. Bei eKey bedeutet das aktuell noch ein Webhook pro Person / Finger.

Zum Thema Sicherheit:
Dass das grüne Kabel quasi von Außen zugänglich ist finde ich auch eher kritisch. Nicht unbedingt weil das ein Einbrecher ausnutzen könnte (wer dazu in der Lage ist findet doch auch einen legalen Job ) sondern eher wegen Versicherung. Das wird durch KNX Secure aber sicher weniger Problematisch.

LG