Sicherheit Smart homes

[seppm]

Verstehe es nun besser!

Da muss ich jetzt aber ein wenig ausführlicher Antworten Markus :-)

Dieses Bayern ist schon erstaunlich- bis vor ein paar Jahren waren da Plumpsklos State of the Art und heute gibt es da anscheinend böse Buben die mit feinster Funktechnik und Ingenieurswissen durch die Lande ziehen und Häuser durch Rauchwarnmelder knacken

Du täuscht Dich, die Plumpsklos sind alle noch in Betrieb und im Winter ist das einfach toll!
Und die bösen Buben mit KnowHow sind lauter Zugereiste weil ja die Einheimischen nur Ahnung von Ackerbau und Viehzucht haben :-)

Frage 1: Welches KNX-Hager-Funk-Interface gibt es welches die ETS als KNX-Programmierinterface erkennt so dass man dadurch von der Hager-Funkseite her durch den Medienkoppler auf den KNX zugreifen könnte.

Frage 2: Welche KNX-Events könnte man von der Funkseite her durch den Medienkoppler triggern außer denen die im Medienkoppler angelegt sind?

Frage 3: Für wie groß erachtest Du die Wahrscheinlichkeit dass jemand speziell für die paar Häuser auf der Welt die Hager Funkbus an KNX einsetzen einen Hack baut der von der Funkseite her quasi beliebigen Zugriff auf die KNX-Seite ermöglicht, nach meinem Verständnis würde das bedeuten dass er dem Medienkoppler diverse Sachen beibringen müsste die der von Haus aus sicher nicht kann? Und dieser Jemand findet dann auch noch zielsicher die paar Häuser die das nutzen?

Frage 4: Wenn Du zwischen KNX und Hager KNX-Funk-Medienkoppler noch einen zusätzlichen KNX-Koppler setzt - welche physikalische Adresse bekäme der zusätzliche Koppler dann, welche physikalische Adresse bekäme dann der Medienkoppler und wie wäre das mit der festgelegten, dreistufigen KNX-Topologie vereinbar?

Zu 1: Verstehe, gibt es wohl nicht
zu 2: Keine interessanten
zu 3: Zu finden wer das nutzt ist nicht so schwer, da kenn ich Leute die haben Zugriff auf solche Daten, aber sicher ist es so das der Käuferkreis sehr überschaubar ist und sich ein Hack kaum lohnt solange es 1000e viel einfachere und schnellere Aktionen gibt die auch wenig bis kein KnowHow erfordern.
zu 4: dann hätte der neue Koppler wohl die .0 und dann wäre die für den Medienkoppler nicht mehr frei. Kenn mich leider noch nicht gut aus mit den KNX Specs. Ist die erste Linie die ich selbst dazu gemacht hab

Wenn man sich Gedanken über die Sicherheit seines Hauses macht ist das gut und recht, nur sollte man an den richtigen Stellen ansetzen - und der KNX (bzw. Gebäudeautomation) spielt da (im Einfamilienhaus) eher eine untergeordnete Rolle. Solange man 99,9 % der deutschen Einfamilienhäuser in ca. 15 Sekunden mit einem grossen Schlitzschraubendreher aufmachen kann, solange 99 % der Einfamilienhäuser keine Gebäudeautomation haben, solange es kein Tooling gibt welches unauffällig auf z.B. einen Smartphone läuft und einen mit der Schraubendrehermethode (in Geschwindigkeit und Zuverlässigkeit vergleichbaren) Zugang zu fremdem Eigentum ermöglicht und solange die bösen Buben intellektuell auf dem Niveau "Hauptschule nach der 6. Klasse verlassen" unterwegs sind brauchen wir uns über die Gebäudeautomation als Angriffsvektor eher wenig Sorgen machen.

