Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[Limes]

Hallo zusammen, Peter von der Limes Security hier!

Bevor hier die Spekulationen zu wild werden, möchte ich mal das Mysterium hier etwas aufklären. Einige Gedanken die hier bereits angesprochen wurden gehen schon in die richtige Richtung. Als wir den Anruf erhalten hatten waren wir uns zunächst auch nicht sicher, ob wir hier weiterkommen werden. Zum einen sind wir vollkommen ausgebucht, zum anderen mussten wir auch erst Strategien entwickeln, wie man wohl an das Passwort kommt. Das ganze wird auch noch für die Community genauer aufbereitet und wird wie oben richtig beschrieben auch auf Security-Konferenzen vorgetragen werden.

Kurz zusammengefasst: Der Schlüssel befand sich im Speicher einer der Komponenten. Wir konnten den Speicher durch direktes Ansprechen auf der Platine auslesen. Ob das auch bei anderen Geräte geht oder ein Einzelfall war ist Gegenstand von Untersuchungen. Der ausgelesene Speicher ist zunächst eine lange Wurst an scheinbar zufälligen Bytes. Wir haben durch Überlegungen und Tricks es dann geschafft den in Frage kommenden Speicherbereich stark einzugrenzen und diese dann per Bruteforce durchzuprobieren. Der Bruteforceangriff liefert dann binnen Sekunden den Key.

Wir haben übrigens den Key auch schon bei anderen Betroffenen versucht: das klappte bisher nicht.

Bitte richtet euch ein VPN ein um aus der Ferne zu Warten. Möchte hier an der Stelle jetzt keine Seitenlange Anleitung zusammenschreiben, aber KNX hat übrigens ein nicht ganz schlechtes Paper zu dem Thema Zugang über Internet: https://www.knx.org/wAssets/docs/dow...n-Paper_en.pdf

Um auf ein paar konkrete Aussagen einzugehen und die berechtigte Neugierde etwas zu stilen:

Die Daten des BCU Passwortes sind kompliliert in der BCU und nicht rekonstruierbar. (Wie das Limes gemacht (haben soll) hat, findet der Entwickler höchstinteressant. a) steht das Passwort bei jedem Applikationsprogramm woanders b) wie bekommt man das aus einem kompilierten Programm wieder heraus? Schon mal versucht bei einem Videospiel den ursprünglichen Quelltext zu generieren? )

Du hast recht: Dekompilieren (bzw. Debugging) wurde als ein möglicher Weg angedacht, ist aber furchtbar langwierig. Daten wie das Passwort werden aber nicht reinkompiliert, sondern abgelegt. In diesem Fall sogar ungeschützt als Klartext.

eine weitere möglichkeit habt ihr alle übersehen, aber ich will niemandem was böses unterstellen

Dann tu es bitte einfach nicht

Spontan kommen mir da die üblichen Verdächtigen in den Sinn:
- Brute Force, wobei das dann ein PW „zu Beginn“ war, da relativ schnell gefunden;
- ein Wörterbuchangriff mit speziellen 8-Buchstabigen Wörtern wie BABECAFE; oder
- Reversen

Oder eine Kombination davon. Z.B. das Brute Forcing nicht mit dem Adapter und Bus mit 9600 kBaud machen, sondern die Routine extrahieren und auf einem schnelleren System brute forcen oder anhand des Sourcecodes - falls vorhanden - den relevanten Teil der Routine auf ein schnelleres System crosskompilieren … wie auch immer, und dann brute forcen. Vielleicht gibt es bei der (über)nächsten Blackhatkonferenz einen neuen Vortrag von Limes.

Sehr guter Lösungsanatz und recht nah an dem wie wir es geschafft haben, siehe oben.

Oder das sind einfach „fähige“ Leute die Limes…

Vielleicht

Wäre tatsächlich nett wenn du das Passwort teilen könntest. Ich gehe mal davon aus das es in der letzten Zeit immer der gleiche Täter war, habe auch 2 (Neu)Kunden die mich deswegen angeschrieben haben...

