[OpenKNX-Ready] Zutrittskontrolle mit Fingerprint / Fingerabdruck

[abtools]

Hallo zusammen,

soeben habe ich die erste Firmware für dieses Fingerprint-Projekt veröffentlicht. Wie bei allen OpenKNX-Projekten steht die Firmware selbst sowie der gesamte Quelltext als Open Source auf GitHub zum Download zur Verfügung:
https://github.com/OpenKNX/OAM-Finge...leases/tag/0.1

Auch Dank der vielen Tipps und Unterstützung bei der ETS-Anwendung durch Waldemar, bin ich mit dieser ersten Firmware-Version deutlich weiter als ich es ursprünglich erwartet hatte:
Neben dem versprochenen Rohdatenmodus unterstützt bereits diese erste Firmware-Version die vollständige Verwaltung von Fingern und Aktionen innerhalb der ETS. Zudem habe ich das hier viel beschriebene "Passwort-Feature" bereits implementiert, sodass auf Wunsch über die ETS-Anwendung ein Passwort für die Kommunikation zwischen der Firmware und dem Scanner vergeben werden kann (bitte Warnhinweis in der Anwendung beachten).

Das Aufspielen der Firmware sowie Bau der ETS-Anwendung funktioniert identisch zu den anderen OpenKNX-Projekten. Weitere Informationen dazu in unserem Wiki:
https://github.com/OpenKNX/OpenKNX/w...tion-for-Users

Wenn irgendwelche Fragen auftauchen, gerne hier im Thread fragen oder mir einfach eine E-Mail schreiben.

Folgende Firmware-Features sind als nächstes dran:

• Dokumentation und Hilfetexte in der Anwendung.
• Einige Komfort-Funktionen in der Anwendung wie die Suche nach Personen/Fingern.
• Die Umsetzung der bereits eingangs erwähnten Finger-Synchronisation zwischen mehreren Scannern.

Kurze Info noch für Leute, die etwas bei mir bestellt haben:
Ein paar (wenige) sollten entweder ein Paket oder eine Versandbestätigung erhalten haben, der Rest wird planmäßig Ende nächster Woche (Freitag/Samstag) versandt. Wer noch in den nächsten Tagen bestellt, sollte auch noch bei dieser Versandrunde Ende nächster Woche dabei sein.

Viele Grüße
Andreas

[abtools]

Morgen zusammen,

und der erste Schritt zur weiteren Erhöhung der Sicherheit ist dann erst einmal KNX Secure, sonst hat man sicherlich andere Optionen, wenn man an das KNX-Kabel ran kommt. ;-)

Bis dahin wird es aber sogar noch eine Möglichkeit für Leute geben, die nicht alle Aktoren für die Kommunikation mit der Außenlinien (wenn der Fingerprint an dieser hängt) freigeben möchten. Da hatte Waldemar noch eine gute Idee mit einem zusätzlichen "virtuellen Fingerprint", die ich auch bereits umgesetzt habe.

Aber wie schon mehrfach hier geschrieben, all das sind sehr "hypothetische Probleme", denn der Einbrecher mit Laptop ist halt dann doch eher selten. ;-)

Viele Grüße
Andreas

[henfri]

Es ist doch mittlerweile klar genug, dass es mit diesem Fingerprint Reader niemals sicher sein wird.

Sicher würde es nur mit kryptographie zwischen Platine und Leser.

Wer also sorgen vor einem Einbrecher mit Laptop hat, sollte hier verzichten.

[stoepf]

Das Passwort wird allerdings tatsächlich nur beim Start der Firmware einmalig an den Fingerleser übertragen.

Durch Ab- und Anstecken der KNX-Leitung wird die Firmware neugestartet.
Da kann man sicherlich auch noch irgendwelche Schutzmechanismen einbauen ;-)

Gruß Stefan

[abtools]

Hallo stoepf,

Ich sehe das Risiko als eher gering an, dass jemand auf diesem Weg jemand unberechtigt ins Haus kommt.

Meines Erachtens bringt das Passwort nur was, wenn nur der Fingerprintreader im Außenbereich ist und das OpenKNX-Gerät im Innenbereich ist.

Das Passwort wird doch auf der seriellen Schnittstelle im Klartext übermittelt und das Passwort muss ja mindestens einmal nach dem Einschalten übertragen werden.
Oder hab ich da was noch nicht richtig verstanden?

Genau, das ist korrekt, was du schreibst.

Das Passwort wird allerdings tatsächlich nur beim Start der Firmware einmalig an den Fingerleser übertragen. Solange die Firmware läuft und die Verbindung zum Fingerleser steht, muss das Passwort nicht erneut übertragen werden.

Viele Grüße
Andreas

[stoepf]

Ich sehe das Risiko als eher gering an, dass jemand auf diesem Weg jemand unberechtigt ins Haus kommt.

Meines Erachtens bringt das Passwort nur was, wenn nur der Fingerprintreader im Außenbereich ist und das OpenKNX-Gerät im Innenbereich ist.

Das Passwort wird doch auf der seriellen Schnittstelle im Klartext übermittelt und das Passwort muss ja mindestens einmal nach dem Einschalten übertragen werden.
Oder hab ich da was noch nicht richtig verstanden?