Was man halbwegs bezahlbar machen kann, hab ich getan (Tür-Fenster Mehrfach-Verriegelungen, Zapfen etc.), alles wird gut beleuchtet, die BWMs sind auch grad in Installation, IP-cams sind bestellt
Nur die Selbstschussanlage aus USA hängt jetzt schon 3 Monate am Zoll, die scheinen da ein wenig kleinlich in Bayern ;-)
Weiters hilft gutes Einvernehmen mit den Nachbarn deren Mitaufmerksamkeit nicht zu unterschätzen ist (falls sie einen mögen). Und sicher schaden auch unsere 2 grossen Hunde nicht die Tag und Nacht ihre Runden am und im Haus drehen!

Danke für Deine ausführliche Antwort! Hat mir in der Tat geholfen das besser einschätzen zu können, auch in Richtung Regierung.
Und es hat offensichtlich zu einer intensiven Diskussion angeregt. Sich Gedanken zu machen hilft uns ja am Ende allen.
Ausser den zugereisten bösen Buben!

Schöne Grüsse
Seppm

[Klaus Gütter]

Die KNX hat dazu unlängst ein Paper veröffentlicht:
http://www.knx.org/media/docs/downlo...n-Paper_de.pdf

Gruß, Klaus

[MarkusS]

Lieber Klaus,

das ist doch wieder gequirlte Sch**sse was da aus Brüssel kommt.

Sorry, ich kann das nicht anders sagen.

Da berühmt man sich in bewährter Manier (das habe ich in den letzten Monaten mehrfach aus Brüssel zu hören bekommen, zuletzt von Hr. Parthoens) eines Sicherheitsmechanismus den es derzeit ausser auf dem Papier (im Standard) nirgends gibt:

Frage von mir: Welche Geräte unterstützen denn KNXnet/IP Secure und KNX Data Security?

Antwort der KNX Association: Uns ist kein Gerät bekannt, das ist Sache der Hersteller.

Frage: Welche Prüflabore können Geräte nach KNXnet/IP Secure und KNX Data Security prüfen / zertifizieren?

Antwort ... : Das ist uns nicht bekannt, bitte wenden Sie sich an die Prüflabore.

Frage: Bis wann wird es möglich sein, die KNXnet/IP Secure- und KNX Data Security-Funktionen in der ETS zu konfigurieren.

Antwort ...: Dazu gibt es keinen Zeitplan.

Frage: Wird KNXnet/IP Secure und KNX Data Security zukünftig in den normalen Schulungen mitgeschult oder wird es dafür einen eigenen Kurs geben?

Antwort ...: Bitte wenden Sie sich an die Schulungsstätten.

Nach aussen ist es natürlich ganz toll wenn man irgendwo im Standard mal was zu KNXnet/IP Secure und KNX Data Security geschrieben hat. Nur ist es in meinen Augen schlicht verlogen, so zu tun als ob man das nur einschalten / konfigurieren müsste um dann mehr Sicherheit zu haben - es ist schlicht unmöglich das einzuschalten / zu nutzen weil es keine Geräte am Markt gibt die das können.

Gelegentlich frage ich mich ob das in Brüssel nur eine reine Marketingveranstaltung ist.

[Klaus Gütter]

Hallo Markus,

Dazu gibt es keinen Zeitplan.

Doch - offizielle Aussage der KNX: "In der ETS 5.5 (April 2016) werden diese Mechanismen unterstützt werden".

Gruß, Klaus

[MarkusS]

Na prima, das ist neu.

Dann weiss ich ja schon was auf der L+B 2016 das grosse Thema auf dem Stand der KNX Association sein wird.

[tuxedo]

Gelegentlich frage ich mich ob das in Brüssel nur eine reine Marketingveranstaltung ist.

Was denn sonst? Wenn mal auf G+ schaut was da von der KNX Assoc. so alles gepostet wird: Infoveranstaltung hier, Präsentation dort...

Mich wundert es nicht.

Sinnvoll wäre es vielleicht KNX seitens Brüssel zu reglementieren. Vielleicht so: Alle Geräte ab Zeitpunkt XYZ müssen den Sicherheitsstandard FOOBAR drin haben, sonst gibt es keine Zertifizierung mehr. Zum Wohle alle...

