KNX RF secure

[Beleuchtfix]

Zusatzfrage: Da der Koppler ja quasi dual-headed ist - bezieht sich data secure dann zwingend auf beide Seiten, oder nur auf TP oder RF?

Die eigentliche Verschlüsselung passiert doch in dem Sende und Empfangsmodul, der RF Koppler überträgt "nur" die verschlüsselten Nutzdaten, damit sollte das in beide Richtungen gehen. Data Secure geht ja bis auf GA Ebene runter (du kannst also z.B. ein Relais eines Mehrfachaktors - z.B. Haustüröffner - verschlüsseln und das Haustürlicht von überall unverschlüsselt schalten), und alle Zwischengeräte können das Signal nicht interpretieren, es sei denn, dass sie auch den Schlüssel kennen.

Gruß
Florian

[traxanos]

Wenn man den Proxy nur braucht, um securefähige Geräte mit nicht securefähigen Geräten zu sprechen zu lassem, wie sieht das dann mit RF-Koppler die Pakete auf eine TP-Linie bringen. Ich hätte das jetzt so verstanden, dass dieser prüft ob das Paket korrekt ist, es entschlüsselt und es dann als Unsecure auf die TP Linie bringt. Ist die Annahme falsch. Gleiches hatte ich auch bei IP-TP Router vermutet.

[Beleuchtfix]

Gleiches hatte ich auch bei IP-TP Router vermutet.

Es gibt ja schon länger KNX IP-Secure, da ist die Umwandlung sinnvoll, weil nur das IP Segment geschützt werden soll/muss. Einige Funksysteme verschlüsseln ihre Funkverbindung, ohne jedoch das Nutzsignal selber zu verschlüsseln. Sicherlich auch eine gute Methode zur Erhöhung der Sicherheit, KNX Data-Secure soll eben eine End-to-End Verschlüsselung sein.
Gruß
Florian

[traxanos]

Ja ich habe RF auf der Wunschliste und hatte die Ganze zeit gehofft das bald Geräte raus kommen die in innerhalb von RF alles verschlüsseln (auch E2E), aber sobald ich auf dem Kabel (TP) bin, sollte es ohne Secure weitergehen. Solange RF keinen Schutz bietet, ist es für mich nicht nutzbar. Den so wie ich das aktuell verstanden habe, könnte man über RF alles ohne Schutz steuern (ja man würde mit Filtertabellen das Ganze entschärfen)

Aber wenn ich das nun richtig verstanden habe, muss ich nicht nur auf RF-Secure warten sondern auch auf einen Secure-Proxy und die ETS6... Welches Jahr haben wir aktuell - 2020 Kryptoneuland ^^

[Beleuchtfix]

Welches Jahr haben wir aktuell - 2020 Kryptoneuland

Gute Frage, dass da viele Systeme hoffnungslos hinterherhinken, macht die Sache nicht besser. Aber gerade Systeme mit Altlasten sind besonders problematisch.
Gruß
Florian

[jmk]

Die eigentliche Verschlüsselung passiert doch in dem Sende und Empfangsmodul, der RF Koppler überträgt "nur" die verschlüsselten Nutzdaten, damit sollte das in beide Richtungen gehen. Data Secure geht ja bis auf GA Ebene runter (du kannst also z.B. ein Relais eines Mehrfachaktors - z.B. Haustüröffner - verschlüsseln und das Haustürlicht von überall unverschlüsselt schalten), und alle Zwischengeräte können das Signal nicht interpretieren, es sei denn, dass sie auch den Schlüssel kennen.

Gruß
Florian

Schon richtig. Ich war allerdings bisher davon ausgegangen, dass die Kennzeichnung mit dem blauen Schild gleichbedeutend ist mit "kann verschlüsseln". War wohl ein Irrtum.

Um die Verwirrung komplett zu machen, hab ich mir gerade noch mal im Support-Bereich von knx.org die Ausführungen zu Secure angeschaut.
Die deutsche Version spricht von

• Gruppenadressen mit Sicherheitsmodus = ein
• Gruppenadressen mit Sicherheitsmodus = aus

[...]

• Klartext-Kommunikationsobjekte
• Undefinierte Kommunikationsobjekte
• Sichere Kommunikationsobjekte

aber die englische von

• Group Objects encrypting/decrypting runtime telegrams (secure communication)
• Group Objects NOT encrypting/decrypting runtime telegrams (plain communication)

[...]

• Group Addresses with 'Security' property set to 'On'
• Group Addresses with 'Security' property set to 'Off'
• Group Addresses with 'Security' property set to 'Automatic'

Muss das so?

[Beleuchtfix]

Automatik heißt, dass die GAs immer verschlüsselt werden, wenn es möglich ist, on wirft dir einen Fehler aus, sobald es nicht möglich ist.

Gruß Florian

[Hotline Theben]

Hallo allerseits,

aktuell ist die Sache so, dass wir (Theben) Unterputz-Aktoren mit KNX-RF Kommunikation anbieten und auch verkaufen.
Ein Medienkoppler RF-TP (9070868) ist ebenfalls verfügbar und wird auch ausgeliefert. Alle diese KNX-RF Produkte kommunizieren RF1.R S-Mode und unterstützen KNX Data Secure. Der Secure Proxy ist im Medienkoppler bereits implementiert.
Bedeutet Stand heute, dass die Geräte innerhalb der RF-Linie und auch linienübergreifend verschlüsselt kommunizieren (können).
Wenn der Gesprächspartner auf TP-Seite ebenfalls Data Secure unterstützt, kann linienübergreifend verschlüsselt kommuniziert werden.
Sollte das TP-Gerät kein Data Secure unterstützen, kann die Information auf TP und RF Seite nur unverschlüsselt übertragen werden.
Mit der ETS 6 kommt dann wohl der Secure Proxy ins Spiel, womit auf der RF-Seite verschlüsselt und auf TP unverschlüsselt kommuniziert werden kann.

Viele Grüße aus Haigerloch

Team
Service Center
+49 7474 692-369
hotline@theben.de
www.theben.de

[jmk]

Automatik heißt, dass die GAs immer verschlüsselt werden, wenn es möglich ist, on wirft dir einen Fehler aus, sobald es nicht möglich ist.

Gruß Florian

ja, spannend finde ich ja nur, dass es für englischsprachige Nutzer zwei Arten KO und drei Arten GA gibt, für deutschsprachige aber zwei Arten GA und drei Arten KO

[Beleuchtfix]

Dann teste doch einmal aus, woran es hängt, notfalls mangels Geräte mit KNX Virtual.
Gruß Florian

[Fritz]

Der Medienkoppler Theben 9070868 ist OEM Weinzierl 672, unterstützt "lediglich" longframes und bringt noch keine verschlüsselte Funkverbindung mit!

Hallo Zusammen,

Weinzierl hat einen neuen Koppler mit der Bezeichnung 673 angekündigt:
https://www.weinzierl.de/index.php/d...x1/knx-devices

Ich verstehe den Nutzen noch nicht, wenn Theben 9070868 und Weinzierl 672 bereits Longframes und Data Security unterstützen.

Kennt jemand die Unterschiede?

[StHZ]

Schon länger still ... Bei Weinzierl hat 673 den 672 ersetzt, und gemäß Beschreibung unterstützt nur der neue Koppler Data secure.