- Um caso de implementação do controle de aquecimento no Home Assistant retransmitindo o sinal sem fio do termostato existente, sem trocar dispositivos nem chamar um eletricista no apartamento alugado
- O termostato se comunicava com a caldeira na faixa de
868MHz, e embora o protocolo fosse criptografado, um Replay Attack podia funcionar mesmo sem conhecer o conteúdo dos pacotes
- A análise com
rtl_433 indicou um protocolo parecido com o da linha Honeywell, em que o valor demand mostrava se a caldeira estava ligada ou desligada, e a caldeira enviava uma resposta de confirmação
- A configuração final usou um clone do
HackRF One e hackrf_transfer para gravar e reproduzir sinais, conectando um servidor web em Docker com command_line, average e generic_thermostat do Home Assistant
- Está em uso sem problemas desde o início de dezembro de 2024, mas transmitir em
868MHz pode ser ilegal dependendo das regras locais, e usar um HackRF para um controle simples de liga/desliga é exagero
Por que é difícil automatizar o aquecimento em uma casa alugada
- A caldeira do apartamento alugado era controlada por um único termostato sem fio instalado pelo senhorio
- O termostato usava o sensor de temperatura embutido para ligar e desligar o aquecimento de acordo com a temperatura-alvo
- Na prática, havia três incômodos
- O sensor media apenas a temperatura de um cômodo do apartamento, então o aquecimento não ficava uniforme entre os ambientes
- Dependendo de em qual cômodo estava a unidade de controle, era desconfortável usá-la da cama ou da sala
- Se o aquecimento não fosse desligado antes de sair, energia cara era desperdiçada
- A casa já era automatizada com Home Assistant, e a ideia era controlar o aquecimento da mesma forma
- Havia soluções prontas no mercado, mas elas provavelmente exigiriam a cooperação do senhorio e a visita de um eletricista, então a escolha foi manter o termostato existente
Escolha de ataque por retransmissão em vez de decodificar o protocolo
- O ponto de partida foi o fato de que termostato e caldeira se comunicavam por um protocolo sem fio
- Fazer engenharia reversa do protocolo do zero era complexo demais para o nível de conhecimento em rádio
- A abordagem escolhida foi um Replay Attack
- Copiar os sinais entre a caldeira e o termostato
- Retransmitir o sinal copiado para fazer o atacante parecer o termostato
- Funcionar mesmo sem entender o conteúdo do protocolo
- Esse método dependia de sorte na implementação do dispositivo
- Se a comunicação usasse um contador incremental, sinais antigos poderiam ser ignorados e o ataque por retransmissão seria bloqueado
- Esse termostato não usava esse mecanismo, então a retransmissão era possível
Verificação da faixa de sinal e primeiras observações
- O modelo exato do termostato foi encontrado online, e o item RF Communication do datasheet confirmou o uso de uma faixa próxima de
868MHz
- O datasheet dizia
Protocol: Encrypted, mas isso não era um grande problema para a abordagem de retransmissão
- Não havia muito material sobre clonagem de sinais em
868MHz
- Havia bastante conteúdo relacionado a LoRa/Meshtastic
- Havia muitos posts no Reddit tentando clonar dispositivos como ventiladores de teto ou portas de garagem, mas com poucas respostas úteis
- A avaliação foi de que, se fosse
433MHz, haveria muito mais ferramentas de consumidor disponíveis
- Para visualizar o sinal, foi usado Software-Defined Radio
- Foi comprado um RTL-SDR V4 de baixo custo
- Ao pressionar um botão do termostato no SDR++, o sinal apareceu no waterfall
- O Flipper Zero não servia para esse caso
- O Flipper Zero não é um SDR
- A faixa de frequências suportadas é limitada, então ele não podia ser usado com esse dispositivo
Pistas do protocolo e tentativas fracassadas de transmissão
- Foi usado rtl_433 para verificar se o termostato usava algum protocolo conhecido
- Apesar do nome, ele também funciona em outras frequências
- Dispositivos mais raros podem não ser reconhecidos
- No fim, esse termostato parecia usar o mesmo protocolo de outros dispositivos da Honeywell
- Na comunicação, a propriedade
demand indicava o estado da caldeira
1 significava caldeira ligada0 significava caldeira desligada- A caldeira enviava uma resposta de confirmação, aparentemente para o termostato saber se estava fora de alcance
- Depois disso, houve uma tentativa de montar e transmitir pacotes manualmente, mas sem sucesso
- Foi feita uma tentativa de engenharia reversa manual e reconstrução de pacotes com URH
- Também foi tentada a transmissão com placas de microcontrolador baratas de
868MHz
- Essas placas eram adequadas para se comunicar entre si, e avançar além disso exigiria lidar diretamente com registradores de rádio
- Isso foi considerado além do nível técnico disponível
Gravar e reproduzir o sinal bruto com HackRF
- No fim, a abordagem adotada foi usar um HackRF para reproduzir o sinal exatamente como era, sem decodificar seu conteúdo
- O RTL-SDR existente só recebia sinais, então não podia ser usado para transmissão
- O
HackRF One normalmente custa mais de 400 dólares, mas havia clones de cerca de 40 dólares no AliExpress
- Depois disso, quase todos os resultados que apareciam ao buscar por “HackRF” no AliExpress desapareceram
- Novos clones ainda podem ser comprados na OpenSourceSDRLab, mas já não são tão baratos quanto antes
- Se houver orçamento, é melhor apoiar projetos de hardware original como o HackRF One da Great Scott Gadgets
- Com hackrf_transfer, os sinais de ligar e desligar foram gravados separadamente
