Hakerzy + Inteligentny Dom = koszmar

W zeszłym tygodniu o mały włos nie zgubiła nas nadmierna skromność. Przyjęliśmy dość powszechne - jak mniemam - założenie: "a kto by tam chciał nas atakować i po co?". Jak praktyka pokazuje: jest to założenie z gruntu niewłaściwe.

Pracowałem na serwerze poprzez Remote Desktop, gdy nagle ktoś nieautoryzowany przejął kontrolę nad myszką i klawiaturą. Osoba (?), która wykorzystała lukę zabezpieczeń próbowała z poziomu terminala dodać nowego użytkownika, 'postgres' o ile zdążyłem się zorientować. Na szczęście (!) wykonanie operacji wymagających uprawnień Super Usera (administratora) wymusza podanie dodatkowego hasła. Uff! To nas uratowało!

Szybko zamknąłem dostęp do portów z zewnątrz, zajrzałem do pliku /var/log/auth.log
i wtedy włosy autentycznie zjeżyły mi się na głowie: od dłuższego czasu z różnych adresów próbowano się (nieskutecznie) zalogować na nasz serwer! Prób tych było dzienne kilkaset - kilka tysięcy w okresie ostatnich tygodni!

Sprawdziliśmy numery IP, z których te próby podejmowano. Ślady prowadzą do Chin - mekki współczesnych hakerów, ale domyślam się, że cyberprzestępcy potrafią skutecznie mylić trop, więc to tylko hipoteza...

Instalacja EIB - przemyślenia

Niniejszy wpis jest rozwinięciem przemyśleń z listopada 2007 (tutaj)

PLAN

Ponieważ nasz dom budowany jest na osiedlu wg standardowego projektu developera, zdecydowaliśmy się na drobną modyfikację projektu instalacji elektrycznej.

Po pierwsze: poprowadziliśmy do wszystkich możliwych punktów kabel EIB. I tu cenna sugestia jednego z forumowiczów: "jeśli kiedykolwiek choć przez sekundę pojawi się w Tobie myśl, aby gdzieś poprowadzić kabel EIB - zrób to. Nie będziesz potem żałował"
Warto wspomnieć, że przy cenie ok. 2zł za mb dołożenie dodatkowych kilku metrów przewodu EIB nie stanowi poważnej pozycji kosztowej. Natomiast późniejsze kucie i "bruzdowanie" - tak.
Po drugie: w naszym rozwiązaniu aktory (elementy wykonawcze) zostaną umieszczone centralnie w jednej szafie, natomiast do każdego ze sterowanych punktów (oświetlenie, rolety, gniazdka, itp.) zostanie poprowadzony indywidualny przewód energetyczny. Zwiększa to co prawda znacznie ilość prowadzonych przewodów (w naszym wypadku dwukrotnie: z 1,5km instalacji standardowej do 3km instalacji EIB), ale tańszy jest zakup aktorów wielokanałowych. Oczywiście w przypadku "pomyłek" - zawsze istnieje możliwość zainstalowania indywidualnych aktorów bezpośrednio w puszkach.
Po trzecie: głębsze puszki instalacyjne! Dodatkowy koszt: 0,01% a o ile łatwiej jest cokolwiek potem zainstalować.

PROJEKT
Projekt naszej instalacji, ze względu na jej złożoność i wysoki koszt realizowany będzie etapami. Etapy te są jeszcze dodatkowo podzielone na fazy - miniprojekty. Oto one:
   I faza – alarm
   II faza – sterowanie oświetleniem
   III faza – sterowanie ogrzewaniem
   IV faza – sterowanie roletami, czujnik natężenia oświetlenia
   V faza – dostęp zdalny + panele dotykowe w salonie hallu na dole i sypialni na górze HomeServer
   VI faza – ogród i stacja pogodowa
   VII faza – multiroom, kino domowe

W pierwszym etapie projektu (czyli przed wprowadzeniem się do domu) wykonana zostanie faza I do III. Pozostałe fazy będą wykonywane w miarę sił, środków i akceptacji małżonki. :)