Bitte bei mir per PM melden. Aber ich habe wenig Hoffnung, dass es das gleiche PW ist, siehe oben.

Darf ich die Frage aus der 1. Seite noch mal hochholen? Wenn ich mir den Thread so anschaue, dann wäre es doch in der Tat sinnvoll, für jedes Projekt ein BAU-Passwort zu setzen - das wird dann in die Dokumententasche im Verteiler gesteckt (und meinetwegen auch noch per Label oder Edding in die Tür geschrieben), damit es nie verloren geht.

Das ist tatsächlich auch einer unserer Gedankengänge. Hier ist es sehr spannend von euch zu lernen, ob das praktikabel ist. Schlimmstenfalls verschiebt sich das Risiko von "jemand kann mich aussperren" zu "es sperren sich regelmäßig Betreiber selbst aus".

Wenn man den Zauber ohne ETS durchführt, ist das völlig egal, ob das die ETS Projektweit setzt. Ich als Hacker würde da auch nicht mit der ETS anfangen, sondern ein script laufen lassen.

Korrekt, würden wir auch eher scripten.

Limes hat das Passwort ja dem Kunden ausgelesen, die haben da keinen "Schutz" drauf, einzig der Kunde könnte sagen: "Meins! ich habs bezahlt.."

Das ist in der tat schwierig und eher eine ethische denn eine rechtliche Frage. Unser Ziel ist es das Passwort zu veröffentlichen und dadurch vielleicht doch noch anderen damit helfen zu können. Auftraggeber wird angefragt, ob das auch für Ihn in Ordnung ist.

[Marino]

Limes
Finde ich toll, dass Ihr euch hier zu Wort meldet und das Vorgehen weiter beschreibt. Vielen Dank dafür.

[Hennessy]

Vielen Dank für den interessanten Einblick!

[PeterPan]

Hallo Peter von Limes

offensichtlich kann man Dir keine PN schreiben (?).

Wärst Du so nett und würdest mir Deine Kontaktdaten auf peter.sperlich@hispeed.ch schicken?

Danke im Voraus
Peter

[concept]

Dann tu es bitte einfach nicht

Hab ich ja auch nicht! Es ging nur darum, die LIste der theoretischen Möglichkeiten zu vervollständigen

Ausserdem habe ich mit meinem Post ja eventuell mit dazu beigetragen, dass Du Dich zu der Thematik geäussert hast, was hier - wie ich denke - von den meisten Usern begrüsst wurde!

[Limes]

Hallo liebe KNX-Community,

wir können mittlerweile sagen, dass das Auslesen des Passwortes sehr stark von der KNX-Komponente abhängt und bei den meisten Geräten wohl eher nicht möglich ist (auch nicht durch den Hersteller). Um hierzu eine bessere Aussage treffen zu können, würden wir gerne mehr KNX-Geräte untersuchen.

Deshalb hier ein Aufruf:
Wer kann uns KNX-Komponenten zur Verfügung stellen, die sich für den Produktiveinsatz nicht mehr eignen aber grundsätzlich noch programmierbar sind? ZB auf Grund optischer Mängel, teilweiser Fehlfunktion, ... Wir würden natürlich die Versandkosten übernehmen.
ACHTUNG: Es gibt eine gute Chance, dass die Geräte endgültig zerstört werden. Also bitte nur Komponenten, die nicht mehr zurückgeschickt werden müssen.

Bitte per PM bei mir melden (sollte mittlerweile gehen).

Danke

[Lennox]

@Limes: was ist denn für euch interessant? Aktorik oder Sensorik , wir haben eine ganze Kiste voll, da könnte ich sicher was beisteuern.

[Limes]

Lennox Prinzipiell alles was ein Betroffener am Bus hängen hat. So lange überall das gleiche Passwort gesetzt ist, hilft es eine Komponente zu finden - unabhängig von deren Funktion - deren PW man auslesen kann. Idealerweise verschiedene Hersteller. Danke dir!

