Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[BadSmiley]

Spamer. Ich brauche dann nur Software die aufs "Nack" pfeift und schon kann er fröhlich programmieren ohne das deine Software was machen kann oder wie verhinderst du solch stumpfe Attacken?

[Axel]

Nur so am Rande...
wir haben für den GIRA Homeserver ein Modul. Damit können Programmierversuche überwacht, dokumentiert und verhindert werden! Das ganze sogar Linienübergreifend, wenn vom Koppler unterstützt. Die Hardware Module auf dem Markt (welche in die Linie gesteckt werden) funktionieren auf ähnlicher Basis.

https://www.knet.bayern/produkte-1/l...dule/lm-guard/
auch schon im Forum vorgestellt.
https://knx-user-forum.de/forum/%C3%...dul-homeserver

Die Begeisterung hält sich für das Modul in Grenzen, wie immer bei Sicherheit :-)

---

Mit den GIRA Linienkopplern (eventuell auch andere) kann man übrigens ebenfalls einen Programmierversuch einfach unterbinden. Dazu den Parameter "physikalische Adressierte Telegramme mit NACK bestätigen" einstellen. Das hat ähnliche Wirkung wie die Hardware GUARD Module.

---

Eine Lösung könnte sein, den Speicherbereich des Chips per Reversengenering auszulesen, in der Hoffnung so an das Passwort zu gelangen. Weiß jemand den Speicherbereich? Dann probiere ich es gerne mal bei uns in der Werkstatt aus. Geht ja mit dem Herstellercode, etc. ähnlich. Wäre spannend :-)

---

Das ganze zeigt, dass das Thema Secure immer wichtiger wird!

[Beleuchtfix]

Frag mich nicht wie, ich habe auch noch keins verbaut. Wir haben hier einige Beiträge von Kollegen, die ihre Anlage nicht mehr programmieren konnten und dann nach einigem Suchen sich erinnerten, das Sicherheitsmodul eingebaut zu haben. Und nach dem Abschalten ging es dann.

Gruß
Florian

[Sweeny]

Aber nach diesem Vorfall werde ich mit meinen Kunden den Einbau eines Sicherheitsmoduls immer besprechen.

Nur... helfen die Module wirklich dagegen? Zum Beispiel das von MDT?

[Beleuchtfix]

, der es schaffen könnte das BAU-Passwort auszulesen oder zu überschreiben/löschen

und die Chance ist groß, dass alle das gleiche PW haben.
Aber nach diesem Vorfall werde ich mit meinen Kunden den Einbau eines Sicherheitsmoduls immer besprechen.
Gruß
Florian

[EIBY]

Wenn das Projekt ca. 8 Jahre alt ist, sollte man heutige Kritik relativieren. Das beginnt m.E. bei/mit PuTTY für den IP-Router, geht über Panels mit veralteten Windows und endet bei der Portfreigabe für die ETS. Damals wußte man es vielleicht nicht besser und/oder fehlte die umfassendere Kenntnis nebst Erfahrung. Kunden titulierten und "würdigten" Systemintegratoren irrtümlich gern mal als Elektriker.
Ich pflege selbst bis zu 25 Jahre alte Projekte und frage mich manchmal, was sich jemand dabei gedacht hatte, jedoch war Mitte der 90er Jahre EIB quasi neu und fehlte den Mitarbeitern jegliche Erfahrung; der Systemintegrator war m.W. gänzlich unbekannt.

[Opfer 1]

Is there any other device in the installation that allows access to the bus, other than the already mentioned old IP interface?

No Plug&Play-interface but in almost every room you can access the TP-line. There are only commercial customers in the building, no private "over-night" people.

Ggf. sollte man ein Preisgeld aussetzen auf denjenigen, der es schaffen könnte das BAU-Passwort auszulesen oder zu überschreiben/löschen. Weiß nicht welche technischen Möglichkeiten ambitionierte Bastler mehr haben als drei große Hersteller. Mehr kaputt machen an den Speicherchips/Controllern/wasauchimmer kann man eh nicht mehr.

[Ing-Dom]

Wenn man dann Mal eine Adresse herausfindet, Kontakt aufnimmt und auf die Lücken hinweist, dann heißt es, das man vollstes Vertrauen zum Elektriker hat, der das errichtet hat. Bringt also nichts.

Von sowas sollte man sowieso lieber die Finger lassen. Am Ende stürmen dir die Cops die Bude weil du auf Sicherheitslücken aufmerksam machst.

Nur das vergeben der BAU Passwörter ist etwas Arbeit.

Es gibt mittlerweile mehere freie KNX Stacks, Falcon sowieso. Damit lässt sich sowas auch automatisieren - dann ist es ein Klick..

[S. De Bruyne]

Is there any other device in the installation that allows access to the bus, other than the already mentioned old IP interface?

[Opfer 1]

[...]Nur das vergeben der BAU Passwörter ist etwas Arbeit.

Das ist am Ende noch das einfachste weil man das einmal in der ETS in den Projekteigenschaften vergibt und dann nur noch die Geräte markieren und Applikation überspielen muss. Dafür muss man jedoch schon das Projekt erstellt haben mit passenden Applikationen (und deren richtiger Version!) und die Rekonstruktion-App muss man auch erstmal haben um sich noch mehr Arbeit zu ersparen. Also schonmal 450€ Invest in die App und das ist auch wieder so eine Ungereimheit im Bezug auf die kriminelle Energie des Täters.

[BadSmiley]

Und dir Rekonstruktion sucht die passenden Applikationen heraus und macht den Rest. Ja es dauert etwas, aber das passiert quasi alles von alleine. Nur das vergeben der BAU Passwörter ist etwas Arbeit.

[Beleuchtfix]

Die IP einer offenen KNX Anlage zu finden geht über passende Suchmaschinen schnell. so eine Großanlage hat eine überschaubare Anzahl an unterschiedlichen Geräten, und die 70% belegen wahrscheinlich weniger als 10 unterschiedliche Geräte, welche kann man über die Geräteinfo immerhin erahnen. Ein Linienscan zeigt dir auch alle erreichbaren Geräte an.
Immerhin haben wir jetzt 2 mal einen sehr ähnlichen Vorgang in kurzer Zeit gehabt, die vollkommen unabhängig zu sein scheinen.
Für das „Warum“ habe ich allerdings keine Antwort.

Gruß Florian

[MatthiasS]

die Topologie nachzubauen

Da brauche ich keine Topologie nachbauen. Linienscan und fertig.

[S. De Bruyne]

It does not have to be an open port, but, an open port is a very convenient, comfortable and stealth way. Open ports shall in any case be prevented.
Next to an open port, also other attack vectors have to be considered, anything basically to allows access to the installation.

[Opfer 1]

Das ist noch das größte Mysterium da dran: "Wozu?" Man hätte mit 'ner Erpresser-Mail viel Geld verdienen können aber nur wg. Vandalismus ist der Aufwand wirklich unvorstellbar. Man muss bedenken, dass man (meines Wissens) auch die passende Applikation für jedes Gerät braucht um es mit BAU-Passwort zu versehen. Außer einer hat 'n Tool geschrieben das außerhalb der ETS entsprechende Speicherstellen beschreit. Mindestens Gruppenadressen müssen dabei aber auch entfernt werden. Und keinen anderen noch so absurden Grund könnte man nachvollziehen. Sich anonym brüsten, dass man es getan hat verbunden mit extremer Langeweile und Zeit? Keine Ahnung.