FUNKCJE EIB
Jak widać z rozpisania na etapy/fazy, nasza instalacja EIB będzie odpowiedzialna za następujące zadania:
- - integracja z systemem alarmowym!
- - sterowanie ogrzewaniem
- - sterowanie roletami
- - sterowanie oświetleniem
- - sterowanie sprzętem AV (multiroom)
- - sterowanie nawadnianiem ogrodu

Kolejne (ciekawe) ustalenia i przemyślenia

Ostatnie kilka dni było naprawdę intensywnych: pierwszy wstępny projekt naszego Pana instalatora, rozmowy z Buderusem (piece c.o.), dyskusje z Krzysztofem H., propagowanie idei EIB wśród znajomych, wizyta u Pani Architekt i na deser: jeszcze bardziej szczegółowe przemyślenia dotyczące funkcjonalności.

1. Bingo! Będziemy sterować piecem c.o.! Trafiliśmy na bardzo dobry kontakt w firmie Buderus (http://www.buderus.pl/). Okazuje się, że automatyka w Buderusie jest bardzo modułowa. Na początek wystarczy kupić sterownik Logamatic 4211, który sam w sobie jest bardzo dobrą tablicą sterującą z regulacją pogodową (plus niewysoka cena ca. 4500,- zł), a po pewnym czasie można do niego dołożyć łącze EIB FM446 (cena tylko 1295,- zł brutto!!!).
   
2. jeśli ktoś przeżył zalanie domu (czy to z własnego sprawstwa, czy też dzięki uprzejmości sąsiadów z góry) z pewnością doceni czujnik wody w łazience, w kuchni i w garażu. Idea jest prosta: po stwierdzeniu obecności wody odcinany jest główny zawór (u nas będą pompy, więc je po prostu wyłączymy). Dodatkowo, jeżeli system alarmowy będzie uzbrojony ("nikogo nie ma w domu") do firmy monitorującej, sąsiadów i do nas samych zostanie wysłane powiadomienie SMS-em.
   
3. pojawił się na horyzoncie bardzo ciekawy system alarmowy firmy Paradox (dystrybucja ICS Polska). System, jak system, ale wersja EVO ma bardzo ładną klawiaturę... Dodatkowo w ofercie ICS znajdują się również bariery podczerwieni.
   
   Zdjęcie klawiatury DNE-K07 "Grafica" systemu alarmowego EVO firmy Paradox pochodzi ze stron www firmy ICS Polska.
   
   
4. Krzysztof H. wspominał o izraelskim rozwiązaniu z certyfikatem bezpieczeństwa. Do rozpoznania.
   
5. Na spotkaniu z Panią Architekt głównie omawialiśmy aranżację kuchni. Wbrew pozorom, ma to ogromne przełożenie na instalację elektryczną, ponieważ już na tym etapie należy przewidzieć ilość gniazd oraz ich rozmieszczenie, a także wszystkie punkty świetlne i sposób ich sterowania (np. ściemnianie?). Jeśli ktoś planuje w kuchni domofon - a jest to praktyczne rozwiązanie - powinien przewidzieć to już na tym etapie.
   
6. A propos "domofon". Wybór prawdopodobnie padnie na wideodomofon Legranda. Nie będzie on niestety domofonem na magistrali EIB, ale niektóre funkcje (rygiel zamka, sterowanie bramą, czujnik otwarcia drzwi) spróbujemy oczywiście zintegrować poprzez dodatkowe we/wy. Bardzo liczymy też na to, że sygnał wideo uda się wprowadzić do instalacji TV/Sat.
   
7. A propos "sat". Rekorder n-tv potrzebuje dwóch konwerterów na talerzu satelitarnym lub twina - trzeba przewidzieć dwa koncentryki. Podobno "n" przymierza się też do usługi Multiroom, która daje możliwość oglądania n-tv w dwu pokojach. Niestety - potrzebne będą dwa dekodery, oby nie dwa abonamenty...
   Ciekawostka: n-kę można podłączyć do domowej sieci (via port Ethernet). Na razie usługi są dość skromne (Onet Foto), ale zapewne w przyszłości się to zmieni. No cóż, planowałem 4 skrętki w miejscu, w którym będzie stał telewizor i widzę, że to wszystko mało... :)
   

Spotkanie z projektantem i wykonawcą instalacji, p. Grzegorzem

Ponad 4 (cztery) godziny rozpasanej i pełnej technicznego wyuzdania dyskusji na temat projektu instalacji alarmowej i EIB. Rozkosz …!

