En la primera parte de esta serie, vimos cómo eliminar la exposición innecesaria a internet: revisar el router, proteger el acceso remoto y separar la red KNX del tráfico cotidiano.
Es un primer paso importante, pero solo es una capa de protección. Desde el acceso a los dispositivos hasta los telegramas protegidos y las credenciales del proyecto ETS, los profesionales KNX tienen varias formas de reforzar la propia instalación.
¿Trabajo terminado? No del todo.
La seguridad de la red ayuda a evitar que visitantes no deseados lleguen a la instalación KNX desde el exterior. Pero ¿qué ocurre si alguien ya tiene acceso al edificio, a la red o al propio bus KNX?
Aquí es donde empieza la siguiente capa de protección.
Proteger los dispositivos frente a cambios no deseados
Cualquiera que haya trabajado en un proyecto KNX existente sabe lo valioso que es tener acceso al proyecto ETS original. Sin él, todo se complica considerablemente.
Por eso conviene plantearse desde el principio quién debería poder reprogramar los dispositivos. Cuando los equipos y el proyecto lo permiten, la protección de acceso a los dispositivos y los bloqueos de programación pueden dificultar los cambios no autorizados.
Esto cobra especial relevancia en edificios donde los componentes KNX o los puntos de acceso al bus se encuentran en zonas accesibles para varios contratistas, inquilinos o empresas de servicios. Un hotel, un colegio o un edificio de oficinas es un entorno muy distinto a un cuarto técnico cerrado con llave en una vivienda particular.
El acceso físico también forma parte de la ciberseguridad.
La clave BCU: útil, pero requiere precaución
Para los dispositivos KNX compatibles, ETS también ofrece la opción de establecer una clave BCU. Una vez aplicada a los dispositivos compatibles durante la descarga, la clave BCU ayuda a proteger el acceso a su configuración, de modo que sin la clave correcta resulta más difícil programarlos o modificarlos sin autorización.
Esto puede aportar otra capa de protección útil, sobre todo en instalaciones existentes que aún no cuentan con dispositivos KNX Secure.
Eso sí, hay un detalle bastante importante: no pierdas la clave.
Recuperar el acceso después de haber olvidado una clave BCU puede resultar complicado y depender del dispositivo y del fabricante concretos. Por eso, la clave debe tratarse como parte de la documentación del proyecto y de la gestión de credenciales, y no como algo que el instalador introduce una vez con la esperanza de recordarlo varios años después.
Las medidas de seguridad solo son útiles si las personas autorizadas pueden seguir gestionándolas.
De proteger el acceso a proteger las comunicaciones
Las contraseñas de los dispositivos y las restricciones de acceso ayudan a controlar quién puede hacer cambios. KNX Data Secure va más allá y protege la comunicación KNX entre los dispositivos participantes.
Cuando Data Secure está activado para una función, los telegramas KNX correspondientes se autentican y se cifran. Así, a quien no disponga de la información de seguridad correcta le resulta mucho más difícil leer los datos o introducir comandos válidos en esa comunicación protegida.
Y aquí es donde la seguridad se vuelve especialmente interesante para los proyectos existentes.
KNX Data Secure se aplica a nivel de dirección de grupo. Esto significa que una instalación no tiene por qué pasar de estar totalmente desprotegida a totalmente protegida en una única gran renovación.
En su lugar, la protección puede planificarse en torno a las funciones más importantes. Eso sí, los dispositivos que participan en la comunicación protegida deben ser compatibles con la funcionalidad KNX Secure necesaria.
No todos los telegramas conllevan el mismo riesgo
Pensemos en dos funciones de un edificio grande. La primera enciende la luz de un trastero. La segunda desbloquea una entrada, desactiva una función de alarma o envía una orden centralizada que afecta a toda una planta.
Técnicamente, ambas son telegramas KNX.
Sin embargo, desde el punto de vista de la seguridad, las consecuencias de manipularlas son muy diferentes.
Esto permite a los profesionales KNX plantear las mejoras en función del riesgo. ¿Qué funciones causarían el mayor problema si alguien pudiera supervisar sus comunicaciones? ¿Qué órdenes tendrían consecuencias graves si se manipularan? ¿Dónde afectaría un uso no autorizado a la seguridad, al control de accesos, a la privacidad o a funciones importantes del edificio?
Esos son los puntos en los que tiene sentido dar prioridad a la comunicación protegida.
