Großes KNX-Kolloquium des ZVEI in Frankfurt/Main am 09. November 2012

[AScherff]

Dieses Fachforum des ZVEI steht unter dem Motto „Gebäudeautomation ist KNX – Sicherheit für die Zukunft“.

Hans-Joachim Langels, Leiter der KNX Task Force IP, wird über die Weiterentwicklung des KNX Protokolls berichten und wie sich KNX gegen einen „Angriff von außen“ wappnet.

Des Weiteren berichtet Diplom-Ingenieur Lutz Steiner von der Technischen Universität Darmstadt über ein zukunftsweisendes Projekt, über intelligente Gebäudetechnik, Smart Grids, Dezentrale Energieerzeugung und Elektromobilität.

Es gibt viele Informationen zum Thema Sicherheit und KNX, die Podiumsdiskussion zur Energiewende als „neue Dimension für KNX“ und einen informativen wie unterhaltsamen Dialog mit dem Sachverständigen Marcel Aulenbach und dem Rechtsanwalt Rainer Hinkes zum Thema „Wer haftet wofür?“.

Als weiteren Höhepunkt werden vier Lizenzen der ETS 4 Professional verlost.

Der anschließende Stehempfang lässt Raum für den fachlichen Austausch.

Hinweis:
Aufgrund des großen Interesses bitten wir um frühzeitige Anmeldung.
Anmeldung ausschließlich online unter: www.knx.de

[makki]

..KNX Task Force IP, wird über die Weiterentwicklung des KNX Protokolls berichten und wie sich KNX gegen einen „Angriff von außen“ wappnet.

Na da bin ich ja mal echt gespannt, beim letzten Vortrag in Pamplona wurde ich für meine Fragen nach Security oder gar solch absurden Sachen wie IPv6 noch grob ausgelacht.. Klar, ist ja auch alberner Kindergarten, zu denken das KNXnet/IP Teil des realen, globalen Netzwerkes sein könnte
Schau mer mal..

Danke, ist absolut nicht gegen Alfred gemeint! Termin ist notiert..

Edit: Uuups, das war noch ein anderer Vortrag, der vermutlich geändert wird

Makki

[makki]

Es war (mal wieder) sehr informativ und gut!

An der Zukunft von KNX* Secure hege ich unter Missachtung des gegeben Protection Profile des zuständigen BSI nun meine starken Zweifel, das ist schädlich für KNX diesen extremen Wachstumsmarkt mit einem Sicherheitstechnisch minderwertigen Vorschlag zu besetzen, aber dafür lasse ich mich gerne noch ein paar Jahre mehr auslachen, bis die Elektro-Industrie erkennt das sehr wohl das BSI bindend ist..
Und das kein Sandkasten-Spiel, sondern Botnetze hier&jetzt realität sind.
Die Analyse war gekauft, so gehts IMHO in die Sackgasse aber wir werden sehen..

Makki

[Ralf Engels]

An der Zukunft von KNX* Secure hege ich unter Missachtung des gegeben Protection Profile des zuständigen BSI nun meine starken Zweifel, das ist schädlich für KNX diesen extremen Wachstumsmarkt mit einem Sicherheitstechnisch minderwertigen Vorschlag zu besetzen, aber dafür lasse ich mich gerne noch ein paar Jahre mehr auslachen, bis die Elektro-Industrie erkennt das sehr wohl das BSI bindend ist..
Und das kein Sandkasten-Spiel, sondern Botnetze hier&jetzt realität sind.
Die Analyse war gekauft, so gehts IMHO in die Sackgasse aber wir werden sehen..

Makki

Als KNX Hersteller & Mitglied kannst du in der Arbeitsgruppe IP / Secure mitarbeiten. Es hilft nicht hier den Nostradamus zu spielen. Wenn Du meinst es läuft dort etwas nicht richtig bring dein Wissen mit ein!
Gruß Ralf

[Voltus]

Und das kein Sandkasten-Spiel, sondern Botnetze hier&jetzt realität sind.