Damit könnte man vielleicht sichere Geräte auf den Markt drücken. Aber von alleine werden da die Hersteller nicht aktiv werden. Vorher machen die sicherlich "ihr eigenes Ding".

----------

Ich selbst werden den KNX IP Teil von restlichen LAN/WLAN trennen und für den Außenbereich einen LK einsetzen. Mehr sehe ich da aktuell nicht...

[supermaz]

Nur werden wir Bestandskunden davon sowieso nichts haben. Ich werde bestimmt nicht meine ganzen KNX-Komponenten austauschen. Und ich denke das wir auf Firmware-Updates vergeblich hoffen können.

[tuxedo]

Nur werden wir Bestandskunden davon sowieso nichts haben. Ich werde bestimmt nicht meine ganzen KNX-Komponenten austauschen. Und ich denke das wir auf Firmware-Updates vergeblich hoffen können.

So wird's aussehen. Aber das ist in vielen anderen Bereichen in denen eine lange abwärtskompatibilität gegeben sein muss (IT in der Medizin z.B.) gleichermaßen. Dort gibts ebenfalls tausende Seiten Spec.. Und von "neuem" profitieren - wenn es irgendwann mal von einem Hersteller implementiert wird - nur die neuen Installationen/Geräte. Die alten gehen dabei leer aus.

Bei der Hausautomation wird das nicht viel anders sein. Und Firmwareupdates... Ich schätze mal dass die wenigsten Hersteller soviel Speicherreserven in ihren Geräten haben um sowas noch nachrüsten zu können.

[Axel]

Ich schätze mal dass die wenigsten Hersteller soviel Speicherreserven in ihren Geräten haben um sowas noch nachrüsten zu können.

Das wird der Hauptgrund sein!

Grundsätzlich bin ich glücklich, dass in der Richtung was passiert und schon konkretes gibt.

[tuxedo]

Grundsätzlich bin ich glücklich, dass in der Richtung was passiert und schon konkretes gibt.

Was passiert denn? Und was gibt es denn schon konkretes? Bisher habe ich nur Theorie gesehen... Hab wenig Hoffnung dass sich das in den kommenden 5 Jahren ändern wird.

Und falls ich nachrüsten sollte, dann wohl nur für den Außenbereich. Das wären nicht viele Geräte. Drinnen hab ich's selbst im Griff. Da müsste/wollte ich nix nachrüsten.

[Axel]

Ich sehe es so, dass wenn es im Standard nun endlich steht und die ETS unterstützen wird, dann auch Produkte kommen werden. Ähnliches haben wir mit KNX RF doch gesehen. Allerdings hallt alles sehr langsam.

[S. De Bruyne]

Lieber Klaus,

das ist doch wieder gequirlte Sch**sse was da aus Brüssel kommt.

Sorry, ich kann das nicht anders sagen.

Da berühmt man sich in bewährter Manier (das habe ich in den letzten Monaten mehrfach aus Brüssel zu hören bekommen, zuletzt von Hr. Parthoens) eines Sicherheitsmechanismus den es derzeit ausser auf dem Papier (im Standard) nirgends gibt:

Frage von mir: Welche Geräte unterstützen denn KNXnet/IP Secure und KNX Data Security?

Antwort der KNX Association: Uns ist kein Gerät bekannt, das ist Sache der Hersteller.

Frage: Welche Prüflabore können Geräte nach KNXnet/IP Secure und KNX Data Security prüfen / zertifizieren?

Antwort ... : Das ist uns nicht bekannt, bitte wenden Sie sich an die Prüflabore.

Frage: Bis wann wird es möglich sein, die KNXnet/IP Secure- und KNX Data Security-Funktionen in der ETS zu konfigurieren.

Antwort ...: Dazu gibt es keinen Zeitplan.

Frage: Wird KNXnet/IP Secure und KNX Data Security zukünftig in den normalen Schulungen mitgeschult oder wird es dafür einen eigenen Kurs geben?

Antwort ...: Bitte wenden Sie sich an die Schulungsstätten.

