मेरी इंटरनेट ऑफ़ थिंग्स: गेस्ट कैसल (भाग 2)

हाय जीटी! आने वाले और अतीत के साथ सभी!
मैं इस कहानी को जारी रखता हूं कि मैंने इंटरनेट से डोर लॉक कैसे जोड़ा। यहां से शुरू करें ।
टिप्पणियों के लिए सभी को बहुत धन्यवाद। वास्तव में तैयार समाधान हैं, लेकिन कई बारीकियां भी हैं जिन्होंने मुझे उनका उपयोग करने की अनुमति नहीं दी। एक अपार्टमेंट अभी भी एक होटल नहीं है, इसलिए हम विशेष होटल महल को तुरंत खारिज कर देते हैं। मुख्य ताले, एनएफसी के लिए एंटेना, इसलिए पड़ोसियों को डराने के लिए नहीं, हम भी नहीं मानते हैं। कोई भी कार्ड, टोकन या अन्य भौतिक माध्यम का उपयोग नहीं किया जा सकता है, यह समझा जाता है कि दरवाजा खोलने से पहले उन्हें किसी अतिथि को स्थानांतरित करने का कोई तरीका नहीं है।
केवो, अगस्त या लॉकिट्रॉन का उपयोग नहीं किया जा सका, क्योंकि वे अमेरिकी प्रकार के लॉक (डेडबोल्ट) पर आधारित हैं, जो कि 65-70 मिमी मोटी स्टील के दरवाजे पर बहुत अच्छी तरह से स्थापित नहीं है। हमारी पसंद बख्तरबंद दरवाजों के लिए इलेक्ट्रोमैकेनिकल CISA है, जिसकी कीमत लगभग 500 यूरो है (अभी तक नहीं खरीदी गई है, क्योंकि महंगी)।
और सबसे महत्वपूर्ण बात, मैं अपने हाथों से कुछ करना चाहता हूं, शौक धाराओं के लिए स्वार्थी होने के लिए नहीं।


आपको याद दिला दूं कि स्थानीय होम नेटवर्क में NAT के पीछे लॉक कंट्रोलर गहरा स्थित होता है, और इसलिए यह Arduin पर वेब सर्वर को बढ़ाने के लिए कोई मतलब नहीं है, इसे इंटरनेट से पहुंचना असंभव है। सर्वर को पायथन में ट्विस्टेड फ्रेमवर्क का उपयोग करते हुए लिखा गया है, एक अन्य जगह पर लिनक्स पर चलता है जहां एक वास्तविक आईपी पता है, और नियंत्रक इसे जोड़ता है और कमांड का इंतजार करता है।