Das kann ich bestätigen. Unser Shop ist bereits 2 mal durch Botnetze inklusive Erpressungsversuch angegriffen worden.

Jeder sollte sich Gedanken zur Sicherheit machen. Da KNX in vielen Unternehmen und öffentlichen Gebäuden eingesetzt wird, ist es eine potentielle Angriffsfläche.

[makki]

@Ralf: nun, ich bin noch nicht eingeladen oder gefragt worden. Soll ich mich nun bewerben? Bei anderen Gelegenheiten, z.B. in Pamplona wurde ich für die Frage nach der Zukunft von KNXnet/IP mit IPv6 z.B. nahezu ausgelacht - vom vortragenden.. nicht das ich das jetzt für dringend halte, aber man sollte dafür mindestens einen Plan in der Tasche haben.. Ebenso wie ich die letzten 5J für AAA (vereinfacht gesagt: Verschlüsselung) ausgelacht wurde - plötzlich ist das aber ein Top-Thema..
Nun hat man ohne Plan sich halt was "ganz eigenes" ausgedacht ohne die member zu fragen, ohne Konsultation - das ging in der Geschichte immer in die Hose, gucken wir mal kurz auf GSM &Co..

Man wird jedoch vor vollendete Tatsachen gestellt, ein Prozess mit öffentlicher Diskussion der Beteiligten (Member!) fehlte komplett - wie in vielen anderen Bereichen üblich, ich kann mich an keine Umfrage der Konnex unter den Herstellern erinnern, was sie von diesem Draft halten? Komisch..
Da gibts organisatorisch IMHO noch massig aufholbedarf.

Ich besuche fast jede Veranstaltung, bei letzter Gelegenheit war die Hand mehrfach oben aber keine Möglichkeit zur Stellungnahme und jegliches Argument war bereits im Vorfeld geschickt entwertet (haben wir halt, gesharte Keys, ist aber halt so, muss so sein.. welcher Laie will da einem Professor widersprechen.. - ich hätte es..) - du warst dabei.. Marketingtechnisch gut gemacht - aber praktisch: naja..

Makki

Edit: so nebenbei: wir sind primär ISP, u.a. auch RIPE-Mitglied und ich sehe die dort ins lächerliche gezogenen "Schwarmangriffe" jeden Tag "ganz live", ohne Science-Fiction.. Das ist mir egal, weil ich mit 2 (bald 3) GigE Upstreams ein paar Mittel und Wege dagegen habe aber "Otto-Normal(-SI)" hat in dem moment einfach total verloren.. Das VPN geht nicht mehr weil es ohne ta.key abkachelt, der KNX ist tot, kein schönes Szenario..

[S. De Bruyne]

KNX Security has been designed to allow compatibility with existing devices on existing networks and with existing Couplers.

To the work of the Task Force, with the approval of the KEB and KTB, members of TF IP, KSG and other KNX member companies that have shown interest are informed.

[EIB1NOOB]

To the work of the Task Force, with the approval of the KEB and KTB, members of TF IP, KSG and other KNX member companies that have shown interest are informed.

Well looks like that makki is obviously uninteressted in this topic from your poinit of view?

Sorry makki, I´m don´t want to generate more work for you... ;-) but CNR.

Regards Torsten.

[S. De Bruyne]

I do not know the company for which Mr Makki works. If he is working for a KNX member company, it is sufficient to contact KNX Association and show interest; you can get the papers, discussion and even participate in the meetings. If not, ones whishes can possibly be expressed through contacts with the member companies, or through KNX Association directly.

It can however not be said that the KNX member companies have not been informed or consulted: this is a topic that is supported in KNX Association with the largest base since long.

[ctr]

Ich hatte mich zum Sicherheitsthema ja auch bei dem Kolloquium im letzten Jahr zu Wort gemeldet (dieses Jahr habe ich es leider nicht geschafft) und kann auch sagen das ist keine bloße Theorie mehr.