Nach aussen ist es natürlich ganz toll wenn man irgendwo im Standard mal was zu KNXnet/IP Secure und KNX Data Security geschrieben hat. Nur ist es in meinen Augen schlicht verlogen, so zu tun als ob man das nur einschalten / konfigurieren müsste um dann mehr Sicherheit zu haben - es ist schlicht unmöglich das einzuschalten / zu nutzen weil es keine Geräte am Markt gibt die das können.

Gelegentlich frage ich mich ob das in Brüssel nur eine reine Marketingveranstaltung ist.

You may have been dissappointed by the answers, but they may have been correct. You were polling directly to ongoing development at any manufacturer, which is of course confidential. It is up to the manufacturers to inform the customers on their strategic product development plans. KNX "Brussels" must remain neutral and may not reveal possible confidential information. Additionally, the presenter may not be aware of current testing that is going on. This is most likely the most correct possible answert you could get.

[makki]

Ei,ei,ei.

Also mal wieder ein "halbsachlicher" Beitrag..
- Also "Steckdose" (= PM aufgeschraubt, Frage: warum habe ich im Aussenbereich nur konv. 230V PM, kein grünes KNX?)
- KNX/TP1 und KNXnet/IP sind nunmal völlig sicherheitsfrei, Stand heute, das ist bekannt seit es existiert. Mindestens aber seit ich das seit 2007 mehrfach bei jeder Gelegenheit angesprochen habe.
Das war & ist ein Design-Fehler. Ebenso bei KNX/RF.

KNX(/Net-IP)-Secure (seit 4J im Entwurf) schaffen mit bekannt unsicheren Shared-Secrets eine gewisse Pseudo-Sicherheit.
Bis das aufm Markt ist, kann der 13J Nachbarsjunge seiner gleichaltrigen Freundin nach 1-2h Einweisung das auch knacken, wenn er physikalischen Zugriff auf den PM hat.
Von Budgets auf Geheimdienst-Niveau sprechen wir da noch lange nicht, es genügt ein 40€ TP-Link (gibts mit Akku) und ein 8€ TP-UART.

Kommen wir zu den positiven Aspekten:
- Einbrecher benutzen 100% einen einfachen, grossen Schraubenzieher oder ein Brecheisen, um die Terassentür aufzumachen, nicht KNX Know-How.
- Fähige Systemintegratoren schützen davor (kein KNX im zugänglichen Aussenbereich, konv. BM/PM)
- externe Zugriffe nur per gesichertem VPN (o.ä.); Zertifikate, nix PW..

Aber Security-technisch ist da einiges im argen, in diesem Punkt hat der Thread durchaus seine Berechtigung, weil es oft falsch gemacht wird..

Makki

P.S.: Eigentlich habe ich mir fest vorgenommen, dazu nichts mehr zu schreiben, weil es seit Jahren innerhalb und ausserhalb der Branche eh auf taube Ohren stösst.

[makki]

Frage: Bis wann wird es möglich sein, die KNXnet/IP Secure- und KNX Data Security-Funktionen in der ETS zu konfigurieren.

Hat Joost Demarest auf dem KNX-Kolloquium beim ZVEI vor wenigen Tagen für das nächste Major-Release der ETS angesagt! (das ist ja kein petzen, war eine öffentliche Veranstaltung, oder?)

PS: Ansonsten sind wir glaube ich 100% einer Meinung..

-> Liebe Elektro-Branche & Konnex: macht endlich hinne, sogar das bereits geknackte eQ3 (Homematic/RWE) ist sicherer als KNX(/RF)..

Makki

[djtark]

immer wieder Thema

Warum immer wieder das selbe Thema ?

Lasst Eure grünen Kabel (KNX) innerhalb der Gebäudehülle.
So macht Ihr das doch auch mit dem Ethernet.
Externen Zugang ins Heimnetzwerk nur über VPN - das kann sogar Eure Fritzbox.

Dann sollte das im Privatbereich (WLAN mal aussen vor) rein physikalisch schon mal gut passen.....