Когда я только начинал думать над реализацией этой штуки, уже было ясно что нужен какой-то неочевидный контроль целостности:
Поэтому хотелось хоть какую-то защиту от подделки содержимого, чтобы компьютерные дети не добавили патч Брамина в самое интересное место, а индийский паренек не подменил авторство и мои контакты на свои, ради строчки в резюме.
Криптография занимает почти половину скрипта, но не решает ни одной из обозначенных проблем. Изменить код и зашифровать тот-же текст сообщения можно, как и изменить текст сообщения не меняя код.
Замените ED="TfPrCIlXEUInGJPpr4++hQfa2Whq4RFzdbFP5C4s/s8="; на ED="SnRi4cIB68E9aIh4TMqTDg==";
Представители Xiaomi пока не сообщают, когда устройство появится в продаже и сколько будет стоить.
И мир застыл в нетерпеливом ожидании. В тоже самое время производители других камер, например Arlo, Eufy, Nedis, TP-link, Cleverio и т.д. уже несколько лет как продают камеры с солнечными панелями, и панели для своих камер. И некоторые панели с Micro-USB можно подключить к любым камерам.
У меня работает похожий велосипед на EasyCap подобном свистке (ID 534d:0021 MacroSilicon MS210x Video Grabber [EasierCAP]) , камера от домофона шлет видео только когда кто-то позвонил. Холодного старта не замечено, но между камерой и EasyCap есть сплиттеры, и сигнал передается в дифференциальном виде, т.е. есть еще и преобразователи в дифф сигнал и обратно в композитный. Распознавалка работает на Python face_recognition и получает видео с указанного источника. Скрипт открывает дверь и сообщает кто пришел через HA TTS -> Google home mini.
В программе вводится не IP-адрес, а некий идентификатор, а также логин и пароль
Некий идентификатор это возможно серийный номер NVR DHI-NVR4116-4KS2/L на скриншоте.
На Гитхабе есть проект "RTSP Streaming with Dahua P2P Protocol Implementation", с имплементацией на "Ржавчине" и Pyhon. Выглядит очень многообещающе. К сожалению не знаю имя и пароль от камеры, и есть всего 4 попытки, чтобы попробовать.
Это устройство стоит как половина Raspberry Pi 5. А с постоянным видеопотоком с камеры на Raspberry Pi 5 можно добавить face и т.п. recognition, записывать и транслировать видео куда хотите в удобном формате. И отсылать алерты в тот же телеграм в текстовом виде, если лицо успешно распознано, или в виде фото, если не распознано.
Я решил оставить облако, Wi-Box работает судя по логам и трафику с Alibaba Cloud во Франкфурте, по крайней мере для Европы (GDPR и т.п.). А прошивку пропатчил примерно как поляки предлагали: httpd на busybox и sesam.cgi
Возможно level shifter на 3.3 или 5 вольт в трубке уже и есть. Но Wi-Box все таки позволяет еще и удаленно голосом пообщаться с посетителем, если сам не дома.
Я ждал такого комментария. Если в подъезд можно зайти просто за кем-то (piggyback), почему я буду беспокоится, что кто-то будет демонстрировать мое фото в камеру? Да и к тому же будет интересно это посмотреть потом на видео.
The terms "payload" and "payload body" have been replaced with "content", to better align with its usage elsewhere (e.g., in field names) and to avoid confusion with frame payloads in HTTP/2 and HTTP/3. (Section 6.4)
Although request message framing is independent of the method used, content received in a GET request has no generally defined semantics, cannot alter the meaning or target of the request, and might lead some implementations to reject the request and close the connection because of its potential as a request smuggling attack (Section 11.2 of [HTTP/1.1]). A client SHOULD NOT generate content in a GET request unless it is made directly to an origin server that has previously indicated, in or out of band, that such a request has a purpose and will be adequately supported. An origin server SHOULD NOT rely on private agreements to receive content, since participants in HTTP communication are often unaware of intermediaries along the request chain.
11.2. Request Smuggling Request smuggling ([Linhart]) is a technique that exploits differences in protocol parsing among various recipients to hide additional requests (which might otherwise be blocked or disabled by policy) within an apparently harmless request. Like response splitting, request smuggling can lead to a variety of attacks on HTTP usage.
Я повесил самую простую релюху Shelly 1 с сухим контактом на замыкание кнопки. Для этого даже пайка не понадобилась, У Shelly есть своё приложение, плюс оно интегрируется в Home Assistant, Google Home ну и во все прочие экосистемы.
Я видел подобные решения на реле, и это довольно популярно, просто и эффективно работает для определенных моделей, особенно на не цифровых. Только, например на нажатие кнопки открытия двери на моем терминале не последует никакой реакции. Терминал не пошлет код открытия если не было вызова со стороны панели в подъезде или не была использована функция Auto-Start.
