Türcontroller mit KNX

[CarstenF]

Hallo liebe Leute,

folgende Fragestellung:
Ein Lagergebäude mit zwei Personentüren soll mit elektronischer Zutrittskontrolle ausgestattet werden.

Die Türen sollen:

• mit Panikschlössern ausgestattet werden,
• per RFID-Chip zu öffnen sein,
• optional: auch per Smartphone, NFC, Fingerabdruck,
• überwachbar sein, d. h. bei Entriegelung durch Chip soll auf eigenem Server ein Logeintrag entstehen,
• auch unabhängig von der Zutrittskontrolle überwachbar sein, d. h. Tür auf/zu, Drücker betätigt, usw. soll zu Logeintrag führen,
• mit KNX kombinierbar sein, z. B. Tür entriegelt –> Licht an.

Meine Recherche hat bisher folgendes ergeben:

• Als Panikschloss habe ich das Dormakaba SVP-6000 ins Auge gefasst.
• Leser für RFID, Bluetooth, NFC und Fingerabdrücke gibt es ja ganz viele, u. a. von Axis, Elatec, easysecure, eKey, …
• Steuern möchte ich das quasi zentral, d. h. geplant wäre Homeassistant mit ggf. eigener Programmierung. Die Türen sollen auch bei Serverausfall noch öffnen, das Licht ist in diesem Fall schon optional.

Wie würdet ihr das ausführen?

Was ich nicht verstehe ist, wie und wo entschieden wird, ob ein eingelesener RFID-Chip berechtigt ist, wie das konfiguriert wird und wie die Türschlösser letztlich den „Entriegeln“ Befehl erhalten.

Ist das die Aufgabe eines Türcontrollers? Wenn ja, welche Produkte kommen dafür in Frage? Es müsste ja etwas sein, das herstellerübergreifend mit den Lesern funktioniert?

Viele Grüße
Carsten

[GLT]

Ist das deine Lagerhalle oder für einen gewerbl. Kunden?

Mit Bastelassistant würd ich da nicht rangehen - dafür gibt es entsprechende Systemlösungen von Bosch, GEZE, ISGUS etc.

[CarstenF]

Ist das deine Lagerhalle oder für einen gewerbl. Kunden?

Ist meine Halle. Insofern also ok, wenn etwas nicht auf Anhieb rund läuft. 😊

Mit Bastelassistant würd ich da nicht rangehen - dafür gibt es entsprechende Systemlösungen von Bosch, GEZE, ISGUS etc.

Wieso "Bastelassistant"? Du hältst demnach von HomeAssistant nicht viel?
Machen tue ich das überwiegend, weil es mir Spaß macht und um in das Thema KNX und das "Drumherum" reinzukommen. Von HomeAssistant verspreche ich mir, herstellerunabhängig bzw. -übergreifend und in der Programmierung frei zu sein. Könnte mir aber auch etwas von Bosch usw. vorstellen. Was käme da denn konkret in Betracht?

[RedNafets]

Hallo

je nach Sicherheitsanapruch, evtl das...


https://www.arcus-eds.de/de/aktoriksystem/i-button

[uzi10]

Man macht halt keine Safety Funktionen mit Knx weil Knx kein sicheres System ist(ev mit secure) auch nie garantiert ist, dass jedes Signal immer ankommt

[lidl]

Da du gerne in die Richtung "DIY" gehen möchtest und...

Machen tue ich das überwiegend, weil es mir Spaß macht und um in das Thema KNX und das "Drumherum" reinzukommen

... hier eine adäquate Antwort:

Teil das ganze Auf:

Panikschloss / Motorschloss:
Da musst du in den Unterlagen schauen wie es anzusteuern ist. I.d.R. sieht es so aus:
Entriegeln: Du hast entweder einen Kontakt den du schließen musst um zu Entriegeln. Oder einen Kontakt an welchen du das Potential der SV (des Schlosses) anlegst, damit entriegelt wird. Beide Fälle kannst du mit einem KNX-Aktor abdecken.
Rückmeldung: Auch dafür haben viele Schlösser einen Kontakt. Entweder einen potentialfreien oder z.B.: einen der das Potential der SV auf GND legt. Mit einem Binäreingang (und ev. Koppelrelais) bringst du das auf den KNX-Bus.
Tagmodus: Manche Schlösser haben sowas. Ist dieser aktiv wird beim schließen der Tür nicht verriegelt. Es wird nur die Falle verwendet. Da musst du auch in den Unterlagen schauen wie das anzusteuern ist. Meist kommt man auch hier mit einem Aktor ans Ziel.