Ale po kolei:
Po pierwsze: ustaliliśmy rozmieszczenie szaf i skrzynek instalacyjnych. I tak:

• szafa rozdzielcza, bezpieczniki, wyłącznik nadprądowe i przeciwporażeniowe, oraz elementy instalacji EIB montowane na szynie DIN zostaną zainstalowane w odpowiedniej stojącej szafie Legranda częściowo wkute w ścianę garażu.


• Centrala alarmowa zostanie zainstalowana na ... - no nie, na blogu nie napiszę przecież gdzie :)


• routery, cyfrowe rejestratory wideo, homeserver, file-server etc. itp. staną w małym raku w gabinecie
  

Po drugie: skupiliśmy się na systemie alarmowym. Ustaliliśmy liczbę i rozmieszczenie czujek ruchu, czujek obecności oraz czujek otwarcia drzwi i okien. Generalnie przyjęliśmy zasadę stref, czyli w przypadku sypialni będzie to czujka ruchu oraz kilka kontaktronów w oknach i drzwiach (połączonych szeregowo) pozwalających stwierdzić, że bezpieczeństwo zostało naruszone w tym właśnie pomieszczeniu. Czujki ruchu oraz czujki otwarcia okien będą miały podwójne zastosowanie: gdy uzbrojony jest alarm i w trakcie „normalnego” użytkowania. W tym pierwszym trybie oczywiście zostanie uruchomiona procedura alarmu, sygnalizacja, powiadomienia, etc. Natomiast w tym drugim, „normalnym” trybie, gdy czujka wykryje ruch – EIB włączy światło, gdy zostanie otwarte okno – EIB wyłączy ogrzewanie, itp. itd.
A tak przy okazji, wyszła na jaw informacja skrzętnie skrywana przez Naszego Ulubionego Sprzedawcę – otóż wszystkie okna, tak na parterze jak i na piętrze – są antywłamaniowe! Nie da się przez nie przejść nawet, jeśli posiada się na wyposażeniu 5kg młotek. Yeah!

Na Allegro znalazłem zestaw Satel INTEGRA w następującej konfiguracji:

• Centrala alarmowa INTEGRA 64 Satel


• Obudowa centrali z zasilaczem


• Akumulator centrali 18Ah


• Klawiatura INTEGRA KLCD z wyświetlaczem LCD


• Zewnętrzny sygnalizator optyczno-akustyczny SP-4002 z akumulatorem i podwójną obudową


• Syrena wewnętrzna SPW-210


• Kabel RS-232 do programowania centrali przy pomocy komputera


• Instrukcja instalacji


• Oprogramowanie na dyskietce


• Komplet elementów mocujących

Zdjęcie i opis pochodzą z aukcji organizowanej przez firmę Microtec Kraków www.microtec.pl

Cena kompletu: jedyne 1454zł. Czyli nie jest tak źle. Więcej informacji o systemch alarmowych firmy Satel można przeczytać na ich stronach http://www.satel.pl, a o samej centrali: tutaj.

Do tego jeszcze tylko kilka(naście) czujek PIR – wewnętrznych i zewnętrznych, czujki tlenku węgla CO, czujka gazu, czujka zbicia szkła, drugi manipulator KLCD na piętro. Pozostałe czujki, takie jak np. czujki zalania (przydatne w łazience, pralni i kuchni) będą już bezpośrednio podłączone do EIB – choćby po to, aby móc odciąć wodę (a propos: czy istnieją zawory sterowane z EIB?).

Na posesji dodatkowo przewidziano kilka kamer zewnętrznych monitorujących tak budynek, jak i jego otoczenie. Jeśli będą to kamery IP zapewne da się je prosto połączyć z HomeServerem. Dodatkowo – w przyszłości – przewidziano bramy IR, a na rogach budynku : kamery CCTV.

