KNX Data Secure

[gregmaster]

Moin,

ich setze mich gerade für eine Ausarbeitung mit den Schutzmaßnahmen von KNX auseinander.

Dabei bin ich natürlich auch auf das Schalgwort KNX Data Secure gestoßen.
Meine Frage dazu ist, dass die beiden Geräte die über das längere Telegrammformat miteinenader kommunizieren auch Data Secure unterstützen müssen.
Im Paper von KNX https://www2.knx.org/media/docs/down...n-Paper_de.pdf auf S.5 kommuniziert u.a. ein Taster. Nur hat mein Freund Google mir kaum einen Taster gezeigt, der Data Secure unterstütz. Dafür jede Menge Koppler. Heißt das, dass es ausreicht die Kommunikation zwischen den Linien mit den Linienkopplern so zu Schützen?

Beispiel: Die Linienkoppler unterstützen Data Secure und das Gateway und der Taster nicht

Geschützt durch Data Secure!
Taster---->Linienkoppler der Linie in der der Taster sitzt------>Linienkoppler in dem das Gateway sitzt----->Dali Gateway

Ungeschützt:
Taster---->Dali Gateway



Verstehe ich das richtig?

[gbglace]

Die Hersteller sind einfach noch nicht soweit.

Eine sichere gemäß Data-Secure Kommunikation funktioniert nur, insofern alle Geräte in einer Linie das auch beherrschen.

Bei den Kopplern hat man das zuerst eingebaut, da es die Trennstellen der Liniensegmente sind und man eben vor Data-Secure den IP-Bereich angegangen ist.

Wer also eine Bestandsanlage hat wird das erst Secure bekommen wenn die verteilte HW durch Data-Secure fähige ersetzt wurde oder ggf. ein Hersteller ein FW-Update liefert.

Ist also irgendwann nach der diesjährigen oder eher folgenden L&B ein Trendthema für Neuinstallationen.

[Beleuchtfix]

Eine sichere gemäß Data-Secure Kommunikation funktioniert nur, insofern alle Geräte in einer Linie das auch beherrschen.

Das ist so nicht ganz richtig, Dadat Secure geht bis auf KO / GA Ebene hinunter, man muss nicht die ganze Linie verschlüsseln. Du kannst z.B. einen Aktor nachrüsten, der deine Haustüre öffnet und einen Tastsensor, und nur diese Verbindung kann man Secure machen und den Rest offen lassen. Also man wird auch (wenn Geräte da sind) auch Secure nachrüsten können, ohne gleich das ganze Haus neu bestücken zu müssen.

Gruß
Florian

[Klaus Gütter]

Geschützt durch Data Secure!
Taster---->Linienkoppler der Linie in der der Taster sitzt------>Linienkoppler in dem das Gateway sitzt----->Dali Gateway

Nein, dazu bräuchte es Linienkoppler mit "Security Proxy"-Funktionalität und die gibt es noch nicht.

Wenn du die Linienkoppler allerdings durch IP-Router ersetzt, kannst du statt Data-Security IP-Security (verschlüsselte Kommunikation auf dem IP-Backbone) einsetzen, also:

Geschützt durch IP-Secure!
Taster---->IP-Router der Linie in der der Taster sitzt------>IP-Router in dem das Gateway sitzt----->Dali Gateway

[Alloc]

Wobei das dann aber "nur" Verschlüsselung zwischen den IP-Routern wäre, nicht auf der KNX-Linie, oder?

Ist vermutlich halt immer die Frage, an welchen Stellen man wirklich Verschlüsselung bräuchte. Denke das wäre vor allem KNX RF und KNX TP an den Stellen, an denen es potentiell exponierter ist (Garten, Haustür). Insbesondere für ersteres freue ich mich auf die Proxy-Lösung

[STSC]

Nein, dazu bräuchte es Linienkoppler mit "Security Proxy"-Funktionalität und die gibt es noch nicht.

Gibt es solche Geräte inzwischen? Das muss ja nicht unbedingt ein Linienkoppler sein, sondern könnte doch auch z.B. über ein Logikmodul dargestellt werden?

[meti]

Die Enertex / Jung Router können das. Evtl. die Interfaces auch.

[STSC]

Das ist aber alles IP <-> TP oder RF <-> TP. Suche eher TP unsecure <-> TP secure. Prinzipiell geht es um Nachrüstung von Geräten, die noch keine Secure können.

[dreamy1]

ich setze mich gerade für eine Ausarbeitung mit den Schutzmaßnahmen von KNX auseinander.

Darf ich fragen warum? Ist das für eine Techniker-/Bachelorarbeit oder ist das eine reale Anwendung für die eigenen vier Wände?

Ich frage deshalb etwas provokant, weil ich den Anwendungsfall KNX Secure im privaten Eigenheim bis heute nicht verstanden habe - zumindest bei uns würde sich kein Gangster die Mühe machen, irgendein Außengerät (BWM etc.) auf 2,50m Höhe mit der Leiter abzumontieren und sich da per Laptop "einzuschleifen", um dann die Buskommunikation zu belauschen und da irgendwas anzustellen (Motorschloss der Haustür öffnen o.ä.). Der geht doch ums Eck und hebelt eine Tür oder Fenster auf oder klebt eine Folie auf die Scheibe und schlägt die ein...und ist nach 30s im Haus...

Ansonsten ist hier nach außen (Internet) der Zugriff nur per VPN möglich - und das auch erst, seit ich eine Visu im Einsatz habe. In öffentlichen Gebäuden / Hotels etc. verstehe ich das ja noch, aber im Eigenheim?

[meti]

Die Applikation des Enertex Routers bringt dir einen Secure-Mapper. Den kann man auch TP<>TP verwenden. Hier werden dann 2 KOs angeboten, die das von DataSecure auf Plain, und vice versa, übersetzen. Siehe https://www.enertex.de/downloads/116...rMapper_de.pdf