[Lennox]

Mal schauen was das ist .., geht die Woche mal was raus. Für die Community

[Hennessy]

Mein Wunsch wurde erhört: heute E-Mail von der KNX Assoc. erhalten mit folgendem Inhalt: https://www.knx.org/knx-en/for-profe...cyber-attacks/

[dbTec]

Nur nebenbei, wer sich etwas auskennt, für den bietet Sophos eine kostenlose Home Variante der XG Serie. Läuft bei mir bspw. auf einem Proxmox und auch bspw. auf günstiger HW. Falsch konfiguriert aber leider auch nutzlos...

https://www.sophos.com/de-de/product...e-edition.aspx

[PeterPan]

Sophos.. SG Serie.. Proxmox..

What?

Hallo auch..

nicht jeder aus der KNX Branche ist ein Netzwerks-Sicherheits-Spezialist. Das ist in kommerziellen Projekten ein eigenes Gewerk mit eigener Ausschreibung und entsprechenden Planern.

Wir gehen in den KNX-Schulungen erst seit ein paar Jahren ("CCC-Fall Hotelroom Hack Shenzen 2014") auch auf die Netzwerksicherheit ein, wenn wir in den Unterlagen den Einsatz von KNX-IP-Routern behandeln (Linienstruktur). Es ist aber eben nicht Aufgabe des KNX-Basiskurses Netzwerkkenntnisse zu vermitteln, da das Thema viel zu umfangreich wäre. Und eben ein eigenes Gewerk in kommerziellen Projekten darstellt.

"Die, die sich auskennen" haben sicher heute bereits eine Lösung für ihre Projekte.

Es braucht einfache, weit verbreitete, häufig replizierbare, servicearme und verlässliche Lösungen.
Am besten "ein Gerät", das man ins Projekt einplant, einbaut, nicht viel konfigurieren muss, und einfach läuft- sozusagen "einfach aus dem Regal nimmt". Und die gibt es.

Massnahme:

1. Frage: Habe ich Bestandskunden mit "Port Forewarding".
2. Ausnahmslos alle Ports im Router schliessen und
3. Hardware-VPN einbauen und
4. KNX Secure Hardware ab jetzt verwenden

Ein schneller Schritt in Bestandsanlagen wäre die IP-Router zur Linienkopplung und/oder für die Kommunikation mit Visualisierungen gegen KNX/IP-Secure Router zu wechseln. Dann ist die KNX Datenkommunikation auf der Netzwerkseite verschlüsselt und von aussen unangreifbar.

VPN: Von ISE bis Hooc gibt es wunderbare einfache aber wirksame Sachen. (Vor 20 Jahren aber eben noch nicht in der Form - KNX gabs da aber schon!)

KNX/IP-Secure Router
https://www.apricum.com/de/mecip-sec

Hooc VPN Devices
https://www.knxshop4u.ch/de/hooc

KNX Secure: Lingg&Janke hat als erster Hersteller ein vollständiges Portfolio
https://www.knxshop4u.ch/de/search?p...rds=knx+secure

Gruss Peter
apricum-produkt-slider-MECip-Sec.jpg image_117763.jpg Hooc_Connect_T_LT_S_side.jpg Lingg-Janke_79238SEC.jpg

[dbTec]

Wie gesagt, nur zur Info und auch viele die sich auskennen, wissen von der Aktion von Sophos noch nichts! Und ich zitiere: "Falsch konfiguriert aber leider auch nutzlos..."

Für den Ottonormalverbraucher bin ich ganz bei dir!

Grüße
d

[delija999]

morgen,

gilt das auch für den homeserver port oder nur wenn der ip router port offen ist?

[DerStandart]

Portweiterleitungen haben im Jahr 2021 nichts mehr zu suchen. Höchstens noch für einen entsprechend gesicherten VPN Server. Von daher gilt das für alles. Zumindest meiner Meinung nach.