[AB-SmartHouse] Zutrittskontrolle mit Fingerprint / Fingerabdruck

[mumpf]

larsrosen Soviel ich weiß, kannst Du den gesamten Parameterspeicher eines Gerätes auslesen, damit findest Du auch das Passwort. Und da OpenKNX ein OpenSource-Projekt ist, findest Du bei uns im Repo auch genau, wo das Passwort steht.

Mit Secure können wir das Fingerscanner-Passwort mit dem Geräteschlüssel des KNX-Gerätes verschlüsseln, dann bekommst Du bei der Rekonstruktion ohne Geräteschlüssel nur Datenmüll.

Es ist ein OpenSource projekt. Da ist nichts geheimes dran. Man kann nur die Sicherheitsmechanismen nutzen, die Secure vorsieht. Und so wie ich abtools verstehe, hat er das vor, noch ist es aber nicht implementiert.

Mir reicht es erstmal mit meiner inneren KNX-Sicherheit. Zumindest, um ein paar Versuche zu starten . Da mein eKey den Geist aufgibt, kommt mir diese Lösung gerade recht.

Gruß, Waldemar

[abtools]

Hallo Lars,

lässt sich das nicht mittels Reconst auslesen?
Meiner Meinung nach lassen sich alle Parameter auslesen?

Ich spreche hier von der Standardfunktion der Fingerprint-ETS-Anwendung - diese unterstützt kein Auslesen des Passworts.
Es kann durchaus sein, dass es Mittel und Wege gibt mit direktem Bus-Zugang an die Parameter-Daten eines jeden KNX-Teilnehmers zu kommen.

Um das zu verhindern gibt's dann KNX Secure; wie gesagt aktuell nicht unterstützt, aber ist durchaus etwas, was ich mir in der Zukunft ansehen möchte.
Damit das Sinn macht, müssen dann aber natürlich alle beteiligten KNX-Geräte auch KNX Secure sein.

Meiner Meinung nach, wenn jemand dann schon physischen Zugriff auf dein KNX-Kabel hat, ist er vermutlich ohnehin bereits "im Haus" (Außenleitungen sind ja sicherlich getrennt auf einer anderen Linie) und du hast vermutlich "andere Probleme". ;-)

Aber wie gesagt, KNX Secure ist durchaus etwas, was ich mir ansehen möchte, aber hat für mich aktuell keine Priorität.

Viele Grüße
Andreas

[benji]

So sehe ich dies auch.

Ein sehr nützlicher Baustein dazu ist das SCN-Safe von MDT

[henfri]

Wer das knacken will baut sich einen Emulator des Fingerprint, der

• Jedes Passwort akzeptiert
• IDs durchprobiert

Den hängt er an die Platine und gut.
Da hilft kein Secure.

Aber ganz ehrlich:
Die meisten Einbrecher kommen ohne Laptop. Hatten wir doch schon oft genug.

[mumpf]

Wenn ich Zugriff auf KNX habe

Ich denke, ohne Secure muss man einfach mit der Sicherheit auskommen, die man sonst mit KNX hat. Wenn ich die Tür über KNX öffnen kann, ist es vollkommen egal, ob man Finger auslesen kann oder andere Finger anlernen kann (über KNX). Ich kann einfach die Tür über KNX aufmachen.
Man hat letztendlich die einfache Sicherheit von KNX (innen) und externem Zugriff (außen). Mehr nicht.

Und wenn man Secure haben will, muss man es auf dem ganzen Signalweg haben. Also als erstes einen Secure-Aktor, der die Tür öffnet.

Gruß, Waldemar

[larsrosen]

vielen Dank für die Erläuterung

Auslesen kannst du das Passwort über die ETS nicht, nein.

mumpf

lässt sich das nicht mittels Reconst auslesen?
Meiner Meinung nach lassen sich alle Parameter auslesen?

[abtools]

Hallo Lars,

Also kann es passieren, das ein neuer FP die selbe ID(eines Fremden Fingers) sendet und die Tür öffnet?

Korrekt, wenn du kein Passwort setzt, könnte die Scanner-Hardware (gegen eine mit IDs anderer Finger/Personen) getauscht werden.

Wenn du das verhindern möchtest, schützt du den Scanner mit einem Passwort, was wie gesagt möglich sein wird.

Wenn das Passwort als Parameter in der ETS hinterlegt wird, ist dieses über ETS auslesbar?

Die ETS-Anwendung ist die "Quelle" des Passworts, weil du es ja dort der Firmware über einen Parameter "mitteilst". Dein ETS-Projekt sollte daher natürlich ebenfalls mit einem Passwort geschützt sein.

Auslesen kannst du das Passwort über die ETS nicht, nein.

Viele Grüße
Andreas

[larsrosen]

Also kann es passieren, das ein neuer FP die selbe ID(eines Fremden Fingers) sendet und die Tür öffnet?

Und

Wenn das Passwort als Parameter in der ETS hinterlegt wird, ist dieses über ETS auslesbar?

[abtools]

Hallo Lars,

Scheinbar bin ich zu doof es zu verstehen...

Was genau sendet denn jetzt der FP?
Eine ID?
Eine UUID??

