Blockierte Aktoren/Sensoren - bin in grosser Not

[Theo Guldimann]

Guten Tag allerseits.
Ich bin derjenige, der am 10. Januar gehackt wurde. Schaden: 2 Schaltaktoren, 4 Dimmaktoren, 10 Taster, 7 Raumtemperaturregler, dazu 3 zerstörte Markisen auf der Terasse. Gesamtschaden so um die 15'000 Euros.
Meine KNX Anlage wurde im Jahr 2005 installiert, damals mit ETS2. Ich habe nach der Initialinstallation die Pflege und Erweiterung des KNX Systems selbst übernommen. Mittlerweile bin ich bei ETS6. Mein KNX System besteht aus 12 Aktoren, rund 15 Taster, einer Wetterstation und einem Busch-Jaeger Panel.
Im Jahr 2005 gabe es keinerlei Möglichkeit, eine KNX Installation gegen unbefugte Zugriffe zu schützen.
Ich habe in den letzten 3 Wochen enorm viel Zeit aufgewendet

• um den Schaden zu quantifizieren
• die zu beschaffenden Geräte zu bestellen
• die Schalter zu installieren und zu programmieren
• die Aktoren zu installieren (durch einen Elektriker) und zu programmieren
• das ganze zu testen
• und zu dokumentieren

Mir ist sehr klar, dass ich selbst schuld an diesem Drama bin. Jemand von euch hat mein Verhalten als grobfahrlässig bezeichnet. Er hat wohl recht. In einem Post von euch wurde festgestellt: Lernen durch Schmerz. Recht hat der Schreiber. Dieser Prozess liegt mittlerweile hinter mir.
Sowohl von ABB und von Feller habe ich erfahren müssen, dass es ihnen nicht möglich sei, die Geräte auf den seinerzeitigen Auslieferungszustand zurückzusetzen. Im Grund unverständlich, aber geht doch mal mit einem gefundenen iPhone oder iPad zu Apple und verlangt eine Rücksetzung auf den Auslieferungszustand. Ihr werdet höhnisches Gelächter ernten. Eigentlich ist dies Verweigerungshaltung verständlich.
Ich habe darauf verzichtet, externe Spezialisten, die es angeblich geben soll, um Geräte zurückzusetzen, zu kontaktieren. Erfolgsaussichten fraglich, Zeitaufwand enorm. Deshalb blockierte Geräte neu beschafft. Im übrigen auch Anzeige bei der Polizei erstattet. Erfolgsaussichten minimal. Von Feller weiss ich, dass sie über die Feiertage mit über 20 Hackingfällen konfrontiert wurden,
Mittlerweile ist das System wieder funktionsfähig, diesmal mit einem 3671 Port "nur für internen Gebrauch" und einem Projektpasswort.
Wenn ich mir so die vielen Beiträge zu meinem Fall ansehe, stelle ich fest, das neben Beileidskundgebungen wenig oder keine wirklich konkreten Lösungsbeiträge darunter sind. Dies ist wohl auch der offensichtlichen Unlösbarkeit des Themas geschuldet. Da und dort schimmert auch etwas klammheimliche Schadenfreude aus den Sätzen.
Trotzdem danke ich allen, die sich die Zeit für einen Beitrag genommen haben. Ich bin mittlerweile am vorläufigen Ende einer ausgeprägten Lernkurve angelangt.
en schöne Guress!

[BadSmiley]

Du wurdest nicht gehackt! Du schreibst dass bei dir eingebrochen wurde, obwohl seit XX Jahren die Haustüre offen stand! Warum fehlt hier das Verständnis für "Cybersecurity" so gravierend?

[AntarcticChristian]

Und ein Projektpasswort (in der ETS) hilft da auch nicht, vor weiteren Schäden zu bewahren. Einzig ein BAU Passwort / Schlüssel würde hier helfen, da es nicht von außen gesetzt werden kann.
Und natürlich sämtliche ungeschützten Zugänge von außen abschalten.

[hyman]

Hallo Theo,

Respekt verdient, dass Du hier ganz offen schreibst:

Mir ist sehr klar, dass ich selbst schuld an diesem Drama bin. Jemand von euch hat mein Verhalten als grobfahrlässig bezeichnet. Er hat wohl recht. In einem Post von euch wurde festgestellt: Lernen durch Schmerz. Recht hat der Schreiber. Dieser Prozess liegt mittlerweile hinter mir.

Trotzdem komme ich um ein paar weitere Kommentare nicht herum:

Im Jahr 2005 gabe es keinerlei Möglichkeit, eine KNX Installation gegen unbefugte Zugriffe zu schützen.

