KNX Security

[smai]

Ist zwar off-topic und klugscheisserisch, aber:

Ein Token Ring hat mit einem Bussystem aber überhaupt nichts zu tun

Das stimmt.

... Bildung eines Rings - was beim KNX absolut verboten ist.

Das stimmt nicht. Es ist erlaubt aber nicht empfohlen.

[kAndy]

Ein Token Ring hat mit einem Bussystem aber überhaupt nichts zu tun, nicht nur dass die Topologie genau das Gegenteil eines Bus-Systems darstellt erfordert sie auch die dezidierte Bildung eines Rings - was beim KNX absolut verboten ist.

Was die "Verkabelung" angeht mag das sein und 10Base2/5 wäre hier wohl das passendere Beispiel aus der "IT Welt".

Was ich damit aber eigentlich ausdrücken will ist, dass die Gebäudetechnik keine "exklusive" Funktionalität hat sondern Protokolle und Methoden 1 zu 1 so auch in IT Systemen vorhanden sind...

[Andreas1]

Das "interne" Kommunikation nicht verschlüsselt werden muss hat man vor 15 Jahre in der IT auch mal gedacht.

Ist die Frage, was wir unter interne Kommunikation verstehen. Bei KNX verstehe ich alles, was innerhalb meines Hauses ist, als intern. Was verstehst du denn bei IT als intern? Kommuniziert dein Rechner etwa verschlüsselt mit Maus, Tastatur, Drucker, Scanner etc? Oder sind gar die Systemcalls des Betriebssystems verschlüsselt?

Schaut mal in die Adresszeile von eurem Browser... SSL everywhere..

Mit SSL meinst du das s von https, oder? Denn SSL selbst in seiner letzten Version (3.0) gilt inzwischen als unsicher. Welche Verschlüsselung meinst du denn?
SSL 3.0, TLS 1.0, TLS 1.1, TLS 1.2, TLS 1.3 ... ?
Mit welchen Ciphern, also welchem Schlüsselaustausch? RSA? DH? ...
Welche Authentifizierung? RSA? DSA? Elliptische Kurven? ...
Welche Hashfunktion? MD5, SHA? Mit welcher Länge? ...
Welche Verschlüsselung? DES? 3DES? AES? ...

Wie man sieht, gibt es nicht DIE Verschlüsselung in der IT, selbst das s bei https kann zig verschiedene Cipher bedeuten.

Und alle paar Monate gelten ältere Techniken als unsicher und neue kommen hinzu --> Updates.

Sollen die KNX-Geräte auch alle paar Monate Updates erhalten? Wer soll das machen? Die Geräte könnten es natürlich auch selbst machen, benötigen nur Zugang zum Internet. Der Sicherheitsgewinn wäre grandios.

[vento66]

Und KNX über RF oder IP ohne Security geht sowas von gar nicht.

Und wo sind denn da die (verfügbaren) Geräte? Alles Müll was da die letzten Jahre verkauft wurde? Und bei IP seh ich das nicht so, das kann ich meist selbst abfangen.

[kAndy]

Ist die Frage, was wir unter interne Kommunikation verstehen. Bei KNX verstehe ich alles, was innerhalb meines Hauses ist, als intern. Was verstehst du denn bei IT als intern? Kommuniziert dein Rechner etwa verschlüsselt mit Maus, Tastatur, Drucker, Scanner etc? Oder sind gar die Systemcalls des Betriebssystems verschlüsselt?

=> Sorry aber was was für ein Unsinn Natürlich reden wir hierbei davon wenn in unserem "internen Netz" mehrer unterschiedliche Geräte miteinander kommunizieren.

Mit SSL meinst du das s von https, oder? Denn SSL selbst in seiner letzten Version (3.0) gilt inzwischen als unsicher. Welche Verschlüsselung meinst du denn?
SSL 3.0, TLS 1.0, TLS 1.1, TLS 1.2, TLS 1.3 ... ?
/CUT/

Vorsichtig mit so gefährlichn Halbwissen SSL/TLS gilt - insofern überhaupt irgendetwas als solches bezeichnet werden kann als "sicher"
Wie bei jeder "vernünftigen" Verschlüsselung steht und fällt die Security damit die Keys und deren Transport vertraulich zu halten

=> https://de.wikipedia.org/wiki/Transport_Layer_Security

Und alle paar Monate gelten ältere Techniken als unsicher und neue kommen hinzu --> Updates.
Sollen die KNX-Geräte auch alle paar Monate Updates erhalten? Wer soll das machen? Die Geräte könnten es natürlich auch selbst machen, benötigen nur Zugang zum Internet. Der Sicherheitsgewinn wäre grandios

Kurz gesagt: Ja, absolut. Aus meiner Sicht benötigen wir ein Gesetz welches den Hersteller eines Produkts (in dem sich mindestens ein Mikrokontroller/IC befindet) dazu VERPFLICHET für eine Zeitraum von X Jahren Softwareupdates bereit zu stellen.

