Passersystem

[AndLi]

Du ska ju ha en serieportsanslutning till din uC för att kunna konfigurera den, finns inget som hindrar dig att ladda ner kod via samma port. självklart ingen källkod, du skickar ut hexfilen som ska ner i flashet..
Funkar fin fint..

[sebastiannielsen]

Låter skumt att en µC kan uppdatera sig "själv".
µCn kör ju programmet. Hur ska den då kunna ta emot det nya programmet? Programmet måste altså ersätta sig själv på något sätt?

Hade man haft 2 µCs hade detta inte varit något problem eftersom den ena µCn sköter uppdateringen till den andra µCn , och den andra µCn sköter programmet.

[matseng]

ÄNNU mer nackdelar med en µC:

Vill man skicka ut en programvaruuppdatering på ett µC-system så är det ju omöjligt... Utan att skicka ut nya µCs med det nya programmet i. Ganska dyrt om man har ca 100 kunder....

Kör man med PC så lägger man bara ut programmet för nedladdning, eftersom det är bara mjukvaran i PCn som behöver bytas ut. GRAAAAATIS!!!



Majoriteten av kunder för passersystem är ju företag, och de flesta företag har ju en egen webserver, varför inte vara lite smart och använda den till passersystemet också då?

Sebasitan, nu snackar du skit igen.

De flesta företag har INTE en webbserver. Och dom som har det har det inte stående vid ytterdörren heller. Och vem tusan vill ha sitt passersystem kopplat på en publik webbserver - förutom du då som vill visa hur stora dina säkerhetskunskaper är förståss :-) Vi andra skrattar fortfarande åt dina ideer.

Om majoriteten av kunder är företag så har dom nog råd med att betala för uppgraderingrna av sitt säkerhetssyten också. Det kan göras på flera sätt. Jag kan lista några här åt dig...

1) Ladda ner över internet till en laptop (som dom flesta företag har minst en av) som man pluggar in via serieporten till kodlåser och blåser ner en uppdatering. (Kostand 0 kr)

2) Skicka ut en ny uC till kundern för utbyte. Kostnad 30 kr.

3) SKicka ut ett nytt eeprom till kunden för utbyte. Kostnad 30 kr

4) Skicka ut en ibutton till kunden som håller den mot en ibutton-sockel i kodlåset så flashas ny softa in. Kostnad 50 kr eller så.

5) IR-överföring från en Palm med softa från internet. Kostnd 0 kr om plam redan finnes på företaget. Annas typ en 1000-lapp. Palmen kan sedan även användas som loggöverförare och parameterinställare till systemet.


Fast du har nog rätt. Det är bättre ett ta en webbserver kopplat till internet och låta den styra rubbet.

[sebastiannielsen]

Går det ha en hemsida utan webbserver? NEJ
Har det flesta företag hemsida? JA
altså har det flesta företag webbserver.


Och gör man allt tillräckligt säkert så lär det inte vara problem med att en dator är kopplad mot internet.
Ser man bara till att kodlåset bara tar emot anslutningar från 127.0.0.1 (localhost) så är alla säkerhetsproblem bortblåsta.
Sedan använder man ett SSL-skyddat webbgränssnitt till att administrera med. Som då via ett CGI program på servern kopplar upp sig mot kodlåssystemet.

[JockeE]

Låter skumt att en µC kan uppdatera sig "själv".
µCn kör ju programmet. Hur ska den då kunna ta emot det nya programmet? Programmet måste altså ersätta sig själv på något sätt?

Hade man haft 2 µCs hade detta inte varit något problem eftersom den ena µCn sköter uppdateringen till den andra µCn , och den andra µCn sköter programmet.

Ett tips kan vara att sätta sig in i begreppet "bootloader".

[Snabelost]

Går det ha en hemsida utan webbserver? NEJ
Har det flesta företag hemsida? JA
altså har det flesta företag webbserver.


Och gör man allt tillräckligt säkert så lär det inte vara problem med att en dator är kopplad mot internet.
Ser man bara till att kodlåset bara tar emot anslutningar från 127.0.0.1 (localhost) så är alla säkerhetsproblem bortblåsta.
Sedan använder man ett SSL-skyddat webbgränssnitt till att administrera med. Som då via ett CGI program på servern kopplar upp sig mot kodlåssystemet.


Uppd lösning
1, 4 och 5 kräver att man har 2 µCs.

1. Massor med företag har en websida, men dock har inte speciellt många en egen webbserver. Och står den hos en ISP har man inte mycket nytta av den.

