KNX Security

[fasi]

Tenbrock ohlala ... ich ahnte, dass es sowas gibt ... dass ist dann vermutlich nur die Spitze des Eisberges ...

Zeit ist relativ ... so lange es niemand merkt. Ausserdem haengt es ja davon ab, wie gross die Firmware ist ... Und wie sieht es damit aus, den IP-Koppler sich seine neue Firmware via IP aus dem Internet zu laden? Dein PC laedt sich den Trojaner auch nach, nachdem er gehackt wurde ...

[gaert]

Lustige Diskussion! Und am Ende steht das Fenster auf Kipp und an der Haustür ist ein günstiger Abus-Zylinder montiert... Dürften beide so um die 3-5 Sekunden standhalten

Warum wird jemand hauptberuflich Einbrecher? Vermutlich eher selten, wenn er sich mit KNX & Co. im Detail auskennt... Ich denke man muss sehr unterscheiden zwischen "bösen Hackern in diesem Internetz" und handfesten "Ganoven" (aka Einbrecher) - das sind völlig verschiedene Berufsgruppen.

[KNXbusler]

Ein ungutes Gefühl habe ich bei KNX Datasecure. Was ist zu tun bei nicht mehr vorhandener Projektdatei? Gibt es dann überhaupt noch eine Möglichkeit die Anlage zu programmieren? Die gleiche Problematik bietet der BAU-Schlüssel. Dieser wird aus meiner Erfahrung aber kaum verwendet.

[GLT]

Ist jetzt nicht böse gemeint - genau das ist das Problem mit den sog. ITlern - obwohl sie noch nichts verstanden haben, glauben Sie, urteilen zu können.

... ich kann bislang keinen unsachgemaessen Einsatz einer Wetterstation auf dem Dach erkennen ... ich mein, es macht sicher keinen Sinn das Ding in den Keller zu packen...

Wer mitdenkt würde nicht wegen der Wetterstation Bedenken haben - Verbindung zur Verschlussöffnung herzustellen zu können ist der Pfusch.
Aber wie Peter auch schrieb - wenn der AG das, trotz Aufklärung so haben will - ist seine Hütte.

..Bei KNX und in weiten Bereichen der IT wuerde ich nicht von programmieren, sondern von parametrisieren sprechen ...

Ich würde den Radius des Standpunktes vergrössern.

...Der Erpressungstrojaner hat bei meinem Arbeitgeber uebrigens schon 2-mal zugeschlagen...

Dürfte ja eigentlich nicht sein, oder?

[mmf]

Ist jetzt nicht böse gemeint - genau das ist das Problem mit den sog. ITlern - obwohl sie noch nichts verstanden haben, glauben Sie, urteilen zu können.

Da kenne ich ganz andere Kaliber, z. B. solche Leute, die vielleicht drei kennen und meinen über eine ganze Berufsgruppe urteilen zu können.....

[fasi]

@gaert: sicher nicht ... aber wieso sollte ich dass in einem KNX Forum evaluieren?
Warum sollte sich der Angreifer mit KNX auskennen? Dafuer hat er das "Kaestchen", dass er entweder im Auftrag platziert oder irgendwo kauft. Meinst du die Skimmer an den Bankomaten kennen sich mit der verwendeten Hard-/Software aus? Die pappen nur das Zeug dorthin und abgezogen werden die Daten von jemand ganz Anderes ...

@KNXbusler: kommt wohl eher drauf an, was man draus macht ... wenn man die Hardware fuer einen Total-Reset zum Hersteller schicken muss, ist das natuerlich schon bloed. Aber normalerweise sollte man die Projektdatei nicht "verlieren" :-)

@GLT: Sorry, ich habe die Verbindung zur Verschlussöffnung nicht propagiert ... ich habe hier nur mitgelesen, zwei Informationen zusammengepappt, meine Meinung geaeussert und daemliche Fragen gestellt ...
Die Trojanergeschichte setzt genau an der selben Stelle an ... es reicht eben nicht nur das eine zu machen, man muss auch das andere machen ... es reicht eben nicht nur mit Proxies und Firewalls zu schaffen, mann muss eben auch die Leute schulen ... Passwoerter gehoeren nicht unter oder an den Monitor, E-Mail Anhaenge werden nicht unbedarft geoeffnet, Links nicht einfach angeklickt ...
Ebensowenig propagiert man (nein nicht alle) eine in sich voellig ungeschuetzte Schnittstelle in einen Unsicheren Bereich zu verlegen und dann alles darueber abzuwickeln ...

