Lokaal monitoren Tigo Optimizers (zonnepanelen)

[herbalx]

Beste Tweakers,

Sinds enkele weken heb ik een aantal zonnepanelen op mijn dak liggen. Deze panelen heb ik uitgerust met een Optimizer systeem van Tigo Energy. Dit systeem heb ik vervolgens aangesloten op een stand-alone netwerk.

Nu komt het probleem; ik wil graag preformance van mijn installatie uitmeten.

Dit is geen probleem wanneer je de installatie toegang geeft tot internet, zodat alle data naar de leverancier van het systeem wordt gestuurd en je via de webpagina de waardes kunt uitlezen. Echter is deze situatie niet mogelijk en onwenselijk.

De situatie is niet mogelijk doordat er geen internetverbinding aanwezig is. Deze kan inprincipe wel aangelegd worden maar is eigenlijk niet wenselijk, om de volgende reden:
- onnodig, waarom data eerst naar de US sturen om ze vervolgens uit te kunnen lezen op de pc er naast?
- beveiligingsperspectief, omvormers kunnen brand veroorzaken en wil je eigenlijk niet aan het internet hangen. Daarnaast ben ik inmiddels op de hoogte van aanwezigheid van een remote management module waardoor de leverancier het apparaat via het internet kan overnemen en bijv. herprogrammeren. (Je zou toch niet willen dat dergelijke mogelijkheden ook benut kunnen worden door iemand anders als de leverancier)

Echter nu kom de grote uitdaging, hoe ga ik de data op mijn PC uitlezen? Wie-o-wie heeft hier meer ervaring mee of heeft een oplossing voor mijn uitdaging.....

Ik heb een sniffer aangesloten en zie dat de apparatuur om de 2 seconden connectie probeert te krijgen met datacenter.tigoenergy.com, verder ben ik nog niks wijzer geworden uit die gegevens.

Ik heb tevens een portscan uitgevoerd op de apparatuur om te zien of er toevallig een webapplicatie of shell beschikbaar is. Aan de hand van de portscan kwam ik 1 open poort tegen; 8801 TCP maar ben er nog niet achter welk protocol/service achter deze poort zit. Mogelijk dat iemand een idee heeft dat mij verder op weg kan helpen!

Volgens de webpagina van Tigo is het volgende netwerkverkeer nodig

Required:

64.62.250.0/24 on TCP 443

Optional:

64.62.250.0/24 on UDP 123

Zeerwachijnlijk zal informatie via 443 TCP middels HTTPS verstuurt worden naar het datacenter van tigo en port 123 UDP gebruikt worden om de tijd te synchroniseren. Echter geen informatie over port 8801 die luistert op de tigo MMU (Management Unit)

[ Voor 9% gewijzigd door herbalx op 10-11-2014 15:59 ]

[hansdegit]

Je kunt proberen die verkeersstroom tussen Management Unit en Tigo te onderscheppen, maar je kunt ook het verkeer tussen je gateway en de MMU proberen te onderscheppen. Dat verkeer gaat over RS-485, dus daar kan je makkelijk iets tussen zetten.

RS-485, 38400 baud, 8 databits, 1 stopbit, No Parity. Als je dat verkeer weet te ontcijferen, kan je rijk worden.

quote: W. Wonderland

't Is een mix van binair en ASCII

Start bytes 0xFF 0x7E
Stop bytes 0x7E 0x08
Alles tussen start en stop mag worden genegeerd (0xff .. 0x00)
Start Send header 0xFF 0x7E 0x07 0x12
Start receive header 0xFF 0x7E 0x07 0x92 (0x12 XOR 0x80)
meteen na compete header 0x01 of 0x02 waarschijnlijk de gateway

Met dank dus aan W.Wonderland die bovenstaande al eens uitgezocht heeft op mijn Tigo systeem.

Communicatie tussen paneel en mmu via de gateway gaat op basis van de mac adressen. Ieder optimizer heeft een mac, de gateway heeft ook een mac. Je ziet op de RS-485 bus al die mac adressen langskomen. Ik ben niet gemotiveerd genoeg om dat soort protocollen te ontcijferen, maar misschien dat jij daar wel zin in hebt. Ik betwijfel bovendien of ik er wel slim genoeg voor ben....

[ Voor 22% gewijzigd door hansdegit op 10-11-2014 14:59 ]

[herbalx]

Hans alvast erg bedankt voor jou reactie! Dit is in elk geval een stukje info waar ik nog niet bekend mee ben. Uieraard hoop ik mede met informatie van mede tweakers mijn doel te bereiken.