अब मैं काम और क्रिप्टोग्राफी के तर्क के बारे में बात करना चाहता हूं।
मुझे कुछ ऐसा नहीं मिला, जो Arduina के लिए ट्रैफ़िक को एन्क्रिप्ट करता हो, क्योंकि महल और सर्वर के संचार खुले चैनलों के माध्यम से बिना लाइसेंस वाले ट्रैफ़िक के माध्यम से जाएंगे।
पहले प्रोटोटाइप में, मैंने एमडी 5 का उपयोग किया, अब मैंने इसे एसएचए -1 में बदल दिया, यहां इस क्रिप्टोसाइट लाइब्रेरी पर । यह कम मेमोरी का उपभोग करता है, और पहले से ही तैयार एचएमएसी फ़ंक्शन है।
कुंजी 30 ASCII वर्णों का एक पासवर्ड है, जो नियंत्रक की EEPROM मेमोरी में संग्रहीत है।
पहले प्रोटोटाइप में, वही पासवर्ड सर्वर पर स्पष्ट रूप से संग्रहीत किया गया था, जो निश्चित रूप से सुरक्षा नहीं है। दूसरे प्रोटोटाइप में दो पासवर्ड की आवश्यकता होती है। सर्वर से कनेक्ट करते समय सबसे पहले लॉक को प्रमाणित किया जाता है, आप इस पासवर्ड से लॉक को खोल नहीं सकते हैं, इसकी आवश्यकता है ताकि केवल सही लॉक ही सर्वर से कनेक्ट हो सकें।
लॉक सर्वर से जुड़ता है और सबसे पहले इसे अपना पहचानकर्ता बताता है। सर्वर डेटाबेस में जाँच करता है कि क्या ऐसा कोई लॉक है, और अगर वहाँ है, तो यह प्रतिक्रिया में यादृच्छिक रूप से उत्पन्न ASCII अनुक्रम भेजता है। लॉक एक पासवर्ड के साथ "संकेत" करता है और हैश को वापस भेजता है। सर्वर ने प्राप्त हैश की तुलना अपने आप से की गई गणना के साथ की, और यदि वे मेल खाते हैं, तो यह कनेक्टेड कंट्रोलर को "लॉक" के रूप में अधिकृत करेगा।
अन्यथा, कनेक्शन रीसेट है।
दूसरा पासवर्ड पहले से ही एक डिजिटल कुंजी है, यह सर्वर पर संग्रहीत नहीं है।
यह निम्नानुसार काम करता है: उपयोगकर्ता एप्लिकेशन सर्वर पर SOAP फ़ंक्शन के माध्यम से कॉल करता है, लॉक की आईडी और उस कमांड को इंगित करता है जिसे वह उसे भेजना चाहता है। नतीजतन, फ़ंक्शन अनुरोध आईडी लौटाता है। सर्वर इस कमांड को कंट्रोलर को फॉरवर्ड करता है, कंट्रोलर जवाब में एक बेतरतीब ढंग से उत्पन्न ASCII अनुक्रम भेजता है, और कुछ सेकंड के लिए "सही" प्रतिक्रिया का इंतजार करता है। अगला, उपयोगकर्ता एप्लिकेशन को अनुरोध आईडी द्वारा उसी SOAP के माध्यम से सर्वर से प्राप्त करने की आवश्यकता है, इसे एक डिजिटल कुंजी के साथ हस्ताक्षर करें और इसे वापस भेजें।
नियंत्रक प्राप्त हैश की तुलना अपने आप से की गई गणना के साथ करता है और यदि वे मेल खाते हैं, तो यह पहले प्राप्त कमांड को निष्पादित करता है, जो सर्वर को सूचित किया जाता है।
कमांड की पुष्टि करने का समय 2 सेकंड तक सीमित है, अगर इस दौरान कोई प्रतिक्रिया नहीं मिलती है, तो नियंत्रक पहले प्राप्त कमांड को अनदेखा करता है। यदि हैश मैच नहीं करता है, तो कमांड को भी अनदेखा किया जाता है।
इस प्रकार, मैं खुद को "बीच में आदमी" हमले से बचाने की कोशिश करता हूं, जो मेरे प्रदाता के तारों पर व्यवस्थित करना बहुत आसान है। कनेक्शन सरल है, कोई पासवर्ड और प्रमाण पत्र नहीं है, यह ढाल में मुड़ जोड़ी को काटने के लिए पर्याप्त है, इसे दोनों तरफ से निचोड़ें, इसे कमांड साइड के आईपी पते के साथ अपार्टमेंट की तरफ से नेटवर्क में प्लग करें, दूसरे छोर पर लॉक का अनुकरण करें (मैंने डिबगिंग के लिए पायथन पर अनुकरण के लिए एक स्क्रिप्ट भी लिखी है) ), वायरटैपिंग के साथ इस तरह के "फ़ायरवॉल" की व्यवस्था करना।
इस संबंध में, मेरी राय में, महल काफी संरक्षित निकला।
यहां तक ​​कि कमांड सर्वर को हैक करने और लॉक द्वारा प्राधिकरण के लिए पासवर्ड के साथ इसके डेटाबेस को चोरी करने से बहुत परेशानी नहीं होगी, क्योंकि वे लॉक को खोल नहीं सकते हैं।
यह केवल मेहमानों से निपटने के लिए रहता है। ये पहले लेख से 6-8 की आवश्यकताएं हैं।
कीबोर्ड, परदे के पीछे, आरएफआईडी और एनएफसी एक विकल्प नहीं हैं, ऊपर ने लिखा कि क्यों। लेकिन लगभग सभी के पास स्मार्टफोन होता है और सभी स्मार्टफोन में ब्लूटूथ होता है, तो चुनाव स्पष्ट है!

