KNX Security

[brooks]

Sry mein Fehler hatte den Kram da oben ned gelesen !

[manwald]

Hallo zusammen,

könnt ihr mir als KNX-Newbie kurz und knapp sagen, ob es für mich sinnvoll ist, für den Fernzugriff auf mein EFH einfach über einen VPN-Tunnel zu realisieren (wobei ich mich dazu erstmal noch einlesen muss) oder ob ich bspw. lieber ise smart connect KNX Remote Access dafür nutzen soll?

Bin gerade etwas ratlos, ob ich eine kostenpflichtige Lösung brauche bzw. diese so viel sicherer und sinnvoller ist als ein kostenlos einzurichtender VPN-Tunnel.

Viele Grüße
Mischa

[vento66]

Also für mich wäre das sofort klar. Wenn ein bisschen technisches Verständniss da ist, und man lesen kann (und will), dann einen eigenen VPN. Voraussetzung ist natürlich ein Anschluss mit IPv4. Wenn das nicht gelingt, kannst Du immer noch das ISE Gateway nachrüsten.

[Rasetech]

Mich würde interessieren, ob es denn nun schon KNX Geräte gibt die KNX Data Security unterstützen?

[evolution]

Mich würde interessieren, ob es denn nun schon KNX Geräte gibt die KNX Data Security unterstützen?

...vertrieben werden noch keine. Auf der L&B 2018 werden wohl einige Hersteller Geräte mit Data Secure vorstellen.

[Rasetech]

Ok, danke für die Info. Ich nehme an, die dafür nötigen werksseitigen Keys können nicht nachträglich eingebracht werden, sprich an neuer HW wird kein Weg vorbeigehen oder?

[Andreas1]

Der Key ist ja nur ein Teil des Ganzen.

Du könntest für ein Benzin-Auto bzgl Umrüstung auf Elektro auch fragen "Ich nehme an, die nötigen Akkus können nicht nachträglich eingebracht werden, sprich an neuer HW wird kein Weg vorbeigehen, oder?"

[Rasetech]

Wobei ich kein Problem darin sehe in ein Benzinauto nachträglich die Akkus einzubauen

Die Frage ist wie die entsprechende Verschlüsselung umgesetzt wird, passiert das rein in der Software liese es sich auch nachrüsten. Ich gehe aber davon aus, dass irgendeine Art von HW-Encryption Chip verbaut werden muss, dann beantwortet sich meine Frage natürlich von selbst.

Ich frage auch nur deshalb weil Ende 2018 mein Hauptinvest in KNX Komponenten ansteht und es natürlich ärgerlich ist, wenn kurz darauf bereits alles wieder veraltet ist (aus KNX Secure Sicht).

[enertegus]

KNX Secure ist per se nicht an die Hardware gebunden, sondern ist eine Sotfwareverschlüsselung. Die ist so aufwändig, dass es oft eine andere Hardware voraussetzen wird, was Mehrkosten verursachen wird. Wenn man mal vom KNX Secure für IP (Interface/Router) absieht, wird es eher die Frage sein, ob die eher preisbewusste Kundschaft aus diesem Kreis hier wirklich jedes TP Gerät als Secure Gerät kaufen will. Ganz davon abgesehen ist auch der Mehraufwand bei der Installation/Programmierung nicht unerheblich.

[Rasetech]

An den Rechenaufwand habe ich auch bereits gedacht. Danke jedenfalls für die Antworten.

[evolution]

Ich nehme an, die dafür nötigen werksseitigen Keys können nicht nachträglich eingebracht werden, sprich an neuer HW wird kein Weg vorbeigehen oder?

Manche Geräte sind technisch bereits für Data Secure vorbereitet und können theoretisch einfach in ein Secure-Gerät überführt werden. An der Hardware liegt es also primär nicht immer. Vielmehr muss auf jedem Gerät der Keycode aufgedruckt (aufgeklebt) sein, was eine Anforderung an Data Secure darstellt. Und das ist eben bei einem bereits in Verkehr gebrachten Gerät praktisch nicht möglich. Ideen wie einen Aufkleber nebst FW Update nachzuliefern (um das Gerät aufzurüsten) ist nicht vorgesehen und entspricht auch nicht dem Anspruch an Data Secure.

[vento66]

Vorallem, was passiert, wenn der Schlüssel verloren geht? Ich kenne genügend Anlagen wo meist kein, oder kein aktuelles Projekt vorhanden ist. Dann darf der Kunde alles neu kaufen! Ich sehe das eher skeptisch.

[BadSmiley]

Dann darf der Kunde alles neu kaufen! Ich sehe das eher skeptisch.

Ich finds gut! Lernen durch Schmerz!

[enertegus]

An den Rechenaufwand habe ich auch bereits gedacht. Danke jedenfalls für die Antworten.

Es ist auch der Speicheraufwand. Jedes Gerät muss mit einem eigenen 128 Bit Schlüssel gesichert werden und jede Gruppenadresse einem eigenem 8 Byte Sequenzcounter überwacht werden. Die Schlüssel müssen in den Festspeicher, die Sequenzcounter weitgehend auch. Da kommt schnell was zusammen.
Wenn man ein Gerät austauscht, müssen dann alle anderen Geräte, die mit diesem (Secure) kommunizieren, auch den neuen Schlüssel des neuen Geräts programmiert bekommen.

[evolution]

vento66 Genau das ist neben dem erhöhten Zeitaufwand das Problem!
Da ein KNX-Bussystem nach außen hin im Regelfall gut absicherbar ist, ist imho auch keine verschlüsselte Kommunikation innerhalb des Busses notwendig - zumindest nicht in normalen Installationen und ist dort eher hinderlich. Sinn macht Data Secure nur in öffentlich zugänglichen Gebäuden, wie bspw. in Hotels. Hier sehe ich einen Sinn in der verschlüsselten Datenkommunikation. Auch ist die Verschlüsselung in der derzeit angedachten Art nicht der Weisheit letzter Schluss und nicht so sicher, wie man sich imho das vorstellt. Von daher glaube ich nicht an den "großen Durchbruch" von KNX Secure.