Rückmeldung über Reed-Kontakt:
Die Rückmeldung meines Motorschlosses meldet "Tür geschlossen und verriegelt" nicht aber "Tür geschlossen und nicht verriegelt". Deshalb habe ich einen zusätzlichen Reed-Kontakt verbaut. Finde ich für eine Alarmanlage ohnehin besser. Abfrage über Binäreingang.

Authentifizierung:
Je nachdem was du verwendest. Im einfachsten Fall gibt es einen potentialfreien Kontakt über welchen du einfach nur erfährst "Authentifiziert" oder eben nicht. Abfrage über Binäreingang. Wenn Fingerprint für dich eine Option ist und du es günstig haben willst: R503

--> Jetzt hast du alles notwendig am Bus und kannst über HA alles steuern wie du es möchtest.

Sicherheit:
Am anschaulichsten, wie leicht man auf den Bus kommt, ist es wenn du dir die App easyKNX holst. Die Demo-Version kostet nix. Downloaden --> GA eintragen --> Wert senden. Und schon geht das Schloss auf ;-). Dauert keine 5 Minuten. Das sollte dir die Augen öffnen und dazu führen, dass du bzgl. Sicherheit etwas tun musst. Das heißt aber nicht, dass du das ganze Konzept bzgl. KNX / HA über den Haufen werfen musst. KNX-Secure, Absicherung des Netzwerks... es gibt viele Möglichkeiten.
Die Frage ist auch wie gefährdet deine Lagerhalle ist. Kommt auf die Lage drauf an und ob du dort Gemälde von Picasso und Elvis versteckt hältst.

Erweiterungen / Alternative Wege:
Ich finde den ersten Ansatz mit HA nicht schlecht (mach ich auch so). Wenn du das "Sicherer" und "Ausfallsicherer" haben willst, kannst du dir ja einen eigenen Controller bauen. z.B.: Arduino oder Siemens Logo. Die übernehmen dann die Binäreingänge, das Öffnen / Schließen der Kontakte und haben die Logik integriert. Ziel: Das ganze funktioniert unabhängig von KNX hat aber eine Schnittstelle dort hin.

Natürlich kann man auch eine fertige Lösung nehmen. Mich nervt es halt (1) zu suchen welches Gerät meinen Anwendungsfall abdeckt, (2) das oft proprietär ist und die Interfaces zu wünschen übrig lassen und (3) Im Falle eines Bugs einfach nichts tun zu können außer damit zu leben.
Würde ich das beruflich machen und regelmäßig Lösungen an Kunden kaufen würde die Sachlage natürlich eine Andere sein.

[GLT]

Wieso "Bastelassistant"? Du hältst demnach von HomeAssistant nicht viel?

Wir basteln uns ein "SmartHome" *kotzsmiley*

HA ist, wie der Name schon sagt, in 1.Linie für Heimautomatisierung (u. da spricht ja auch nichts dagegen) u. kein Zutrittskontrollsystem u. da wäre ich auch bei einer KNX-Lösung immer etwas vorsichtig.
Alles, was Sicherheit und/oder Versicherung betrifft, würde ich mir die Lösungsansätze eher 2mal durch den Kopf gehen lassen.
Gartentor? Ja sicher.
Haustüre? Sicher nicht.
Geprüftes System an Haustüre mit Meldekontakten? Ja.

[lidl]

HA per se muss ja nicht schlecht sein um es als "Bastelassistant" zu titulieren.

Das Thema an HA (und vielen Anderen - auch kommerziellen Systemen) ist:
Dadurch dass Konnektivität gegeben ist, ist Konnektivität gegeben .

• Suche z.B.: hier nach Home Assistant: https://www.shodan.io/search?query=home+assistant
• Instanz aufrufen, einloggen (durch Sicherheitsleck bei HA selbst oder ein anderes System im gleichen Netzwerk)
• Adresse anzeigen lassen (Ist ja in HA hinterlegt)
• Hinfahren, Alarmanlage deaktivieren, aufsperren, ausräumen.