[evolution]

Wie viel Installationen macht ihr heutzutage OHNE IP Gateway? Ich wette kaum eine... und spätestens dann trifft JEDES IT Angriffsszenario auch die Gebäudetechnik...

Du redest so einen Quatsch... Informiere Dich erst mal über KNX, bevor Du meinst uns KNX erklären zu wollen. Du und kein anderer schafft es über meinen IP-Router oder die Außenlinie irgendein Gerät im Haus zu programmieren. Denn das kann man in KNX nicht nur softwareseitig, sondern auch hardwareseitig verhindern. Also was soll dieses sinnlose rumgegackere...

[kAndy]

Du redest so einen Quatsch... Informiere Dich erst mal über KNX, bevor Du meinst uns KNX erklären zu wollen. Du und kein anderer schafft es über meinen IP-Router oder die Außenlinie irgendein Gerät im Haus zu programmieren. Denn das kann man in KNX nicht nur softwareseitig, sondern auch hardwareseitig verhindern. Also was soll dieses sinnlose rumgegackere...

Nichts liegt mir ferner als dir oder irgendwem anders KNX erklären zu wollen. Berufsbedingt bin ich jedoch täglich mit analogen Szenarien konfrontiert. Und nur weil Du und Ich deine KNX Installation nicht bei Kaffe und Kuchen auseinander nehmen heißt das nicht, das es nicht geht oder nie gehen wird.

Wenn du deine Außenlinie derart "gehärtet" hast, das eine kompromittierung nahezu ausgeschlossen ist, dann ist das cool und genau mein Ziel. Welche Maßnahmen (außer seperate Linie für den Ausenbereich und entsprechenden Filter) hast du dabei ergriffen?

Welche Möglichkeiten der Authentisierung gibt es an dem IP Gateway?

Nicht falsch verstehen .. ich will niemanden "kritisieren" Aber es ist einfach echt nervig, wenn man immer gleich den "Alu-Hut Stempel" aufgedrückt bekommt, nur weil man sich über das Thema Sicherheit grundlegende Gedanken macht"

[evolution]

Und nur weil Du und Ich deine KNX Installation nicht bei Kaffe und Kuchen auseinander nehmen heißt das nicht, das es nicht geht oder nie gehen wird.

Doch es geht nicht! Auch Helden wie Du schaffen das nicht, da kannste Kaffee trinken bis Du einen Herzkasper bekommst!

[kAndy]

Doch es geht nicht! Auch Helden wie Du schaffen das nicht, da kannste Kaffee trinken bis Du einen Herzkasper bekommst!

Naja okay, das mir dann zu doof. Danke trotzdem

[evolution]

das mir dann zu doof.

Vielleicht liegt es daran, dass Du Data Secure nicht verstanden hast, siehe Deine Frage:

Welche Möglichkeiten der Authentisierung gibt es an dem IP Gateway?

[Andreas1]

Na, du bist ja echt ein ganz lustiger.

Vorsichtig mit so gefährlichn Halbwissen SSL/TLS
....
=> https://de.wikipedia.org/wiki/Transport_Layer_Security

Du glänzt hier mit grandiosem Halbwissen, bringst vieles durcheinander, bezüchtigst anschließend andere des Halbwissens und glänzt dann mit einem Link zu Wikipedia? Ich bin begeistert.

[kAndy]

- Der Wiki-Link galt demnjenigen der SSL/TLS als grundsätzlich unsicher deklariert hat.

Vielleicht liegt es daran, dass Du Data Secure nicht verstanden hast, siehe Deine Frage:

Nunja was heißt schon verstanden.. Verstanden habe ich auf jedenfall das du es für vollkommen unsinnig hälst, es in deinem Projekt keine Verwendung findet, du mir aber erzählst das deine Anlage secure ist... Deshalb nochmal meine Frage. Wenn ich in deinem LAN hänge und Zugriff das IP Gateway bekomme: Kann ich dann Nachrichten auf den BUS schicken, oder muss ich mich ausreichend authentisieren?