पहले प्रोटोटाइप में, एक अतिथि एक एकल एक्सेस कोड के साथ जुड़ा हुआ था। इस कोड के लिए सर्वर डेटाबेस में लॉक की आईडी, अतिथि पहुंच की शुरुआत और अंत की तारीख और समय संग्रहीत किया गया था, और निश्चित रूप से अतिथि के मानव-पठनीय नाम के लिए पाठ बॉक्स।
अतिथि महल में आता है, अपने स्मार्टफोन पर मोबाइल एप्लिकेशन लॉन्च करता है, यह ब्लूटूथ के माध्यम से एक एक्सेस कोड कंट्रोलर को भेजता है, कंट्रोलर से सर्वर तक एक संदेश पहुंचता है जिसमें कहा जाता है कि एक गेस्ट ने उसे इस तरह के एक्सेस कोड के साथ संपर्क किया है। सर्वर इसे डेटाबेस के खिलाफ जांचता है, और अगर सही जगह पर सही समय पर सही अतिथि आया, तो लॉक खोलने के लिए कमांड भेजता है। वास्तव में, स्पष्ट पहुंच कोड के बजाय, अतिथि एक एचएमएसी हैश को "अस्थायी स्टैम्प" के साथ हस्ताक्षरित भेज देगा (यूनिक्स समय का एक स्ट्रिंग प्रतिनिधित्व, जो आंशिक अंश के साथ 30 से विभाजित है)। सत्यापन के लिए सर्वर किसी दिए गए लॉक के लिए वर्तमान में सभी मान्य एक्सेस कोड के चयन के साथ डेटाबेस के लिए एक अनुरोध करता है, फिर इसके माध्यम से पुनरावृत्ति करता है और उनके लिए एक समान एचएमएसी की गणना करता है, अगर यह एक मैच पाता है, तो खोलने के लिए एक कमांड भेजता है,यदि मेल खाने से पहले एक्सेस कोड की खोज समाप्त हो जाती है, तो इसे खोलने के प्रयास पर लॉक को एक नकारात्मक प्रतिक्रिया भेजी जाती है।
समस्या यह है कि ऐसे प्राधिकरण के लिए डिजिटल कुंजी को सर्वर पर संग्रहीत किया जाना था।
मुझे दूसरे प्रोटोटाइप के लिए "अतिथि" प्राधिकरण को जटिल करना पड़ा। अतिथि अभिगम कोड में अब दो कुंजी हैं, चलो उन्हें "सर्वर" और "निजी" कहते हैं। सर्वर को सर्वर पर अतिथि खाता स्थापित करने के लिए आवश्यक है, और लॉक को खोलने के लिए निजी। सर्वर रूम को सर्वर पर स्पष्ट रूप से संग्रहीत किया जाएगा, और निजी से केवल एक हैश होगा, लेकिन एक साधारण नहीं, लेकिन लॉक की एक डिजिटल कुंजी के साथ एक एचएमएसी।
अब अतिथि प्राधिकरण सत्र इस तरह दिखता है:
1. अतिथि आवेदन नियंत्रक के लिए "सर्वर" कुंजी को पास करता है (जैसा कि पहले प्रोटोटाइप उसके हैश में है) और
2. सर्वर इसे उसी तरह से जांचता है, लेकिन खुले कमांड के बजाय निजी कुंजी का हैश भेजता है
3. नियंत्रक स्वतंत्र रूप से गणना की गई सर्वर के साथ सर्वर से प्राप्त निजी कुंजी के हैश की तुलना करता है और यदि यह मेल खाता है, तो लॉक खुलता है।
इस प्रकार, सर्वर कुछ भी स्टोर नहीं करता है जो लॉक को खोल सकता है। यह डिजिटल कुंजी को जाने बिना वांछित हैश उत्पन्न करने के लिए काम नहीं करेगा।
उसी ब्लूटूथ का उपयोग इंटरनेट के बिना "मास्टर" एक्सेस के लिए भी किया जाता है। नियंत्रक इसके माध्यम से कमांड प्राप्त करता है, एक-बार कोड के साथ प्रतिक्रिया करता है, जिसे 2 सेकंड के लिए सही डिजिटल कुंजी के साथ हस्ताक्षरित किया जाना चाहिए।
इसके माध्यम से, मैं नियंत्रक की मूल सेटिंग्स बनाना चाहता हूं। मालिक नियंत्रक पर एक विशेष बटन दबाता है, जिसके बाद वह कमांड के एक विस्तारित सेट को स्वीकार करना शुरू करता है, जैसे लॉक आईडी, गुप्त कुंजी, सर्वर पोर्ट पता, नेटवर्क सेटिंग्स, आदि। लेकिन एड्रिन में स्मृति भाग गई और स्केच फिट नहीं हुआ।
अंत में, काम का एक छोटा प्रदर्शन।

Source: https://habr.com/ru/post/hi382677/