Die OpenKNX Firmware bekommt von der Fingerprint-Hardware eine ID des "erkannten" Fingers, wenn du das meinst.

Was passiert, wenn
man ohne Passwort den FP auswechselt?

Dann wird die neue Fingerprint-Hardware einfach verwendet, da die Firmware (ohne gesetztes Passwort) nicht feststellen kann, ob die Hardware gewechselt wurde oder nicht.

mit passwort den FP Auswechselt?

Dann kann die Firmware die gewechselte Fingerprint-Hardware nicht verwenden, weil das Passwort nicht übereinstimmt.
Der Fingerprint funktioniert somit nicht bis entweder die Hardware "zurück getauscht" oder das korrekte Passwort in der Firmware (via ETS-Parameter) auf das Passwort der neuen Scanner-Hardware geändert wurde.

Ich nehme an der Key wird in der Hardware hinterlegt? Kann dieser ausgelesen werden über die ETS?

Das Passwort ist in der Fingerprint-Hardware gespeichert und muss natürlich auch der Firmware (als ETS-Parameter) bekannt sein, um den Zugriff auf die Hardware zu ermöglichen.

Viele Grüße
Andreas

[benji]

Ok, das hört sich ja gut an.

Ich wusste nicht in wie weit du das Passwort bzw. das ändern des Passworts in deiner Software implementiert hast. Dies ist für mich schon eine wichtige Funktion.

Freu mich schon auf meine Hardware um zu testen

[larsrosen]

Scheinbar bin ich zu doof es zu verstehen...

Was genau sendet denn jetzt der FP?
Eine ID?
Eine UUID??

Was passiert, wenn
man ohne Passwort den FP auswechselt?
mit passwort den FP Auswechselt?

Ich nehme an der Key wird in der Hardware hinterlegt? Kann dieser ausgelesen werden über die ETS?

[abtools]

Hallo benji,

Wäre es nicht sinnvoll allgemein mit einem Passwort zu arbeiten? Kann der FP nicht sogar ein Handshake individuell? Sonst könnte ich doch auch einen Fingerprint einlesen mit n ID's und dann einfach den FP austauschen.

Genau, dafür ist dieses Fingerprint-Passwort da:
Wenn das gesetzt ist, kann man nicht nur die Templates ohne dieses Passwort nicht mehr auslesen, sondern zudem wird auch ein anderer Fingerprint-Leser nicht "akzeptiert", weil der ja dann kein Passwort (oder ein anderes) hat. Somit ist sicher gestellt, dass nur der Fingerprint-Leser mit dem richtigen Passwort (und damit auch den richtigen, gespeicherten Templates) verwendet werden kann.

Viele Grüße
Andreas

[benji]

Wäre es nicht sinnvoll allgemein mit einem Passwort zu arbeiten? Kann der FP nicht sogar ein Handshake individuell? Sonst könnte ich doch auch einen Fingerprint einlesen mit n ID's und dann einfach den FP austauschen.

Wenn ich Zugriff auf KNX habe wäre es vlt. einfacher einen Finger einzulernen als irgendwelche Templates zu kopieren oder sogar direkt die Schaltbefehle (GA) für den Schaltaktor der Tür mitzulesen. . Da sollte dann schon Grundlegend die Sicherheit des KNX gewährleistet sein.

[larsrosen]

An der Stelle möchte ich auch nochmal erwähnen, dass die Template-Synchronisation völlig optional ist.

Dann muss aber auch, wenn man dies in der Applikation es aktiviert, der FP gelöscht werden.

Es nützt nix, wenn das ding jemand umprogrammiert und dann an die Daten kommt.

Aber, ok. Ich warte mit dem bestellen bis Secure geht.
Trotzdem thx und interessantes Projekt.

[abtools]

Hallo zusammen,

genau, wie bereits hier geschrieben können die Template-Daten vom Scanner bei physischem Zugriff direkt am Scanner ausgelesen werden und es ist auch korrekt, dass man diesen Vorgang mit einem Passwort schützen kann:
Das habe ich auch bereits implementiert, aber ehrlich gesagt bisher nicht "scharf geschaltet". Ich muss noch schauen wir ich das am besten mit vielen Warnungen in der ETS-Anwendung anbiete einzuschalten. :-) Es muss einem halt schon klar sein, dass man den Scanner echt wegschmeißen kann, wenn man das Passwort vergessen hat... Aber ja, ein Passwortschutz der Template-Daten im Scanner wird optional möglich sein.

Bei der Synchronisation erfolgt die Übertragung der Template-Daten einfach per KO und entsprechend Gruppenadresse über KNX.

KNX Secure wird bisher nicht unterstützt, ist aber durchaus etwas, was ich plane mir in der Zukunft anzusehen - aber sicherlich nicht im ersten Schritt.
Wenn jemand physischen Zugriff zum KNX-Kabel hat, um die Telegramme mitlesen zu können, ist es vermutlich ohnehin bereits zu spät. ;-)
Aber trotzdem möchte ich mir das "KNX Secure"-Thema in der Zukunft ansehen.

An der Stelle möchte ich auch nochmal erwähnen, dass die Template-Synchronisation völlig optional ist. Man muss diese, auch bei Verwendung von mehreren Scannern, nicht nutzen.

Viele Grüße
Andreas