Aber das Leben steckt voller Risiken. Und wer täglich vor Angst stirbt ist schon halb Tod ;-)

[tobiasr]

Ich hatte mal bei allen möglichen Hersteller (u.a. Bosch und Dorma) angefragt, ob sie mir über einen gesicherten (VLAN, SSL, was auch immer) Netzwerkkanal mitteilen können welche Karte (z.B. die UID) vorgehalten wurde, sodass MEINE Logik über entsperren oder halt nicht entscheiden kann. Die Verwaltung der Karten (damit über z.B: Mifare Desfire die Kryptographie gegeben ist) hätte das Fremdsystem für mich erledigen sollen. Umsetzen werde ich es jetzt mit RS485 Lesern von PHG an Datafox Terminals (weil die für die Zeitdatenerfassung sowieso schon da sind).

Von rein UID basierten Karten würde ich bei Gewerbebauten dringend abraten. Bis vor ca. 4 Jahren konnten die 125kHz Karten noch nicht 'von jedem' kopiert werden (geht mittlerweile). Die Mifare Classic, Legic, Desfire Karten kann jedes gerootete Android Smartphone emulierten. Zumindest die UID. Einige Hersteller verwenden (damit man es auf die Fahne schreiben kann) mittlerweile zwar Desfire Karten, werten aber trotzdem nur die unverschlüsselte UID aus.

[ets3-user]

Nutze Ekey Net und einen Gira HS und du hast alles was du willst…

[mom]

Wie würdet ihr das ausführen?

Passt doch schon so, wo genau ist das Problem?
Du suchst dir irgendeins der hunderten Zutrittskontrollsysteme aus, das dein Panikschloss ansteuern kann.
Das öffnet und protokolliert und läuft autark ohne KNX.
Die zig weiteren Kontakte des Motorschlosses wertest du über KNX aus und loggst dir den Rest zusammen.

[CarstenF]

Euch allen ganz herzlichen Dank für eure Antworten!

Weil das Thema Sicherheit so oft angesprochen wurde (danke dafür!), möchte ich mein Projekt noch etwas präziser beschreiben:

Der Server, der die zentrale Schaltlogik ausführt (die stellvertretend mit HomeAssistant oder was auch immer implementiert werden soll), soll natürlich lokal, also innerhalb der Halle stehen.Auch die relevante KNX-Linie, die für Funktionen der Zutrittskontrolle verwendet wird, soll natürlich nur zugänglich sein, wenn man ohnehin bereits innen ist. Deshalb sehe ich an keinem dieser Punkte ein Sicherheitsrisiko.
Den Server möchte ich voraussichtlich aus dem Internet erreichbar machen, bin von Beruf aber Informatiker und zuversichtlich, dass ich die IT-Sicherheit sehr ordentlich hinbekommen werde.


Zur Charakterisierung des Projekts sei gesagt, dass es mich einerseits reizt, die Logiken wie „Tür auf --> Licht ein und die Überwachungskamera ein Foto machen lassen“ selbst zu programmieren. Andererseits ist das kein Muss und ich möchte auch keine Zeit mit Gefrickel und Gebastel verschwenden. Es geht mir nicht um „billig“, sondern, wie das bei den schönsten Hobbies so ist, es darf auch etwas kosten. --> Wenn jemand einen Vorschlag aus dem Profi-Bereich hat oder konkrete Produkte nennt, bin ich sehr froh darüber!

[...]

Authentifizierung:
Je nachdem was du verwendest. Im einfachsten Fall gibt es einen potentialfreien Kontakt über welchen du einfach nur erfährst "Authentifiziert" oder eben nicht. Abfrage über Binäreingang.

Ok. Aber es muss doch die Aufgabe des Türcontrollers sein, die Liste der berechtigten Chipkarten zu führen und danach zu entscheiden? Und dementsprechend muss der auch konfiguriert werden, z. B. über ein Web-Interface? Und am Ende möchte ich schon gerne wissen, wer da an der Tür war. Das ist sogar sehr wichtig. Am liebsten auch, wenn eine ungültige Karte versucht wurde.

Erweiterungen / Alternative Wege:
Ich finde den ersten Ansatz mit HA nicht schlecht (mach ich auch so). Wenn du das "Sicherer" und "Ausfallsicherer" haben willst, kannst du dir ja einen eigenen Controller bauen. z.B.: Arduino oder Siemens Logo […]

Leider hatte ich nicht von Anfang an geschrieben, dass ich den Server lokal aufstellen möchte, siehe oben. Aber unter dieser Voraussetzung scheint doch ein eigener Controller oder auch eine große, extern geprüfte, zertifizierte Lösung keinen weiteren Vorteil mehr zu bringen, oder?