BTW: @PeterPan: mir ist nicht klar, warum die Sauna-Steuerung nicht auf den KNX-Bus gehoert? Nicht dass ich eine Sauna haette oder plante, aber vllt. kann man aus dieser Argumentation ja noch andere "Don't Do's" ableiten ...

Aber das hier ist das KNX-User-Forum und nicht der IT-Helpdesk ... also stelle ich hier Fragen zu KNX und verwende Analogien aus einem Bereich, wo ich glaube halbwegs fit zu sein ...

[enertegus]

Ein ungutes Gefühl habe ich bei KNX Datasecure. Was ist zu tun bei nicht mehr vorhandener Projektdatei? Gibt es dann überhaupt noch eine Möglichkeit die Anlage zu programmieren? Die gleiche Problematik bietet der BAU-Schlüssel. Dieser wird aus meiner Erfahrung aber kaum verwendet.

Die Anlage ohne key sicher nicht. Wenn verloren = > neu programmieren.
Zudem: Man braucht für jedes KNX Gerät den gerätes- und Seriennummerspezifischen Herstellerschlüssel (der vom Hersteller eigentlich nicht auf das Gerät gedruckt werden darf).
Wenn Herstellerschlüssel verloren = > Gerät wegschmeißen.

[S. De Bruyne]

Ein ungutes Gefühl habe ich bei KNX Datasecure. Was ist zu tun bei nicht mehr vorhandener Projektdatei? Gibt es dann überhaupt noch eine Möglichkeit die Anlage zu programmieren? Die gleiche Problematik bietet der BAU-Schlüssel. Dieser wird aus meiner Erfahrung aber kaum verwendet.

Devices supporting KNX Data Security shall for this case mandatorilly support the "Master Reset - Reset to ex-factory settings", so that the factory key becomes active again. If then also the factory key is lost, then there is no standard solution or requirements. But it does not mean that the manufacturer may not provide any comfortable support for this.

[KNXbusler]

Das habe ich befürchtet. Man stelle sich vor, ein größeres Projekt mit vielen verschiedenen Hersteller-Geräten und dann keine Dokumentation mit Projektdatei. Eine Rekonstrution eines unbekannten Projekts war ja schon ohne KNX DATA Security sehr aufwändig. Wie will man dies denn noch dem Kunden verkaufen?

[BadSmiley]

Das habe ich befürchtet. Man stelle sich vor, ein größeres Projekt mit vielen verschiedenen Hersteller-Geräten und dann keine Dokumentation mit Projektdatei. Eine Rekonstrution eines unbekannten Projekts war ja schon ohne KNX DATA Security sehr aufwändig. Wie will man dies denn noch dem Kunden verkaufen?

Das verdammt nochmal eine saubere Dokumentation dazu gehört und zu bezahlen ist?!

[S. De Bruyne]

If both the electrical installer / system integrator as well as the end customer loose the project file and additionally all factory default keys are lost, then there are no requirements from the specifications side. It may ever be that a manufaturer still provides solutions.

[Falkenhorst]

Hallo,
wird das hier zum Schluss 'ne Doktorarbeit oder was.

Wie ein KNX-Projekt richtig geplant und gebaut wird weiß der kundige SI.
Setzt eine LK in eine notwendige Außenlinie und setzt die Filter richtig - fertig.
Benutzt das BAU-Passwort und dokumentiert es ordentlich. Gleiche Vorgehensweise
wie mit allem was passwortgeschützt werden muss (W-LAN). BAU-Schlüssel
lasse ich in allen meinen Projekten einsetzten, schlussendlich wegen der Gewährleistung
und abgeschlossenem Wartungsvertrag. Nach Ablauf dieses Zeitraumes wird das Projekt
'entschützt' und der Kunde kann machen was er will. Irgendwo habe ich hier gelesen,
dass ein Gerät geschrottet ist, wenn man den Schlüssel verliert / vergisst - ist Mumpitz.
Man hat nur (je nachdem wie viele Geräte man geschützt hat) den tollen Aufwand
jedes Gerät mit der werksfrischen App zu befüllen und es neu zu programmieren (ist faktisch der Reset).
Ist die von mir bisher praktizierte Vorgehensweise bei den Großherstellern.
Der Rest wird da sicherlich keine Ausnahme bilden.