Wenn ich nämlich mal auf dem BUS bin - so viel habe ich verstanden - dann kann ich tun was ich will ohne Data Secure. Da Vertraulichkeit und Integrität den Teilnehmern egal ist - und genau hier ist schlichtweg das Problem welches ich sehe - du aber für völlig absurd hälst.

[evolution]

Wenn ich nämlich mal auf dem BUS bin - so viel habe ich verstanden - dann kann ich tun was ich will ohne Data Secure. Da Vertraulichkeit und Integrität den Teilnehmern egal ist - und genau hier ist schlichtweg das Problem welches ich sehe - du aber für völlig absurd hälst.

Wenn Du bereits über den IP-Router auf den Bus kommst, nutzt Data Security auch herzlich wenig...
Und nein, wenn man auf dem KNX-Bus Zugriff hat, heisst das noch lange nicht, dass man alles tun kann. Denn das Verändern von Geräteeigenschaften (Programmieren von Geräten) kann man bspw. durch das MDT Sicherheitsmodul zuverlässig verhindern.

Mir geht Deine besserwisserische Polterei ohne Substanz auf den Geist. Das war die letzte fachliche Information mit Inhalt die Du von mir bekommen hast! Mache Dich lieber schlau als hier unbeliebt!

[S. De Bruyne]

Data Security will (also on TP1) make sure that the Telegrams can be authenticated and will typically be encrypted. This makes that they cannot be modified, decrypted or replayed. Only other Secure devices will be able to decode and handle the Telegrams properly. In a plain (existing) installation, this protection is not available.

[kAndy]

Wenn Du bereits über den IP-Router auf den Bus kommst, nutzt Data Security auch herzlich wenig...
Und nein, wenn man auf dem KNX-Bus Zugriff hat, heisst das noch lange nicht, dass man alles tun kann. Denn das Verändern von Geräteeigenschaften (Programmieren von Geräten) kann man bspw. durch das MDT Sicherheitsmodul zuverlässig verhindern.

Mir geht Deine besserwisserische Polterei ohne Substanz auf den Geist. Das war die letzte fachliche Information mit Inhalt die Du von mir bekommen hast! Mache Dich lieber schlau als hier unbeliebt!

Schade, denn das war die erste fachliche Information die du mir gegeben hast ohne mich als Alu-Hut-Idioten abzustempeln. Naja, immerhin hast du es auch diesmal geschafft mich zu Beleidigen. Who cares, ich nehms sportlich, ok?

Danke für den Tipp, das Teil schau ich mir genauer an! (http://www.mdt.de/download/MDT_THB_Sicherheitsmodul_01)

So wie ich das sehe detektiert das Modul zum einen "unerlaubte Programmierversuche" und abgeklemmte Geräte vom Bus. Wenn das Sicherheitsmodul deaktiviert wird, passiert das mittels Passwort, welches im plain-text auf dem Bus landet.

Wäre folgendes Angriffszenario deiner/eurer Ansicht nach denkbar?

=> Ich hänge mich zusätzlich an den BUS (ohne ein bestehendes Gerät abzuklemmen)
=> Ich sniffe den gesamten Traffic auf dem BUS mit und warte bis z.B. eine "neu-programmierung" durch Techniker o. ä. stattfindet
=> Danach deaktiviere ich das Sicherheitsmodul mittels dem abgehörten Passwort. Da keine Verschlüsselung stattfindet, sollte das ja drin sein.

Zugegeben, das kann bei Systemen auf denen eher weniger Änderungen stattfinden ganz schön lange dauern. Könnte mir aber vorstellen das so Änderungen in einem großen öffentlich zugänglichen Gebäude (KH?) schon mal ab und zu passieren... Wie seht ihr das?

Update: Wie es aussieht kann man das deaktivieren mittels Passwort in einem Telegramm (vermutlich weil dem Hersteller dieses Angriffsszenario bewusst ist :P deaktivieren) Dann kann man das Modul nur noch über die Hardwareteste selbst "entsperren".

Data Security will (also on TP1) make sure that the Telegrams can be authenticated and will typically be encrypted. This makes that they cannot be modified, decrypted or replayed

Thanks for that. I am absolutely with you and see the need for encryption on the transport layer. So i am "pro" transport layer encryption. Even, if it i looks like the most other users don't see a need for KNX Data Secure...