# We set the frequency to 868.3Mhz and the sample rate to 2000000.
hackrf_transfer -r turn_off.raw -f 868300000 -s 2000000
hackrf_transfer -r turn_on.raw -f 868300000 -s 2000000
- Reproduzindo o sinal com a mesma configuração, foi possível ligar e desligar a caldeira pela CLI
# We use -a to turn on the amplifier and -x to increase the gain a tad.
hackrf_transfer -t turn_off.raw -f 868300000 -s 2000000 -a 1 -x 23
hackrf_transfer -t turn_on.raw -f 868300000 -s 2000000 -a 1 -x 23
- Ao executar os comandos, dava para ouvir o relé físico dentro da caldeira ligando e desligando
Como isso foi ligado ao Home Assistant
- O HackRF foi conectado a um hub USB alimentado, que por sua vez foi ligado ao servidor do Home Assistant
- Foi criado um servidor web simples dentro de um contêiner Docker para executar os comandos de transmissão
- No Home Assistant, foi usado o Average Sensor Plugin, conectando as configurações
command_line, average e generic_thermostat
command_line:
- switch:
name: Boiler
command_on: "curl http://docker-vm:1111/api/on";
command_off: "curl http://docker-vm:1111/api/off";
sensor:
- platform: average
name: "Average Temperature"
entities:
- sensor.bedroom_thermostat_temperature
- sensor.kitchen_thermostat_temperature
climate:
- platform: generic_thermostat
name: Boiler Thermostat
heater: switch.boiler
target_sensor: sensor.average_temperature
- Com essa configuração, foi criado um termostato que controlava a caldeira com base na temperatura média dos sensores do quarto e da cozinha
- A implementação era mais um remendo provisório
- Seria melhor escrever um plugin dedicado para o Home Assistant
- Seria mais limpo controlar o rádio diretamente em vez de chamar a CLI via shell
- Depender de
curl para o aquecimento é um tanto incômodo
Resultado no uso real e limitações restantes
- Essa configuração vem sendo usada para controlar o aquecimento do apartamento desde o início de dezembro de 2024 e, desde então, não apresentou problemas
- Poder ajustar a temperatura pelo celular é conveniente
- Exemplos de automação incluem
- Reduzir a temperatura durante o sono
- Aumentar a temperatura no horário de acordar
- Desligar o aquecimento ao sair para a cidade
- Ligar o aquecimento de novo alguns pontos antes de voltar para casa, para encontrá-la aquecida ao chegar
- O ponto mais frustrante é precisar manter um rádio potente como o HackRF rodando para um simples interruptor de liga/desliga da caldeira
- Em vez de gastar mais tempo tentando adaptar à força um rádio menor, a escolha foi usar um equipamento exagerado, mas que funciona de verdade
Aviso legal sobre transmissão sem fio e comentários no blog
- É essencial verificar a legislação local antes de transmitir sinais de rádio
- A faixa de
868MHz usada no texto é ilegal para transmissão sem licença nos Estados Unidos
- Com a entrada em vigor plena do Online Safety Act no Reino Unido em 16 de março de 2025, o custo operacional de manter conteúdo entre usuários, como comentários de blog, ficou maior
- Embora seja improvável que o órgão regulador Ofcom fiscalize blogs pessoais, o risco de multa de 18 milhões de libras levou à remoção da seção de comentários
- Como material adicional sobre o impacto da lei em blogs hospedados pelo próprio autor, são apresentados uma explicação jurídica relacionada e uma discussão sobre hobbyist internet
1 comentários
Opiniões no Hacker News
Se o objetivo é economizar energia ou dinheiro, um sistema capaz de deixar uma casa fria aconchegante em 20 minutos talvez seja justamente o que você não quer.
