Veröffentlicht:
15. August 2016
Kategorie:
Fachartikel
Es gibt sie, die Hacker, die in die Gebäudetechnik eindringen. Witzbolde schalten dann Licht beim Nachbarn und brüsten sich damit. Mit krimineller Energie und entsprechendem Fachwissen kann aber auch großer Schaden angerichtet werden. Deshalb ist das Thema KNX Sicherheit brandaktuell. KNX ist bisher schon den Sicherheitsansprüchen gerecht, wenn Installateure der Gebäudesystemtechnik die empfohlenen Schutzmaßnahmen gegen Manipulation beachten.
Doch mit neuen Medien wie LAN und WLAN, mit Internetzugang, drahtlosen Bedienkonzepten und Anwendungen in sensiblen Bereichen erhöht sich das Schadensrisiko durch unerwünschte Eindringlinge. Diesen und anderen Anforderungen entsprechend hat KNX neue Sicherheitskonzepte entwickelt: KNX Data Secure und KNX IP Secure. Beide basieren auf weltweit etablierten Sicherheitsprotokollen und können auch in die bestehenden KNX Anlagen nahtlos integriert werden.
Die Sicherheitsansprüche bei KNX Installationen steigen. Mit den wachsenden Anwendungsbereichen werden zunehmend kritische und vertrauliche Informationen übermittelt. Das sind zum Beispiel:
- Informationen über Verbrauchswerte, die von Dritten nicht eingesehen werden dürfen,
- eine Schließanlage, deren Signale (z. B. Türöffnungskontakte) nicht manipulierbar sein dürfen,
- KNX Geräte für kritische Funktionen, die nur mit authentifizierten Teilnehmern kommunizieren dürfen,
- der Datenschutz im Sicherheitsbereich; hier darf der Code einer Zugangskontrolle oder gar einer Alarmanlage nur verschlüsselt und nicht im Klartext gesendet werden.
Wie man Medien und Geräte von KNX Installationen künftig noch besser schützt, das wird Planer, Installateure und Gerätehersteller immer mehr herausfordern. KNX hat dazu die neuen Systemerweiterungen KNX IP Secure und KNX Data Secure entwickelt.
KNX Sicherheit bisher etabliert
Die Basis jedes KNX Schutzkonzeptes ist die sorgfältige Abschottung des Systems gegen den unberechtigten Zugriff. So dürfen nur Installateure und Nutzer physischen Zugang zu KNX Anlagen erhalten. Bei der Montage der Geräte und Verlegung der Busleitung Twisted Pair (oder IP) sind diese vor unerlaubtem Zugriff zu schützen. Für besonders sensible Bereiche wie Außenanlagen bietet sich die Bildung von separaten Linien mit aktiver Filtertabelle an. Powerline (PL)-Linien lassen sich mit Bandsperrfilter abgrenzen. Auf der sicheren Seite ist man, wenn man ungewollte bzw. für eine Funktion nicht notwendige Kommunikation durch entsprechende Konfiguration der Router und Koppler möglichst reduziert. Dann können eventuell sabotierte Parameter und eingeschleuste fremde Geräte nur innerhalb der Linie wirken. Koppelt man KNX mit Sicherheitsanlagen, sind VDS approbierte KNX Geräte oder strikte Trennung durch Schnittstellen die Lösung. Bei Nutzung des Internetprotokolls KNX IP sollte ein getrenntes LAN oder WLAN selbstverständlich sein. Zudem sind die üblichen Sicherheitsmechanismen für IP-Netzwerke anzuwenden. Geht es direkt ins Internet, ist die KNX Kommunikation entsprechend zu schützen. Auch hier hat KNX mit sicheren KNX IP Secure-Schnittstellen eine Antwort. Zusätzlich wird künftig auch eine neue von KNX spezifizierte Schnittstelle via Webservices die Kommunikation zwischen KNX und Internet noch sicherer organisiert werden können.