Así, una conversación potencialmente abrumadora sobre sustituir todos los dispositivos de campo se convierte en un plan de seguridad mucho más práctico.
Modernizar cuando surja la oportunidad
Las instalaciones KNX suelen diseñarse para una larga vida útil. Dispositivos en perfecto estado pueden seguir funcionando durante muchos años, y sustituirlos solo porque existe un modelo más nuevo puede generar residuos electrónicos innecesarios.
Por eso, las mejoras de seguridad requieren cierto criterio.
Si un actuador falla y hay que sustituirlo de todos modos, elegir una alternativa compatible con KNX Data Secure puede ayudar a preparar esa parte de la instalación para la comunicación protegida, siempre que los demás dispositivos que participan en la función correspondiente también admitan la funcionalidad KNX Secure necesaria. El mismo principio se aplica cuando se reforma una zona, se moderniza un sistema de control de accesos o se rediseña una función especialmente sensible.
Como KNX es un estándar abierto, esa elección no se limita a un único fabricante. Con cientos de fabricantes KNX que ofrecen productos compatibles, el instalador puede elegir un sustituto adecuado sin depender de la hoja de ruta de un solo proveedor.
Con el tiempo, una parte cada vez mayor de la instalación puede pasar a la comunicación protegida sin necesidad de un proyecto de sustitución completa.
Para muchos clientes, esta puede ser una forma más realista de mejorar la seguridad de manera progresiva.
La seguridad de los dispositivos también depende de las credenciales
Hay otro aspecto de KNX Secure que no hay que pasar por alto: el propio proyecto ETS.
Una vez que se introduce KNX Secure, el proyecto contiene información relacionada con la seguridad y pasa a ser una parte importante del concepto de protección. Por eso, ETS exige que los proyectos KNX Secure estén protegidos con una contraseña de proyecto.
Esto hace que una buena gestión del proyecto sea especialmente importante. La última versión del proyecto ETS debe contar con copias de seguridad adecuadas. Las contraseñas y el acceso al proyecto deben gestionarse de forma segura. Los certificados de los dispositivos y la información del proyecto no deberían quedar dispersos entre portátiles, bandejas de entrada de correo o carpetas compartidas sin pensar en quién puede acceder a ellos.
El archivo del proyecto ya no es solo la documentación de la instalación. Forma parte de su seguridad.
Piensa en capas
Es tentador buscar un único ajuste o producto que haga que una instalación sea «segura».
En la práctica, la seguridad no funciona así.
Una instalación puede tener una VPN excelente, pero ninguna protección en su comunicación KNX. Puede usar KNX Data Secure, pero estar conectada a una red IP mal configurada. Los dispositivos pueden estar bien protegidos mientras la contraseña del proyecto ETS está apuntada en un papel dentro del armario eléctrico.
Una capa sólida no compensa las debilidades en todo lo demás.
Un enfoque más sólido consiste en combinar medidas sensatas: controlar el acceso físico, proteger la configuración de los dispositivos cuando proceda, asegurar la comunicación KNX importante, salvaguardar las credenciales del proyecto y mantener una documentación adecuada.
Ninguna de estas medidas es especialmente llamativa por sí sola. Y de eso se trata precisamente.
Conclusión
Mejorar la seguridad KNX no tiene por qué empezar con una reconstrucción completa. Las instalaciones existentes pueden reforzarse con medidas prácticas como la protección de acceso a los dispositivos y las claves BCU, cuando sean compatibles. A medida que se modernizan los proyectos, se pueden introducir progresivamente dispositivos compatibles con KNX Data Secure, lo que ayuda a preparar las funciones importantes para la comunicación protegida conforme se van renovando los dispositivos necesarios.
Al mismo tiempo, el proyecto ETS y sus credenciales deben tratarse con el mismo cuidado que la propia instalación.
Para instaladores e integradores, el cambio importante consiste en empezar a ver la seguridad como parte del diseño y el mantenimiento habituales del proyecto, y no como algo que se añade después de que surja un problema. Este cambio también transforma la relación con el cliente: la seguridad no es una casilla que se marca una vez en la entrega, sino algo que hay que revisar a medida que evolucionan la instalación y el edificio que la rodea.
Ya nos preguntamos qué debe hacer una función, cómo debe comportarse y qué ocurre si falla.
Cada vez más, merece la pena añadir una pregunta más: ¿quién debería poder controlarla?