2. Tar kodlåset bara imot data från 127.0.0.1 så tar den ju bara imot data från sig själv. Vad är vitsen med det?

3. CGI är ute. Används ytterst sällan nu för tiden.

4. SSL hjälper inte mot att någon loggar tangentbord... Vilket kan ske både via mjukvara eller hårdvara.

Just my $0.02

/Magnus

[sebastiannielsen]

2:

om den bara tar emot data från 127.0.0.1 , så kan ju tex webbservern på samma dator, koppla upp sig just mot localhost och kommunicera med kodlåset.

[Snabelost]

Jo, men det innebär ju att kodlåset körs på en server som är åtkomlig utifrån. Jag tror inte du kan övertyga en enda kund om att det är en bra lösning att köra ett passersystem på en dator som går att komma åt utifrån. Även om man pratar om kryptering och säkerhet så är det nog kört.

/Magnus

[danei]

Jag har då bytt program i en pic som gick via serie porten. Det går jag lovar.

[sebastiannielsen]

kör man SSL så är det i alla fall omöjligt att lyssna av....
Kör man en router med inbyggd portkonfigurator så öppnar man bara de portar man vill använda. OBS: man öppnar INTE kodlåsporten.
Själv har jag öppnat 80(web) , 25(smtp), 23(telnet) 21(FTP) , 5900(VNC) , 110(POP3) , 5800(VNCWeb) , 443(SSL)

[Icecap]

Att göra en bootloader till en flash-processor är inget problem, sån knåpar man ihop relativ enkelt. Det är inte den delen som är det svåra, problemet att göra det på t.ex. PIC är minnesstorleken.

Man bör ju kunna lägga över hela programmet, kolla checksum, nyckler osv innan man raderar det gamla och lägger in det nya.

När den delen väl är klar är uppdateringen så enkel som att koppla till en seriell port i hårdvara, TCP/IP eller annan anslutning och spotta över datan. Kostnad: Tänka till ordentligt, själva uppdateringen: ett e-mail.

[Snabelost]

kör man SSL så är det i alla fall omöjligt att lyssna av....
Kör man en router med inbyggd portkonfigurator så öppnar man bara de portar man vill använda. OBS: man öppnar INTE kodlåsporten.
Själv har jag öppnat 80(web) , 25(smtp), 23(telnet) 21(FTP) , 5900(VNC) , 110(POP3) , 5800(VNCWeb) , 443(SSL)

Intressanta portar... Du glömde dock ge oss din IP-address!

RSA-dosa / SafeWord eller liknande lösning löser flera av problemen, men inte alla, för att få ett företag att godta att passersystemet är åtkomligt utifrån.

Kör du IDS/IPS på din router/brandvägg?

/Magnus

[Magnus Pihl]

Det kostar ju massor att lägga in komponenter för ethernet i varje kodlås. Istället brukar man ha strömslinga med ett lämpligt protokoll. Själv har jag gjort strömslinga för ett nät på 64 enheter som kan kommunicera upp till 2km på oskärmad kabel (inga repeaters). Protokollet är RS232. Gränssnittet till µC i varje enhet kostar ca 2 kr.

Enhterna måste ju gå att sälja också. En kund bryr sig inte om det är ethernet eller strömslinga. Teknik brukar ofta komma sist på önskelistan. Det är bara vi teknikintresserade som gillar sånt. För kunden är funktionalitet, kvalitet, leverantörsegenskaper (kan de leverera och serva i framtiden, hur länge har leverantören funnits o.s.v) mycket viktigare. Går dörrar i baklås, då kan det ju kosta enorma summor för kunden som inte får in sin personal.

Det finns massor av firmor som vill sälja kodlås. Hög konkurrens kräver låg tillverkningskostnad. Då lägger man inte in ethernet i onödan, bara för att det är teknikporr.

[sebastiannielsen]

vad menar du med "intressanta portar"? Det låter som att det finns nån "olämplig" port öppen...

21: FTPn, inget konstigt med den. User upload/download på anonymous-kontot. user upload begränsad till särskild mapp i systemet.

23: TelNet: kräver windows-lösenordet.

25: Vanlig SMTP server från www.mailenable.com

80: Apache-serv

110: Pop3 från www.mailenable.com

443: SSL-port för apache-serv (via MOD-SSL)

5800: Jag stängde den precis. Den var onödig.

5900: Vanlig lösenordsskyddad VNC anslutning.


Kan ni hitta några säkerhetshål?

[Robert Nielsen]

Intressanta portar... Du glömde dock ge oss din IP-address!

/Magnus

efter en titt på hans hemsida så kan man läsa att han IP-nummer är: 213.64.38.182