Em vez disso, é melhor operar com uma temperatura de circulação da água de aquecimento bem mais baixa, reduzindo perdas em espaços não aquecidos e aquecendo os cômodos de forma mais uniforme. Em uma caldeira de condensação, isso é possível só reduzindo a temperatura-alvo de ida da água.
Somando a isso a compensação pela temperatura externa (weather compensation), dá para ajustar a temperatura de ida conforme a temperatura lá fora, de modo que o sistema funcione apenas o suficiente para o prédio mal conseguir voltar à temperatura desejada.
Quando ficou bem ajustado, o termostato passou a funcionar como um limite superior: pedia aquecimento por 22 a 24 horas por dia, mas sem superaquecer. Normalmente, a temperatura de ida ficava em torno de 110°F em dias amenos e 135°F em dias abaixo de zero; em comparação com a temperatura fixa de 160°F no inverno anterior, o consumo de gás caiu 8% a 15%, e o conforto ficou muito melhor. Só que esse método tem tempo de recuperação longo, então não combina bem com grandes ajustes de economia; é preciso um controle mais inteligente que opere normalmente em baixa temperatura com precisão e use água mais quente apenas nos períodos de recuperação.
O calor se move linearmente do ponto quente para o frio conforme a diferença de temperatura. Hipoteticamente, se a temperatura da tubulação fosse igual à interna, todo o calor transferido acabaria saindo pela envoltória do edifício; quanto mais quente a tubulação, melhor essa proporção. Isso vale independentemente de que porcentagem da tubulação esteja dentro da envoltória.
Por outro lado, se o aquecimento fica ao longo das paredes externas, como debaixo das janelas, ele aquece a parede externa a uma temperatura maior que a percebida pelo termostato interno, aumentando as perdas para fora. Já o aquecimento radiante em geral evita esse efeito.
Ou seja, em uma casa razoavelmente isolada, manter uma temperatura baixa e constante, por volta de 20°C, é o melhor para o conforto, e também permite reduzir a temperatura da água de aquecimento, melhorando a eficiência da bomba de calor ou da caldeira.
Ao comparar manter uma temperatura fixa com aumentar, reduzir ou desligar ao sair e voltar antes de chegar em casa, quase não houve diferença, e o consumo de eletricidade foi parecido.
Seria bom ter o link, mas o teste incluiu até situações de reaquecimento menos eficientes. Isso também incluía “aquecimento de emergência”.
Hack muito legal.
Um jeito mais fácil parece ser colocar um elemento Peltier de aquecimento/resfriamento embaixo do termostato e controlá-lo remotamente, tomando controle da temperatura que o termostato percebe.
Como o link para o modelo exato do termostato não funciona, não sei até que ponto essa abordagem faria sentido pelo projeto, mas os termostatos que usei costumavam ser de parede, então não era tão difícil colocar uma fonte de calor ou frio abaixo deles. Só é preciso impedir que o lado quente e o lado frio cheguem ao termostato ao mesmo tempo, e isso é uma simples questão de posicionamento.
Parece que a caixa de ferramentas realmente determina o espaço de soluções. Lendo este texto sem saber nada de RF, imediatamente pensei em outro ataque que combina mais com as minhas ferramentas: não daria para colocar o termostato dentro de uma caixa e controlar mecanicamente a temperatura dessa caixa?
Ainda assim, se você tiver acesso ao interior do termostato, não deve ser difícil substituir o sensor de temperatura por um circuito que faça a leitura parecer muito alta ou muito baixa quando necessário.
Mesmo na primeira vez, provavelmente é um trabalho de 30 minutos, e com um pouco de fita dupla face dá para reverter facilmente. É algo familiar para qualquer britânico que já tenha feito uma Tracy Island. O risco de choque elétrico é real, mas pode ser totalmente reduzido desligando a energia da caldeira.
Ainda assim, é um hack divertido e foi bem implementado.