[traxanos]

In der ETS ist mir kein Weg bekannt, ein Eingabefeld verpflichtend zu machen, man könnte nur einen Default setzen, der dann wieder bei allen gleich ist => sinnlos.

Doch das geht aber die ETS gibt eine Warnung im Log aus. Leeres Feld mit Regex. Haben wir für Hostname im ofm-network auch gemacht.

[abtools]

Sehe das genauso wie du, Waldemar.

Diese Passwortfunktion ist absolut nützlich, aber auch "gefährlich":
Vergisst man nämlich das Passwort, kann man den Fingerabdruckleser tatsächlich wegschmeißen.

Das Passwort sollte daher vom Benutzer schon "bewusst" gesetzt werden und dieser Punkt in der ETS wird auch mit einem entsprechenden Hinweis/Warnung versehen sein.

Also definitiv möglich ein Passwort zu nutzen, grundsätzlich auch empfohlen, aber dennoch optional und per Default deaktiviert bis der Nutzer bewusst ein Passwort gesetzt hat.

Damit hat jeder alle Möglichkeiten, aber trotzdem mit der Sicherheit nicht zu schnell versehentlich den Scanner kaputt machen zu können. ;-)

Viele Grüße
Andreas

[mumpf]

generiert wird

Da wäre ich dagegen, sonst kann man - wenn die Platine kaputt gehen sollte - den Fingerprint gleich mit entsorgen. Fände ich schade. Ich finde schon, das PW sollte vom User setzbar sein.
In der ETS ist mir kein Weg bekannt, ein Eingabefeld verpflichtend zu machen, man könnte nur einen Default setzen, der dann wieder bei allen gleich ist => sinnlos.

Ich denke, wenn jemand ein PW haben will, wird er es eintippen und an den Fingerprint übertragen müssen.
Das PW kann man dann in der ETS stehen lassen (weil man z.B. das ganze Projekt über ein PW gesichert hat) oder einfach rauslöschen, das wir nur erneut gebraucht, wenn man das PW ändern will. WENN man es rauslöscht und vergisst, ist es weg und kann nicht erneut ausgelesen werden, auch nicht über Rekonstruktion.

Das ist die aktuelle Idee. Und bevor der falsche Eindruck entsteht: Ich bin an der Firmware nur marginal beteiligt, bin hier eher Ideengeber und Tester und habe einen Teil der ETS-Applikation mit designed. Wie das dann final implementiert wird, obliegt abtools.

Gruß, Waldemar

[abtools]

Hallo benji,

etwas verspätet, hatte ich erst übersehen, sorry - aber trotzdem bekommst du noch eine Antwort auf deine Frage. ;-)

Ich werde es testen sobald ich meine Hardware bekomme. Ich hab einen Anwendungsfall mit 30cm und noch einen weiteren mit ca. 0,8-1m

Welche Baudrate wird denn verwendet? Standard 57600??

wäre die Baudrate ggfs über die ETS anzupassen?

Genau, 57600 wird als Baudrate eingesetzt.

Und ich kann mir beim besten Willen nicht vorstellen, dass du damit mit allen Längen <= 1 m irgendwelche Schwierigkeiten hast.

Aktuell ist die Baudrate fix und kann nicht geändert werden, aber sollte das erforderlich/nützlich sein, ließe sich diese Option sicherlich einbauen.

Viele Grüße
Andreas

[starwarsfan]

Hallo Lars

https://knx-user-forum.de/forum/proj...25#post1955025

Ah, danke! Das ist mir irgendwie durch die Lappen gegangen.

IMHO sollte es die Standardeinstellung sein, dass ein Passwort [gesetzt ist|generiert wird|angegeben werden muss]. Oder anders gesagt, die Verwendung eines Passwortes sollte nur durch explizites Opt-Out deaktiviert werden können.

[larsrosen]

https://knx-user-forum.de/forum/proj...25#post1955025

[starwarsfan]

Hallo miteinander

Ich verfolge mit grossen Interesse die Diskussion hier, habe aber gerade etwas den Faden verloren.

Derzeit ist die Finger-Id nur 2 Byte, daraus eine 16 Byte UUID zu machen würde einige Probleme für die KNX-Übertragung verursachen und in der ETS-Applikation das Editieren erheblich erschweren.

KNX-Secure ist ja nur vom Bus her bis zur OpenKNX-Hardware relevant, nicht aber zwischen OpenKNX-Hardware und dem Fingerprint. Daher die Frage: Merkt eure Firmware, wenn man vorn dran den Fingerprint austauscht? Sprich, die OpenKNX-Hardware ist "innen", der Fingerprint "aussen". Jetzt tauscht mir jemand den Fingerprint aus und schickt "seine" Finger-IDs. Was passiert dann?

[vogelsang]

Der BCU Key ist in meinen Augen keine gute Idee. Selbst Geräte mit BCU Key können ausgelesen werden.
KNX Data Secure ist hier der bessere Weg, da die Kommunikation verschlüsselt ist.

[mumpf]

thewhobox: Ich dachte, unser Stack wertet den BCU-Key gar nicht aus? Aber ich weiß es nicht, ich hab mich damit nicht beschäftigt.

Gruß, Waldemar