Also ich weiß nicht, jeder kennt somit die Möglichkeiten einer sicheren Prävention.
Ob und wie diese angewendet werden soll, entscheidet jeder selber / bezahlt jeder selber
(wie schon richtig erörtertPeterPan).
Vielmehr kommt es mir gerade so vor, als würde sich hier ein potentieller zukünftiger KNX-Hacker die notwendigen
Hintergrundinformationen & Möglichkeiten erfragen wollen. Hmmm..., wie gesagt - kommt mir nur so vor!

PS: ich höre ab heute auf zu atmen. Nachher ziehe ich mir noch 'n Virus rein und sterbe dran.

[Axel]

Vielmehr kommt es mir gerade so vor, als würde sich hier ein potentieller zukünftiger KNX-Hacker die notwendigen
Hintergrundinformationen & Möglichkeiten erfragen wollen. Hmmm..., wie gesagt - kommt mir nur so vor!

[KNXBUAB]

Dann fasi schaue Dir mal den ise smart connect KXN Remot Acess an, dann hast Du die Möglichkeit eine sichere Datenübertragung von HTML und KNX über das Internet verschlüsselt vom ersten Paket an zu senden.

[NilsS]

Vielmehr kommt es mir gerade so vor, als würde sich hier ein potentieller zukünftiger KNX-Hacker die notwendigen
Hintergrundinformationen & Möglichkeiten erfragen wollen

Das wird dann ja wohl eher ScriptKiddie Niveau haben.

Der Source z.B. des knxd ist OpenSource


Und bevor mir jetzt noch schlecht wird.



Hier mal die Angriffsflächen einer KNX Installation im Aussenbereich
bei einer Installation die bewusst auf Sicherheitsrelevante Steuerungen wie Tür o.ä. verzichtet hat.
Hier bleiben dann noch?
* Bewegungsmelder - Funktion verhindern
* Wetterstation Windalarm - Rollladen hoch
* Beleuchtung aus - Arbeiten vor dunklem Fenster um es zu öffnen


* Überspannung (einfach Elektroschocker dran), Folge .. alles KNX tot. Sicherlich nicht unbemerkt, wenn anwesend
- Lösung Außenlinie, hilft aber nicht gegen das Versagen der Geräte in dieser Außenlinie

* Telegramm Flood (das Ding kann nur 9600Baud), evtl. bemerkbar wenn Licht verzögert schaltet
- Lösung ?? Außenlinie verhindert dort lediglich das es bemerkt wird

* Telegramme mitschneiden um z.B. Windalarm, Sperre BWM, Licht aus auszulösen
- Lösung ?? KNX DataSecure

* Geräte umprogrammieren
- Lösung BCU2 Passwort

* DOS mittels gefakter Physikalischer Adressen mit ungültigen Packet um eine NACK Flood zu erzeugen.

* Gerätereset auslösen oder mittels Direct-Access Teile der Applikation überschreiben.

# Probleme KNX Datasecure
* Das Gerät mit der "sicheren" Passphrase befindet sich in der unsicheren Außenumgebung und kann bei Diebstahl dort ausgelesen werden.
- siehe auch PC gleiches Problem mit z.B. VeraCrypt/TrueCrypt ( https://de.wikipedia.org/wiki/Kaltstartattacke )

* Das "sichere" Telegramm ist nicht sonderlich lang und viele Teile darin sind leicht zu erraten Physikalische Addresse/GA/mögliche Datentypen länge, damit ließe sich die Passphrase erkennen. Denn die Chance das der zufällige IV des AES CTR gleich ist ist bei Geräten die evtl. nicht mal 32bit sind, doch sehr groß.

* Durch erhöhte Buslast steigt auch die Last der CPUs innerhalb der Geräte die ja jedes Telegramm erstmal entschlüsseln müssen.

* DOS durch viele kurze falsche Telegramme

* Des weiteren ist bekannt das Verschlüsselung oft auch die Angriffsfläche vergrößert hat, wie z.B. Heartbleed, dort handelte es sich meist um Server die ja doch die Möglichkeit haben das sie im Laufe der Zeit mal ein Update bekommen. Das ist (ausser jetzt wohl mit ETS Inside) bei KNX ansonsten wohl eher unüblich.



Alles was mit IT Sicherheit zu tun hat, ..... (Text lieber wieder gelöscht ) ... Wenn jemand das hier auf 95% der hiesigen Klientel versucht, wird er es schaffen. Selbst wenn er nur ein mittelmäßiger Hacker ist.