Fico curioso sobre qual seria a forma ideal de um termostato universal
O termostato do nosso apartamento tem um “recurso” que aparece bastante em produtos dos EUA hoje em dia: ele faz você configurar quatro horários ordenados — acordar, sair, voltar para casa e dormir — e a temperatura desejada para cada intervalo. Quase não conheço lares em que todo mundo dentro de casa acorde, saia, volte e durma no mesmo horário todos os dias
Eu trabalho de casa, então queria simplesmente definir uma temperatura e mantê-la indefinidamente, mas esse sistema exige que eu aperte quatro vezes para inserir a temperatura desejada e confira os quatro intervalos
No fim, acho que seria melhor um termostato mais programável, que pudesse ser configurado para funcionar como um termostato antigo de dial
A configuração ideal seria instalar válvulas termostáticas inteligentes em todos os radiadores da casa, para reduzi-las manualmente quando ninguém estiver no cômodo ou para ajustá-las automaticamente ao detectar atividade ou uma janela aberta. Só que não deveria ser apenas o termostato principal da sala a ligar a caldeira; cada válvula deveria ter autorização para ligar a caldeira central quando necessário
À noite eu gosto de uma temperatura mais fresca, então programei para ela mudar mais ou menos no meu horário normal de dormir, e ela volta automaticamente mesmo que eu tenha ajustado a temperatura durante o dia. Uso um termostato inteligente justamente porque não quero ter que lembrar de mudar de volta. Quando saio de casa, ele detecta e muda para Away; nas férias, posso configurá-lo para apenas manter a casa segura, não confortável, e depois fazê-lo voltar por volta do horário em que o avião pousa
Se sua rotina não é absurdamente aleatória, ou se você não quer sempre a mesma temperatura dormindo, acordado ou fora de casa, basta colocar uma programação básica e ajustar manualmente quando precisar. Se acordar uma hora mais cedo, você muda na mão; se acordar no horário, nem precisa se preocupar
O modo de uso que você quer também é possível. Basta deixar o programa padrão em 15°C e, quando necessário, ativar o holiday configurado para a temperatura desejada. Se você programar para voltar a 15°C em um horário razoável à noite, ele não fica ligado para sempre caso você esqueça
O Flipper Zero é ótimo e, se você instalar um firmware customizado, ele consegue cuidar de toda a parte de hacking e investigação
O produto original vem de fábrica com um firmware compreensivelmente bastante restritivo. Imagino que seja para reduzir as críticas que a empresa recebe. Mas instalar algo como o Flipper Unleashed é muito fácil, e isso remove essas restrições e traz muitos recursos extras
Ter uma ferramenta que pode ser usada para crimes não é, por si só, necessariamente um crime. Mas é preciso ter cuidado com o que você faz, e, dependendo do país, pessoas de terno podem bater à sua porta
Pessoalmente, eu queria reproduzir os sinais criptografados de 433MHz dos meus próprios dispositivos, como portão motorizado, porta de enrolar e persianas de enrolar, mas isso estava desativado quando a região do Flipper estava configurada como Australia
Exploração técnica e curiosidade devem ser sempre incentivadas, mas só o exemplo do Flipper Zero já mostra que há coisas a considerar independentemente da jurisdição. Se você não pretende usar, não carregue com você. Antes de praticar, leia toda a documentação e pratique de forma discreta. Aplique a mentalidade de “não deixar rastros” aprendida em atividades ao ar livre. Preste atenção em como sua presença e suas ações afetam o ambiente e o alvo, em como serão interpretadas por observadores externos, e tome medidas para reduzir suspeitas
Esses princípios se aplicam a muitos dispositivos, de smartphones descartáveis a copiadores baratos de cartões RFID da Temu
Iniciantes, em especial, costumam se empolgar e querer pular direto para a fase de parecer hackers de TV e videogame. Há um motivo para eles serem personagens fictícios. Se suas ações foram inofensivas ou não, no fim o que importa é como a autoridade que faz as perguntas as percebe
Se você quiser decodificar, provavelmente não será tão difícil. Quando fiz isso no passado, tentei também implementar a parte de transmissão, mas me mudei e não consegui terminar
https://blog.habets.se/2017/04/Decoding-FSK.html
Eu provavelmente aqueceria ou resfriaria o próprio termostato em vez de mexer no sinal sem fio. Bastaria colocar uma pequena caixa por cima e controlar a temperatura dentro dela com algo como um pequeno elemento Peltier. Se quiser ligar o aquecimento, resfrie o interior da caixa; se quiser parar, aqueça
Mas talvez isso só pareça muito mais fácil para mim porque faço dispositivos de controle térmico como hobby
[0]: https://thex10shop.com/products/x10-powerhouse-th2807-thermo...
Se o autor do post original aparecer por aqui, provavelmente teria gastado menos dinheiro e dor de cabeça se tivesse simplesmente trocado por um termostato compatível com a caldeira. Só o fato de ele ter encontrado o sinal da Honeywell em um projeto open source aleatório e isso ter funcionado já mostra que o mercado de caldeiras é bastante aberto à concorrência.