Doppeltes Schutzkonzept zur KNX Sicherheit
Besonders mit den Möglichkeiten der Fernanbindung von KNX Installationen über das Internet oder/und dem Drahtlosnetzwerk WLAN werden zusätzliche technische Sicherungsmaßnahmen notwendig. Durch Zugriff auf Geräte und Medien besteht die Gefahr der Manipulation des Datenverkehrs. Es ist also notwendig, die übertragenen Informationen auf jedem Medium (KNX TP, PL, RF, IP) gegen Änderungen oder gegen Aufzeichnung eines Telegramms und dessen manipulierende Wiederholung durch Eindringlinge zu schützen. Der Fernzugriff über das Internet auf ein KNX Bussystem sollte so abgesichert werden können, dass die Bedienung und Konfiguration von Busgeräten nur durch nachweislich Berechtigte erfolgen kann. Ein wirksamer Schutzmechanismus gegen Manipulationen ist, wenn nur Busteilnehmer miteinander kommunizieren können, die sich gegenseitig als Teils des Bussystems erkennen. Diesen und anderen Anforderungen entsprechend hat KNX neue Sicherheitskonzepte entwickelt: KNX Data Secure und KNX IP Secure. Beide verwenden Mechanismen, wie sie zum Beispiel zur sicheren Übertragung von Daten zwischen Elektrozählern und Energieversorgern (EVU) Verwendung finden.
Verschlüsselte Telegramme
Werden Daten über das Internet gesendet, lässt sich die Verbindung zwischen dem Sender- und Empfängernetzwerk durch eine VPN-Verbindung schützen. Damit ist aber nicht sicher, ob der Sender autorisiert ist, das Bussystem zu konfigurieren oder Daten mit ihm auszutauschen. Hier bietet KNX IP Secure zusätzliche Sicherheit, indem das KNX IP Protokoll so erweitert wird, dass die übertragenen Daten vollständig verschlüsselt sind. Diese lässt sich mit kleinem Zusatzaufwand besonders auch in bestehenden Anlagen umsetzen. Wenn Daten nur lokal über KNX gesendet werden, genügt es, die entsprechenden Anwendungsdaten zusätzlich durch eine Erweiterung des Busprotokolls zu schützen. Der spezifizierte Schutzmechanismus KNX Data Secure bewirkt, dass unabhängig vom Medium ausgewählte KNX Telegramme authentifiziert und/oder verschlüsselt werden. Die Schlüssel werden über die ETS den Geräten bzw. Objekten zugeordnet. Da in einem KNX System gesicherte und ungesicherte Anwendungen möglich sind, müssen nicht alle Geräte gesichert sein. Auch vorhandene Systemkomponenten kann man belassen. Somit hält sich der Aufwand in Grenzen und wird die Investition in die KNX Bustechnik gewahrt.
Sicherheitsprotokoll weltweit etabliert
Mit den neuen spezifizierten Schutzmechanismen KNX Data Secure und KNX IP Secure lassen sich künftige gesicherte Kommunikationskanäle zwischen den KNX Teilnehmern aufbauen. So wird verhindert, dass ein Angreifer durch Einspeisen manipulierter Meldungen Kontrolle über die Anlage bekommt. Dazu ist jede Meldung mit einem Authentifizierungscode versehen. Der Versuch, Meldungen aufzuzeichnen und diese später zum Zweck einer Sabotage zu senden, wird durch automatische Vergabe von Sequenznummern bzw. einer Sequenzidentifikation verhindert. Schließlich macht die Verschlüsselung des Netzwerkverkehrs KNX Installation nahezu unangreifbar. Das Verfahren basiert auf weltweit etablierten Sicherheitsprotokollen.
Einführung mit ETS5.5
Nicht zuletzt liegt es an den Planern, Installateuren und Systemintegratoren, dass Hacker keine Chance bekommen. Sie müssen die Schutzmaßnahmen kennenlernen und umsetzen. Bei der Übergabe der Anlage und durch regelmäßige Überprüfung im Betrieb lassen sich die Anlagenfunktionen und das angestrebte Sicherheitsniveau sicherstellen. Die neuen Sicherheitsfunktionen, insbesondere für den Zugriff über das Internet, können in bestehende Anlagen durch Verwendung von Schnittstellen mit den neuen KNX Sicherheitsmechanismen eingeführt werden. KNX IP Secure und KNX Data Secure werden ab der neuen ETS5.5 auch in der Planungs- und Inbetriebnahmesoftware unterstützt.
