Allgemeine Fragen zu Data Security und Security Proxy

[Lxtec]

Hallo zusammen,

ich habe eine Altanlage, (Veranstaltungslocation, Umbau 2015) die nun erweitert wird. LKs habe ich wegen Long-Frame-Support gegen Weinzierl 650.1 getauscht. Ich habe einige Fragen zu KNX-Secure, da ich versuche nun mindestens alles was neu hinzu kommt Secure zu machen.

• Ich habe es so verstanden, dass eine GA immer nur entweder Secure oder plain kommunizieren kann, Secure geht also nur, wenn alle Geräte das unterstützen. Außerdem kann das Kommunikationsobjekt von einem Gerät immer nur entweder Secure oder plain kommunizieren. Wie löst ihr das mit Zentralfunktionen?
  Hier muss ich ja alte und neue Geräte zusammenwerfen. Erstellt ihr hier zwei GAs ("Bel. zentral secure" und "Bel. zentral plain") und macht in der Visu daraus einen Button? Oder nutzt ihr Secure Logikmodule um aus einem Input-Telegramm zwei Output-Telegramm (einen Secure und einen plain) zu machen? Gibts überhaupt Secure Logikmodule?
• Meine Weinzierl LKs unterstützen wohl Security Proxy. Ich verstehe ehrlicherweise den Nutzen/die Funktion nicht so ganz. Es wird immer von Mischbetrieb geredet. Aber ich kann doch auch heute schon in einer Linie zwei Secure und zwei alte Geräte platzieren und die zwei Secure über Secure-GAs miteinander kommunizieren lassen und die anderen eben Plain. Und dann sind die Telegramme der Secure-Geräte verschlüsselt und die anderen nicht, oder?
  Also wie genau ist hier denn der Anwendungsfall? Und wie sehe ich das in der ETS bzw. was muss ich einstellen, ich würde diese Funktion mal gerne testen. Wenn ich ein altes Gerät auf einer Linie mit einem Secure Gerät in einer anderen Linie (also mit LK/Security Proxy dazwischen) verbinde, ist die GA immer noch nicht secure in der ETS. Mache ich was falsch oder stehe ich auf dem Schlauch.

Habt ihr sonst noch paar gute Tipps wie man mit solchen Mischinstallationen umgeht.

Besten Dank
Alex

[Klaus Gütter]

Hallo Alex,

Ich habe es so verstanden, dass eine GA immer nur entweder Secure oder plain kommunizieren kann, Secure geht also nur, wenn alle Geräte das unterstützen.

Das ist nicht 100% korrekt und der Unterschied hängt genau mit Security Proxies zusammen.
Richtig müsste es heißen "eine GA kann innerhalb einer Security Domain nur entweder Secure oder plain kommunizieren".

Was ist eine Security Domain? Jeder Teil der Topologie, der von anderen Teilen durch Security Proxies getrennt ist.
Beispiel: Wenn nur der LK 1.1.0 ein Security Proxy ist, bildet die Linie 1.1 eine Security Domain, der ganze Rest der Installation eine zweite.

Damit kann man leicht bei Erweiterungen bestehender Installation auf der neu hinzukommenden Linie Sicherheit benutzen. Extrem nützlich, wenn es sich um RF oder öffentlich zugängliche Bereiche handelt.

Wenn du das mal in der ETS anschaust: sobald du eine GA auf einer Seite des Security Proxies mit einem plain Gerät und auf der anderen mit einem secure Gerät verbindest, hat diese GA "mixed security" (graues Symbol). Schau dir dann man die Filtertabellen-Vorschau des Security Proxies an, dann siehst du, dass diese GA in der Filtertabelle ist und zusätzlich zur Übersetzung plain <-> secure konfiguriert.

Gruß, Klaus

[HubertUnterfranken]

Beispiel:
Wir verwenden eine Gruppenadresse über einen Linienkoppler/Segmentkoppler mit Secure Proxy Funktion bei einem Gerät welches Secure nicht unterstutzt und einem Gerät welches Secure unterstützt:

NichtSecuresGerät -> Linienkoppler(Mit Secure Proxy) -> SecuresGerät

Dann wird "links" vom Linienkoppler unverschlüsselt und "rechts" vom Linienkoppler verschlüsselt kommuniziert bei Verwendung der gleichen Gruppenadresse (Damit könnte der Begriff "Mischbetrieb" gemeint sein).

Dann sieht die Gruppenadresse so aus:
image.png
Hier noch die Filtertabelle:
image.png