Ik merk dat er mee beperkte technische informatie over de inhoudelijke techniek van de tigo optimizer bekend is. Ik betwijfel of ook ik wel slim genoeg ben, maar dit weten we pas achteraf !

Tot nu toe ga ik gewoon aan de slag onder het motto; wie niet waagt; wie niet wint....

[Bart_WRX]

Hier een soort gelijke situatie. Zonnepanelen liggen op een schuur, zo'n 60 meter van het huis ( en dus internet ) Ligt een 6 mm2 kabel naar achter, dus verlies is er niet meer dan normaal.

We hebben de hele handel als compleet pakket gekocht en zelf gemonteerd. Betreft optimers en omvormer van Solar Edge.

Wil ook graag de boel uitlezen, maar niet via de normale weg. Alibaba en de 7 piraten kijken vanuit Israel of ergens mee, kunnen wellicht wijzigingen aanbrengen en dat gaat dus niet gebeuren.

Ik ben ook opzoek naar een manier om deze omvormer lokaal te kunnen uitlezen, desnoods via een laptop die ik tijdelijk rechtstreeks op de omvormer aansluit.

[twixx]

Ik zou juist het IP verkeer vangen. Goede kans dat er berichten met alle data worden verzonden iedere x-periode. Op je lokale netwerk geef je datacenter.tigo enz. dan het IP van je locale pc die alle verzonden data in een dummy webservice accepteerd.

[hansdegit]

Dat berichtenverkeer tussen de management unit en het Tigo datacenter is versleuteld... Helaas.

[herbalx]

hansdegit schreef op maandag 10 november 2014 @ 23:02:
Dat berichtenverkeer tussen de management unit en het Tigo datacenter is versleuteld... Helaas.

Ik denk dat ik daar wel een oplossing voor weet. Immers wordt de versleuteling gedaan op basis van een certificaat, nadat de TCP-stream is afgevangen zou het verkeer leesbaar gemaakt moeten kunnen worden aan de hand van het certificaat.

In het verkeer dat ik reeds heb afvangen zie ik verbindingen naar datacenter.tigoenenergy.com (64.62.250.196), echter wanneer er geen verbinding tot stand kom wordt je niks wijzer.

Dit zou betekenen een verbinding op moet laten bouwen met het datacenter van de tigo, die vervolgens afvangen en onsleutelen aan de hand van het certificaat (wordt alleen even lastig zonder internetverbinding) OF proberen de DNS/IP van dat datacenter van tigo te spoofen enzo proberen wijzer te worden over de communicatie.

Één van deze wegen zou tot succes moeten leiden, echter zegt mijn gevoel dat er niet voor niks op port 8801 TCP/IP een (onbekende) service luistert. Het zou handig zijn als we weten welke service erachter draait en van welk protocol gebruik wordt gemaakt.

Ik vraag me af hoe een engineer namelijk in het apparaat komt, er zijn volgens mij geen andere aansluitingen waar een engineer gebruik van kan maken.

twixx schreef op maandag 10 november 2014 @ 22:34:
Ik zou juist het IP verkeer vangen. Goede kans dat er berichten met alle data worden verzonden iedere x-periode. Op je lokale netwerk geef je datacenter.tigo enz. dan het IP van je locale pc die alle verzonden data in een dummy webservice accepteerd.

Ik ga er wel vanuit dat de het apparaat een aantal checks doet voordat hij data begint over te pompen, je zou dus best wat kunnen reverse engineeren maar ik denk dat dit een relatief lange weg is.

[ Voor 17% gewijzigd door herbalx op 11-11-2014 09:41 ]

[Proton_]

Je kan dat verkeer alleen onsleutelen met Tigo's private key, veel succes daarmee

De meeste embedded toepassingen hebben een incomplete beveiliging; grote kans dat het certificaat niet gecontroleerd wordt (als in: het moet wel valide zijn, maar hoeft niet van Tigo te zijn).
Je zou kunnen proberen of je verder komt door een MITM attack te doen met een self-signed certificaat.
Dat houdt in: zelf een https webserver optuigen met valide SSL certificaat.
Vervolgens tegen de Gateway vertellen dat datacenter.tigoenenergy.com jouw eigen server is (sommige consumentenrouters doen ook DNS) en in de logs van je webserver kijken wat er binnenkomt.