VPN wurde schon vor 2005 erfunden. Zugegeben, FritzBoxen konnten es erst ab der 7100er-Serie ab ca. 2008, viele andere Amateur-Router noch später, Profi-Geräte auch früher. Wenn man keine Möglichkeit sieht, den Fernzugriff sicher zu machen, dann lässt man ihn halt weg. Oder -- wenn man das auch nicht tut -- kümmert man sich in 20 Jahren irgendwann mal um sein System.

3671 Port "nur für internen Gebrauch"

Da wunder' ich mich schon wieder. Ich hoffe, Du hast da nicht das nächste Scheunentor aufgerissen, indem Du irgendwas am Router konfiguriert hast. Intern funktioniert normalerweise ohne was am Router freizugeben.

Da und dort schimmert auch etwas klammheimliche Schadenfreude aus den Sätzen.

Schadenfreude liegt mir fern. Ich werde nur nicht müde darauf hinzuweisen, dass man manches als Laie einfach besser lässt. Dass selbst FritzBoxen nicht immer auf Gefahren hinweisen, die mit bestimmten Konfigurationen entstehen, finde ich verbesserungswürdig. Bis das besser wird, muss man einfach wissen was man tut -- oder man lässt es bei den Default-Einstellungen, die sind einigermaßen sicher.

Wichtigste Grundregeln: "Safety by Obfuscation" ("Sicherheit durch Verschleierung") funktioniert nie auf Dauer. Und Sicherheit ohne Sicherheitsupdates auch nicht.

Grüße von Horst

[henfri]

Wenn ich mir so die vielen Beiträge zu meinem Fall ansehe, stelle ich fest, das neben Beileidskundgebungen wenig oder keine wirklich konkreten Lösungsbeiträge darunter sind. Dies ist wohl auch der offensichtlichen Unlösbarkeit des Themas geschuldet.

https://knx-user-forum.de/forum/%C3%...26#post2075326

Das fand ich sehr konkret.
Und wenn du nicht abgetaucht wärst, hätte ich dir wohl angeboten, das Skript einmal laufen zu lassen, bei dir.

[woda]

So ein KNX Sicherheitsmodul, hätte diese Art von Angriff auch vereitelt.
Damit wird jeder Programmiervorgang sofort abgebrochen.
Edit: Die Markisen hätten der Angreifer dennoch ausfahren können.

[Uwe!]

Ich muss mich Horst (@hyman) in allen Punkten anschließen.

Respekt für Deine offene Kommunikation! Aber auch ich bin mir nicht sicher, ob Du verstanden hast, was das Problem war. Das eigentliche Problem war nicht, dass Du weder in der ETS noch in den BAUs ein Passwort gesetzt hast. Hab ich auch beides nicht.

Dein Problem war, das jemand an Deinem Router die Tür zu deinem KNX-System nach außen aufgeschlossen hat, so dass sich JEDER ohne Probleme mit Deinem System verbinden konnte. Die viel zitierte offene Haustüre. DAS musst Du ändern. (Keine Portweiterleitung im Router!)

[henfri]

Theo Guldimann
Ja. Da bin ich auch nicht sicher.
Erzähl doch mal wie du das Netz jetzt abgesichert hast.
Möglichst mit Screenshots.

Oder schick uns einfach deine öffentliche IP.

Oder Scanner selbst:
https://portchecker.de/

[Tackleberger]

diesmal mit einem 3671 Port "nur für internen Gebrauch" und einem Projektpasswort.

Was heißt nun "interner Gebrauch"? Ein Projektpasswort schützt deine ETS-Datei und nicht die Anlage.

Dies ist wohl auch der offensichtlichen Unlösbarkeit des Themas geschuldet.

Das ist sehr einfach lösbar.

Viel Schlimmer finde ich jedoch, dass man innerhalb von Sekunden bei Google (höchstwahrscheinlich) deine Adresse herausfindet. Da wirds dann richtig spannend, wenn man sogar noch anhand deines Postings hier weiß, wo die Anlage steht. Gerade auch mit Blick auf deinen beruflichen Hintergrund hoffe ich sehr, dass du deine Anlage nun nach Stand der Technik gesichert oder wenigstens nicht auf anderem Weg offen gelassen hast. Willkommen im Internet.

[DerStandart]

keine wirklich konkreten Lösungsbeiträge darunter sind

Das stimmt nicht. Ich habe in #18 das Programmierschloss von Lingg und Janke empfohlen. Zumindest, was einen Schutz gegen solche Szenarien bietet.

[Dieter Koch]

Das stimmt nicht. Ich habe in #18 das Programmierschloss von Lingg und Janke empfohlen. Zumindest, was einen Schutz gegen solche Szenarien bietet.

Auf der L&B soll es wohl bei denen auf dem Stand zu erwerben sein, evtl. gibt es einen Messepreis