В Home Assistant можно сделать открытия по приближению к дому, по обнаружению метки ble и т.д., но мне пока как-то без надобности
Да, это стоит протестировать. "По приближению к дому" Apple Homekit например срабатывает при приближении на примерно 100-200 метров. По метке BLE тоже нужно тестить при каком RSSI сработает автоматизация. Если слишком рано, то дверь будет уже закрыта до того, как успеешь подойти. Или, наоборот, придется стоять и ждать пока она откроется.
Единственное, до чего пока не дошли руки - перехватывать звонок домофона и по определенному паттерну (например три коротких - три длинных) открывать дверь
Это тоже только для аналоговых моделей. На ADS/VDS на терминал просто придет код звонка A9ХХ, без информации было ли длинное или короткое нажатие.
Только закончил прослушивание Complex Numbers - Мы, XXII век. Техно-опера
Где высказывались подобные идеи, и может так статься, что отделить индивидуализм и не переносить его не получится. В произведении, как вариант развития событий, сторонники ОИ устроили геноцид над сторонниками ЗИ (открытого и закрытого индивидуализма)
Не согласен. Уверен, что статья целиком основана на собственном жизненном опыте и это попытка поделится своим путем джедая в обозначенной области.
Не смотря на контроверсионную подачу материала, очень понравились идеи самосовершенствования, изучения английского и открытый евангелизм опенсорсного программного обеспечения, цитата:
Нет, их задача — как можно больше начинающих специалистов подсадить на проприетарный софт, а потом делать деньги. Я также понимаю, что PVE может показаться гораздо сложнее, и вам не хочется учиться и гораздо проще убедить руководство отправить три ваши годовые з.п. в страны Нато
В отличие от Flipper Zero, HackBat позволяет пользователям самим программировать MCU
Под Flipper Zero пользователи сами могут программировать MCU, но это знаете ли еще то удовольствие. Спасибо команде Flipper Zero, что они многое сделали и выложили исходники.
HackBat есть только плата в данный момент. Значит софт коммюнити будет делать, и пока неизвестно кто и когда он будет готов. Придется подождать.
Программирование с помощью перетаскивания с использованием массового хранения через USB - Режимы низкого энергопотребления и дремоты
У Flipper Zero на STM32WB55 с режимом глубокой дремоты все в порядке
Even in deep sleep RP2040 draws a typical current of ~180μA, and sleep current is very dependent on PVT: process (current varies from chip to chip), voltage (current varies linearly with voltage), and temperature (current varies nonlinearly with temperature).
Криптография занимает почти половину скрипта, но не решает ни одной из обозначенных проблем. Изменить код и зашифровать тот-же текст сообщения можно, как и изменить текст сообщения не меняя код.
Замените ED="TfPrCIlXEUInGJPpr4++hQfa2Whq4RFzdbFP5C4s/s8="; на ED="SnRi4cIB68E9aIh4TMqTDg==";
CyberChef -> Base64 -> AES-ECB, Key=D5312E3E4203FA438E672C9CAF0A31A8, IV=0
Очень познавательно.
Все таки на Raspberry Pi все проще с headless установкой.
Да и новый Raspberry Pi AI Kit 13 TOPS.
Нужно всего лишь дождаться, пока Raspberry Pi Zero загрузит операционку и стартанет вот это вот все.
Толи еще будет если открыть для себя MicroPython для Raspberry Pico или esp32.
И мир застыл в нетерпеливом ожидании. В тоже самое время производители других камер, например Arlo, Eufy, Nedis, TP-link, Cleverio и т.д. уже несколько лет как продают камеры с солнечными панелями, и панели для своих камер. И некоторые панели с Micro-USB можно подключить к любым камерам.
У меня работает похожий велосипед на EasyCap подобном свистке (ID 534d:0021 MacroSilicon MS210x Video Grabber [EasierCAP]) , камера от домофона шлет видео только когда кто-то позвонил. Холодного старта не замечено, но между камерой и EasyCap есть сплиттеры, и сигнал передается в дифференциальном виде, т.е. есть еще и преобразователи в дифф сигнал и обратно в композитный. Распознавалка работает на Python face_recognition и получает видео с указанного источника. Скрипт открывает дверь и сообщает кто пришел через HA TTS -> Google home mini.
Некий идентификатор это возможно серийный номер NVR DHI-NVR4116-4KS2/L на скриншоте.
На Гитхабе есть проект "RTSP Streaming with Dahua P2P Protocol Implementation", с имплементацией на "Ржавчине" и Pyhon. Выглядит очень многообещающе. К сожалению не знаю имя и пароль от камеры, и есть всего 4 попытки, чтобы попробовать.
Да как обычно, ссылка на архив с мега супер софтом. Самого софта там нет
А чтобы получить софт, нужно подписаться на телеграм, заплатить денюшку, установить торян, и т.д.