[ Voor 5% gewijzigd door Proton_ op 11-11-2014 10:13 ]

[_-= Erikje =-_]

je zou kunnen kijken of je met Fiddler een MITM proxy op kan zetten (tenzij de gateway een hele stricte controle op CA enz doet) dan kun je in plain text HTTP decoden

[Proton_]

^ beter idee
Als dat je lukt is het waarschijnlijk makkelijker.

Anders is de RS-485 communicatie reverse engineeren de enige mogelijkheid.

[herbalx]

_-= Erikje =-_ schreef op dinsdag 11 november 2014 @ 14:54:
je zou kunnen kijken of je met Fiddler een MITM proxy op kan zetten (tenzij de gateway een hele stricte controle op CA enz doet) dan kun je in plain text HTTP decoden

Dit leek mij inderdaad ook één van de makkelijker te bewandelen wegen, al had ik nog niet aan Fiddler gedacht.

Voordat ik volledig aan de slag ga me om bijv. bovenstaande optie te onderzoeken, wacht ik nog even in de hoop er iemand iets meer kan vertellen over de service die achter port 8801 draait. Er zou toch niet voor niks een TCP poortje luisteren, overigens is er geen poort banner aan getroffen en heb o.a. met middels putty connectie proberen te maken maar zonder resultaat.

Verder kan ik ook weinig informatie vinden over services die standaard gebruik maken van 8801 TCP.

[twixx]

_-= Erikje =-_ schreef op dinsdag 11 november 2014 @ 14:54:
je zou kunnen kijken of je met Fiddler een MITM proxy op kan zetten (tenzij de gateway een hele stricte controle op CA enz doet) dan kun je in plain text HTTP decoden

Toen ik dit gisteren voorstelde dacht ik zelf; dit wil ik ook doen voor m'n Enecsys gateway. Ik denk dat ik maar eens begin met een stukje port-mirroring en een https service opstarten

Meteen even verder gekeken. Met een stukje software als mitmproxy kan ik een transparante (ssl enabled) proxy opzetten tussen m'n gateway en de server van Enecsys. En de gateway lijkt dat te ondersteunen.



Nu nog even met mitmproxy leren werken

[ Voor 27% gewijzigd door twixx op 11-11-2014 21:24 ]

[herbalx]

Ik heb ook even via Tigo Energy support wat vragen neergelegd, maar echt behulpzaam zijn ze daar niet. Tot drie keer toe te vraag moet stellen wat de mogelijkheden zijn om de data uit het apparaat te lezen zonder dat er een internet verbinding beschikbaar is.

Drie keer ben ik verwezen naar de internetpagina om een account aan te maken, en werd mij gevraagd om het serienummer van mijn apparatuur. Vervolgen mij tot een ander persoon gewend die gaf aan dat ik maar een 3G modem moest kopen en een abonnement moest nemen om mijn zonnepanelen uit te lezen .... Ik ben enigszins verbaasd over de reactie van een service/supportdesk

[Verwijderd]

RS485 protocol is beschikbaar.
Heeft natuurlijk prijskaartje.

[jwpas]

Dag @herbalx

Is het je ondertussen al gelukt? Ik heb hetzelfde doel als jij en kwam ook niet verder dan een 'dode' poort 8801.

Zelf wil ik de data uitlezen en bijhouden in domoticz. Momenteel heb ik wel een werkende oplossing maar daar zit een nadeel aan.

Op dit moment gebruik ik de web interface van Tigo: https://installations.tigoenergy.com/base/login/login
Hier heb ik van mijn intallateur een account gekregen waarmee je alle stats kan inzien. Ik heb nu iedere 10 min. een script draaien dat inlogt en vervolgens een api aanroept die de website zelf ook gebruikt om het huidige wattage te tonen.

Werkt op zich prima maar heeft 1 nadeel: de data bij Tigo wordt maar eens per ~20 minuten bijgewerkt. (waarschijnlijk pusht het tigo kastje dus om de 20 min. zijn stats). Ofwel: echt live meekijken zit er niet in maar dit is as close as it gets vrees ik.

Ben jij al wat verder?

[Verwijderd]

Hello everybody,

does anyone already about the RS-485 Protocol? I am already reading all the packets which are going between the Gateway and the CCA but at moment i am not able to get the desired information out of it.

@Verwijderd Please contact me if you know about the Protocol, as i cant send you direct message.