Po trzecie: w domu będzie przewidziany osobny obwód UPS. Sam UPS stanie zapewne koło serwerów, ale powinien on również podtrzymywać zasilanie EIB, piec c.o. oraz kilka światełek przy schodach – przydatne, gdy mili Panowie z Zakładu Energetycznego na jakiś czas wyłączą nam prąd…

Po czwarte: pomimo niezaprzeczalnych zalet Wi-Fi, dom będzie również okablowany skrętką (UTP kat.6?): serwer, gabinet, sypialnia 1, sypialnia 2, salon (x2). Może również kuchnia?

Po piąte: wideodomofon powinien zostać zainstalowany na parterze (standard) oraz na piętrze. Nie chciałbym, aby za każdym razem, gdy do domu zadzwoni przypadkowy przechodzień trzeba było zbiegać po schodach do domofonu na parterze.

Po szóste: dom powinien zostać okablowany instalacją „antenową”. Wypadałoby znów przewidzieć miejsce, do którego będą się zbiegać różne sygnały (antena TV, antena SAT, CCTV, domofon, etc) a następnie zostaną one koncentrykiem rozprowadzone po budynku (sypialnia 1, sypialnia 2, gabinet, salon, może również kuchnia?)

I po siódme wreszcie: clue imprezy, czyli instalacja EIB i jej elementy.

Każdy punkt – gniazdko lub przycisk – powinien mieć doprowadzony przewód EIB. Nawet, jeśli nie będzie wykorzystywany na początku, w przyszłości potencjalnie będzie mógł sterować aktorem lub sensorem montowanym w puszcze (podtynkowo). Oczywiście puszki powinny mieć głębokość przynajmniej 60mm.

Rys. Port magistralny (G-570 00) firmy GIRA montowany podtynkowo - zdjęcie dzięki uprzejmości firmy TEMA Polska

Każde pomieszczenie typu sypialnia, salon, łazienka, gabinet zostanie wyposażone w niezależny regulator temperatury. Dostępne cztery przyciski zostaną oprogramowane tak, aby sterować temperaturą oraz scenami świetlnymi. Czyli: nie załączamy poszczególnych punktów świetlnych, tylko przełączamy pomiędzy zestawami typu:
- wszystko włączone na max
- poranne wstawanie (oświetlenie na 50%)
- nocne wstawanie (oświetlenie na 20%)
- romantyczna kąpiel
- wszystko wyłączone

W tej chwili mam 4 „zwykłe” przełączniki zapalające światło w łazience (sufit + wentylator, lustro, półka, halogeny) a i tak załączone są wszystkie lub żaden. Tylko cztery razy więcej „klikania”.

A propos łazienki: w podłodze ogrzewanie elektryczne, w „ręcznikowcach” – standardowo połączonych do instalacji c.o. – dodatkowe grzałki (na czas sezonu letniego). Oscara dla tego, kto to wysteruje! :)

Rys. Moduł użytkowy w postaci przycisku z zintegrowanym termostatem (G-1052 00) firmy GIRA - zdjęcie dzięki uprzejmości firmy TEMA Polska

Rolety wewnętrzne: na początek nie będą instalowane, ale powinny oczywiście zostać przewidziane w instalacji EIB. Tutaj dobra wiadomość: GIRA ma w ofercie „wyrobnik załączający 16 –kanałowy” (nr kat. G-1029 00), który może załączać 16 indywidualnych kanałów lub 8 … żaluzji. Bajka! Najpierw całą instalację zrobimy na „zwykłych” wyrobnikach, potem dokupimy wyrobniki ze ściemniaczami, a te „zwykłe” przepnie się do sterowania żaluzjami.

Stacja pogodowa: pieśń przyszłości, ale koniecznie trzeba wyprowadzić na dach peszel (podobnie jak do anten i kamer). W przyszłości będziemy automatycznie nawadniać ogródek, więc niezbędne będzie również wyprowadzenie peszli oraz wody w rurce 1” bezpośrednio z garażu. Dodatkowe peszle: do bramek IR i oświetlenia w ogrodzie.