Это устройство стоит как половина Raspberry Pi 5. А с постоянным видеопотоком с камеры на Raspberry Pi 5 можно добавить face и т.п. recognition, записывать и транслировать видео куда хотите в удобном формате. И отсылать алерты в тот же телеграм в текстовом виде, если лицо успешно распознано, или в виде фото, если не распознано.
Я решил оставить облако, Wi-Box работает судя по логам и трафику с Alibaba Cloud во Франкфурте, по крайней мере для Европы (GDPR и т.п.). А прошивку пропатчил примерно как поляки предлагали: httpd на busybox и sesam.cgi
https://web.archive.org/web/20211128173119/https://linuch.pl/blog/fermax-wayfi-wideodomofon-hack-czesc-3
Хо хо, на вопрос «зачем поставили микроконтроллер?» Лайтком просил передать: FU! That’s Why.
А в последней статье была прям интрига
Возможно level shifter на 3.3 или 5 вольт в трубке уже и есть. Но Wi-Box все таки позволяет еще и удаленно голосом пообщаться с посетителем, если сам не дома.
График изменения тока в темной теме выглядит готичненько
Абсолютно не секрет, биометрия остается на Raspberry Pi, запертая в кладовке. Не путешествует, это небезопасно в наше время.
Я ждал такого комментария.
Если в подъезд можно зайти просто за кем-то (piggyback), почему я буду беспокоится, что кто-то будет демонстрировать мое фото в камеру?
Да и к тому же будет интересно это посмотреть потом на видео.
Чтение RFC очень затягивает. Можно задать вопрос, а потом целый день провести над чтением ответа. Например RFC 9110
https://www.rfc-editor.org/rfc/rfc9110.html#name-changes-from-rfc-7231
https://www.rfc-editor.org/rfc/rfc9110.html#name-get
https://www.rfc-editor.org/rfc/rfc9112#name-request-smuggling
[Linhart]
Linhart, C., Klein, A., Heled, R., and S. Orrin, "HTTP Request Smuggling", June 2005, https://www.cgisecurity.com/lib/HTTP-Request-Smuggling.pdf.
Возможно это Basic CityMax на технологии 4+N (analogue) https://www.fermax.com/intl-en/products/video-door-entry-systems/telephones/telefono-citymax/f80447-basic-citymax-telephone-white/. Там есть ксати приписка "No privacy of conversation with the panel".
Я видел подобные решения на реле, и это довольно популярно, просто и эффективно работает для определенных моделей, особенно на не цифровых. Только, например на нажатие кнопки открытия двери на моем терминале не последует никакой реакции. Терминал не пошлет код открытия если не было вызова со стороны панели в подъезде или не была использована функция Auto-Start.
Да, это стоит протестировать. "По приближению к дому" Apple Homekit например срабатывает при приближении на примерно 100-200 метров. По метке BLE тоже нужно тестить при каком RSSI сработает автоматизация. Если слишком рано, то дверь будет уже закрыта до того, как успеешь подойти. Или, наоборот, придется стоять и ждать пока она откроется.
Это тоже только для аналоговых моделей. На ADS/VDS на терминал просто придет код звонка A9ХХ, без информации было ли длинное или короткое нажатие.
Только закончил прослушивание Complex Numbers - Мы, XXII век. Техно-опера
Где высказывались подобные идеи, и может так статься, что отделить индивидуализм и не переносить его не получится. В произведении, как вариант развития событий, сторонники ОИ устроили геноцид над сторонниками ЗИ (открытого и закрытого индивидуализма)
https://youtu.be/YrXk2buqsgg
Не согласен. Уверен, что статья целиком основана на собственном жизненном опыте и это попытка поделится своим путем джедая в обозначенной области.
Не смотря на контроверсионную подачу материала, очень понравились идеи самосовершенствования, изучения английского и открытый евангелизм опенсорсного программного обеспечения, цитата:
Ну правильно писать НАТО конечно.
Под Flipper Zero пользователи сами могут программировать MCU, но это знаете ли еще то удовольствие. Спасибо команде Flipper Zero, что они многое сделали и выложили исходники.
HackBat есть только плата в данный момент. Значит софт коммюнити будет делать, и пока неизвестно кто и когда он будет готов. Придется подождать.
У Flipper Zero на STM32WB55 с режимом глубокой дремоты все в порядке
https://blog.flipper.net/1-month-battery-life-with-firmware-update/
а вот на RP2040 нас могут поджидать сюрптизы
https://pip.raspberrypi.com/categories/685-whitepapers-app-notes/documents/RP-004339-WP/Power-switching-RP2040-for-low-standby-current-applications.pdf
MicroPython, Visual Studio Code ...
А еще лучше купите футболку за 299 крон