Boa sorte nas próximas customizações do apartamento.
Projeto incrível.
Qualquer aquecedor a gás natural (CH4) relativamente moderno deveria ter suporte a termostato modulante por meio de protocolos como OpenTherm/eBus. Combinado a um termostato com sensor de temperatura externa, isso aumenta a eficiência do sistema em alguns pontos percentuais e ajuda a compensar o custo do termostato e da instalação. No fim, vira um sistema de aquecimento moderno mais eficiente.
O mesmo deveria se aplicar a sistemas de bomba de calor.
Mudei para um apartamento novo — mais precisamente, uma casa — que precisava de uma reforma completa. Não havia isolamento moderno, mas calculei que, naquele momento, o retorno do investimento em isolamento não fechava. Como era uma casa geminada de vários andares, eu queria aquecimento o mais confortável e econômico possível.
Em especial, queria temperaturas estáveis e com controle individual nos quartos e na sala, aquecimento de piso em alguns cômodos, radiadores em outros e, em alguns casos, uma combinação de aquecimento de piso + radiador, porque só o piso aquecido poderia não ser suficiente em dias de frio extremo.
Achei que, pagando, alguém conseguiria configurar um sistema de controle. Deveria ser algo simples, não?
Eu estava completamente errado. Depois de passar horas tentando entender as configurações recomendadas pelos “especialistas”, encontrei casos-limite que levariam a desperdício ou desconforto. Coisas como overshoot ou undershoot de temperatura desnecessários e inevitáveis. Tive várias conversas com Honeywell, Tado, Siemens etc., mas todos tinham falhas grandes.
Por causa disso, a reforma meio que parou, mas a tubulação já estava pronta, e eu queria pelo menos ver se os canos e as bombas funcionavam. Então conectei as bombas e válvulas a tomadas inteligentes controladas por Zigbee para verificar se ligavam. Funcionou bem, e uma coisa levou à outra.
Hoje, espalhei sensores de temperatura Zigbee de US$ 20 pela casa; tomadas inteligentes e relés de US$ 30 acionam válvulas, bombas e a caldeira; e o Home Assistant controla tudo. Tudo funciona perfeitamente, e implementei recursos impossíveis em sistemas prontos. Por exemplo, em um cômodo com piso aquecido e radiador, quando a diferença para a temperatura-alvo é grande, os dois aquecimentos entram em ação para aquecer rápido; quando se aproxima da meta, o radiador desliga para o piso aquecido assumir o papel principal. Fica mais confortável e também é mais eficiente energeticamente que o radiador. Os cômodos com radiador ficam dentro de ±0,4 °C da meta; os com piso aquecido, dentro de ±0,1 °C.
Por isso, para compensar o que modelos simples deixam passar, eles quase sempre são um pouco superdimensionados e ineficientes.
Não é só aquecimento; a maior parte da engenharia é assim, e coisas totalmente otimizadas são bem raras.
Em vez de pensar que “todo o setor de HVAC/aquecimento é burro e não consegue fazer isso direito”, é melhor considerar que suas premissas ou critérios podem estar errados.
Por exemplo, em sistemas modernos de HVAC ou aquecimento, undershoot e overshoot não causam desperdício nem desconforto. Um overshoot de 1–2 °F não significa que o ambiente aquecido esteja perdendo visivelmente mais calor do que perderia se estivesse perfeitamente no setpoint. Você também não quer um sistema de resposta instantânea. Se você abrir a porta para receber uma entrega, ficar ali assinando e depois fechar, o ar do cômodo ficará bem mais frio.
Nesse momento o aquecimento deveria ligar?
Na sua casa, parece que ligaria, mas a resposta correta é não. O ar se aquece de novo rapidamente a partir de todos os objetos que estavam na temperatura do cômodo. Só de área de superfície são milhares de pés quadrados.
Opções residenciais como Honeywell, JCI, Siemens, Trane e Carrier parecem mais focadas em aplicação genérica, enquanto sistemas BAS comerciais, mesmo usando sensores e controladores genéricos, tendem a ser projetos personalizados para um prédio específico. Para constar, já trabalhei em projetos de automação predial com todas as cinco empresas mencionadas.
Algumas pessoas têm o azar de comprar uma casa cuja configuração da caldeira foi projetada por um engenheiro mecânico, e a sala da caldeira fica cheia de válvulas e manômetros, como se fosse para operar os motores do Titanic.
Hoje em dia, parece que os novos pecadores nessa área são os programadores.