Ich sehe jeden Tag wie Hersteller von Steuerungssystemen (nicht KNX, eher SPS) ihre buggy Software (Adminoberfläche per HTTP ohne Passwort, HALLO?) verteidigen, indem sie eine saubere Netztrennung propagieren. Da hört aber schon bei den Industriekunden nur die Hälfte zu, vom Privatanwender will ich hier mal noch gar nicht reden... Steuerungsnetze *werden* nunmal mit öffentlichen und halb-öffentlichen Netzen gekoppelt, da muß man mal von der Denke wegkommen dass da schon keiner rankommt.

Aus meiner Sicht ist für eine Übergangszeit (wenn man damit Kompatibilität mit bestehender Technik erreichen will) nichts gegen einen Kompromiss einzuwenden und wenn dieser Shared Keys enthält... aber das sollte doch bitte nicht die Zieldefinition sein <kopfschüttel>

[S. De Bruyne]

What aspect of the KNX Secure solution are you exactly referring to by "shared keys"?

[ctr]

I was just referring to Makkis note about the usage of shared keys as I haven't seen the standard yet. We are just a KNX customer, no partner or member so I don't have any access to those resources. (This has also been criticized by Makki)

[makki]

I do not know the company for which Mr Makki works.

My real name is in my Profile here since ever, klicking on my name it wouldnt be that hard to find out..
Though, I can save you the time: Michael Markstaller, Elaborated Networks GmbH

It can however not be said that the KNX member companies have not been informed or consulted: ..

Well we are KNX-Member since at least 2 years (+)
I don't remember to get asked or informed on any of these topics until the (Topic) presentation..
Maybe I missed it, but usually I read my emails

KNX Security has been designed to allow compatibility with existing devices on existing networks and with existing Couplers.

Thats understood and fine so far but there is no compatibility either (or in other words: cannot be) with existing equipment (No existing IPR will understand proprietary encrypted KNXnet/IP telegrams, so why bother!
Full compatibility is impossible so let's just start over, isn't it?

To the work of the Task Force, with the approval of the KEB and KTB, members of TF IP, KSG and other KNX member companies that have shown interest are informed.

Maybe I also missed that..

What aspect of the KNX Secure solution are you exactly referring to by "shared keys"?

On KNXnet/IP Multicast, which is a pain in itself, there can be only a shared key which is already by design broken - on Topic we talked about establishing KNX for 50 years in the "HAN" (which is the second big fault, this network has to be isolated from the Users' LAN!)


Getting back to Ralf's (valid!) critics: I'd want to work with you, just to make sure: I love KNX but I have to pinpoint if it goes wrong to show my love:

I could only offer it, working 16h a day with TCP/IP for 20 years and at least 10yrs with IPSec, TLS, CA's etc.pp.

I obviously won't get a price for the most KNX products (0 - besides reporting ~20 Bugs in eibd to make it fully usable) but really have some experience in this ugly IP/network-stuff

My biggstest fear is that this - well - nice suggestion will not meet the requirements of the BSI protection profile and therefore be obsolete - again: though pro KNX!
If I would know nothing about KNX and be asked about: I'd call it sluggish, at best..

So if wanted, I won't refuse to work with - not against but this turned out to be at least complicated so far..
My goal is to get KNX forward but with this, sorry, as external entity I'd have to admit: it's trial & error.
Again in other words: It's not very wise trying to establish things where anybody already knows how to hack them..

Michael

[S. De Bruyne]

I think we better take this discussion out of this board, so, you can e-mail me.
NOTE I did check your public profile, but it does not seem to mention your company name.
I assume that the points of doubt and critics you may have, will also be brought by other people. Therefore, I invite you to put them down on paper, so that we can answer to these, see how these are dealt with, or, can be improved.

[makki]

No issue, agreed, eMail is sent..

Michael