Haustüre? Sicher nicht.

Auch nicht im oben beschriebenen Kontext? Also Server lokal, KNX-Linie nur erreichbar, wenn man ohnehin schon innen ist?

Die Verwaltung der Karten (damit über z.B: Mifare Desfire die Kryptographie gegeben ist) hätte das Fremdsystem für mich erledigen sollen. Umsetzen werde ich es jetzt mit RS485 Lesern von PHG an Datafox Terminals (weil die für die Zeitdatenerfassung sowieso schon da sind).

[Am Rande] Ich bin hier in einer Firma, in der eine Zutrittskontrolle installiert ist, die noch mit HiTag-2 Transpondern funktioniert. Immerhin wird dafür nicht deren UID benutzt, sondern die (unsichere) Verschlüsselung der HiTag-2, allerdings sind die Lesegeräte und die Verwaltungssoftware proprietär: Der Hersteller wurde zwischenzeitlich mehrfach übernommen und bietet effektiv keinen Support mehr (bzw. kennt sie gar nicht mehr). In den letzten Jahren hatte ich unter anderem den Spaß (ja, tatsächlich!), ca. 20 Terminals für die Zeiterfassung entwickeln zu können, die dieselben Transponder benutzen sollten wie die EMA und die Türen. Für diesen Zweck haben wir uns darauf verständigt, dass die UID ausreichend sicher ist, die nun einfach mit TWN4-Lesern von Elatec ausgelesen wird.

Von rein UID basierten Karten würde ich bei Gewerbebauten dringend abraten. [...] Einige Hersteller verwenden (damit man es auf die Fahne schreiben kann) mittlerweile zwar Desfire Karten, werten aber trotzdem nur die unverschlüsselte UID aus.

Die Desfire Karten lassen sich aber nicht (leicht) kopieren, oder?

Nutze Ekey Net und einen Gira HS und du hast alles was du willst…

Danke, werde ich mir anschauen. Wenn der Gira HS frei programmierbar wäre … (?)
Wenn auch RFID-Chips zum Einsatz kommen sollten, müsste man es aber mit einem (weiteren?) Türcontroller ergänzen?

[CarstenF]

Passt doch schon so, wo genau ist das Problem?
Du suchst dir irgendeins der hunderten Zutrittskontrollsysteme aus, das dein Panikschloss ansteuern kann.
Das öffnet und protokolliert und läuft autark ohne KNX.
Die zig weiteren Kontakte des Motorschlosses wertest du über KNX aus und loggst dir den Rest zusammen.

Ähm, das Problem liegt in den Details. Zum Beispiel dachte ich, es müsste ein Türcontroller sein, der sowohl RFID-Leser des Herstellers X als auch Fingerprint-Leser des Herstellers Y unterstützt. Aber zwischenzeitlich habe ich den Eindruck, als könnte man auch den "Türcontroller" des RFID-Lesers X mit dem "Türcontroller" des Fingerprint-Lesers Y kombinieren? Es sind Dinge wie diese, die ich mangels Erfahrung nicht verstehe, daher die Frage und die Bitte um Details.

[tobiasr]

Wenn man die Desfire Karten nach Spezifikation betreibt, sind sie gegen Kopieren sicher. Wenn man nur die Daten ausließt, den Werks-Crypto-Key lässt oder sich sogar nur auf die UID verlässt, sind sie genauso unsicher wie Hitag, EM42xx oder Mifare-Classic.

Ich habe mal bei PHG eine Anfrage gestellt bzgl. fertige Desfire-Applikation zum Einbinden in eigene Software.

[mom]

Ähm, das Problem liegt in den Details.

Mit "Türcontroller" meinte ich:
Ein komplettes und betriebsfertiges Zutrittssystem eines beliebigen Herstellers, das alle deine Anforderungen erfüllt (also Karte, Fingerprint, Logging etc.) und eben das Schloss ansteuern kann. Da gibt es schlicht zu viele. Und ich wurde da auch nichts von unterschiedlichen Herstellern zusammenfrickeln.