18.01.2022 Sécurité : les dangers du piratage et comment les prévenir au moyen de compétences informatiques de base
Les professionnels KNX Andy Ellis et Julio Díaz García signalent les dangers d'un système non sécurisé, et expliquent comment les prévenir en investissant dans des compétences informatiques de base.
Si votre système KNX est connecté au monde extérieur, êtes-vous sûr qu'il est sécurisé ? Si tel n'est pas le cas, quelles sont les conséquences possibles ? Discutons d'abord avec Andy Ellis de son expérience d'un cas récent de piratage d'une installation KNX. Nous poursuivrons avec des conseils de Julio Diaz sur la manière d'éviter cette situation au moyen de mécanismes informatiques appropriés pour la communication.
Que se passe-t-il si votre système n'est pas sûr ?
Andy Ellis : La première chose à laquelle vous devez penser en matière de violation de sécurité est la capacité du pirate à mettre la main sur des données du bus KNX. Je m'interroge sur ce qu'une personne ferait de ces informations, mais le fait est que sans système KNX sécurisé, des sources externes peuvent avoir accès à ces données.
Deuxièmement, dans un système non sécurisé, il est possible qu'un tiers envoie des données au système. Cela implique la possibilité de corrompre la programmation ou, pire encore, un ou plusieurs composants donnés. À ce propos, je pense qu'il convient de vous faire part de mes expériences d'événements récents.
Nous avions reçu un appel d'un site qui avait perdu le contrôle de l'éclairage, ce qui arrive, ainsi que du chauffage. Le site avait déjà plus de dix ans et fonctionnait normalement avant cet événement. Si une copie du fichier ETS était disponible, l'installateur précédent n'avait laissé aucune autre documentation.
Définir où se situe le problème
Notre première tentative de diagnostic se fait par téléphone et par e-mail, et les premiers éléments indiquent qu'il s'agit peut-être d'un problème d'alimentation ou de bus. Une visite est nécessaire pour en savoir plus. Une rapide inspection visuelle montre qu'aucun disjoncteur de réseau n'a sauté, et que les contrôleurs et les interrupteurs des salles sont alimentés (leur écran est actif ou leur LED brille). Les tableaux de distribution principaux possèdent également des relais et des variateurs avec des LED allumées ou dans différents états. Hmmm. Il ne s'agit donc peut-être pas d'un problème d'alimentation électrique. Après vérification de la tension de bus puis coupure de la source de courant et isolement, il apparaît que l'alimentation du bus est bonne. Curieux.
Qu'est-ce qui est alors connecté au bus ? Il y a peut-être un court-circuit ou une forme de corruption. Une recherche plus poussée révèle une interface IP active, un « module logique tiers » (connecté par Ethernet) et une connexion à un système d'automatisation tiers dont l'affichage permet de contrôler l'éclairage et le chauffage. La déconnexion physique de ces appareils n'a pas d'effet sur l'état du système.
Diagnostic ETS
Donc pouvons-nous brancher un portable et procéder à un diagnostic ETS ? Et bien... oui, et un scan en ligne montre un certain nombre de composants actifs. En inspectant de plus près les propriétés des composants individuels, nous constatons que certains éléments - ceux qui ne fonctionnent pas - tels que les interrupteurs des contrôleurs de salle et les variateurs n'ont pas de table d'adresse de groupe ! Voilà probablement pourquoi ils ne fonctionnent pas.
Une analyse révèle que ces composants défaillants n'accepteront pas de téléchargement de programme, car ils indiquent « BCU pass » activé (mais il n'est pas activé dans le programme et ne l'a jamais été à la connaissance de quiconque). Le SEUL moyen de reprogrammer ces éléments est de rétablir les paramètres par défaut. Et devinez quoi ? La majorité de ces composants individuels KNX ne peuvent pas être reparamétrés par défaut. Le résultat final est un site totalement inexploitable et nécessite une somme faramineuse en composants neufs à installer, plus, évidemment, le travail de l'ingénieur / du programmeur.
Quelle a donc été la cause de cette défaillance catastrophique ? Je l'ignore, et je ne le saurai probablement jamais. Cependant, il est fort probable que comme le système possédait une interface IP avec connexion à distance, une forme d'« attaque » à distance ait été lancée.
La leçon à en tirer est de savoir d'abord s'il est nécessaire que votre système KNX soit connecté au monde extérieur. Si vous l'envisagez, quels en sont les avantages ? Et si vous travaillez avec une connexion IP, mon conseil serait d'étudier et de comprendre toutes les implications d'un système sécurisé. Il se peut qu'un accès à distance à votre système pour récupérer des données ne soit pas aussi préoccupant qu'un accès à distance malveillant à votre système en vue d'altérer les données d'une manière ou d'une autre.
Comment sécuriser votre système si vous devez connecter votre système KNX au monde extérieur ?
Julio Díaz García : D'abord, je me dois de souligner le principe selon lequel KNX est une technologie « ouverte et sûre ». Cependant, nous devons veiller à utiliser les critères appropriés et les outils que KNX et l'ETS mettent à notre disposition pour garantir ce principe. Pouvoir accéder aux installations à distance est un avantage offert par KNX et une nécessité dans bien des cas. Dans les maisons, par exemple, cela facilite grandement de nombreux aspects de la vie des utilisateurs, comme la surveillance, la modification à distance des points de consigne, la réception des alarmes et des alertes, etc. Pour les bâtiments, cela peut permettre une maintenance à distance 24 h/24, 7 jours/7. Le gestionnaire, le propriétaire ou l'intégrateur peut ainsi gérer ses locaux sans avoir à se déplacer.
Garantir un accès sûr
Avant de commenter ce que nous pouvons faire pour obtenir une installation sûre et accessible à distance, je dois insister sur ce qu'il ne faut JAMAIS faire à savoir accorder l'accès à distance par port UDP 3671. Ce point est connu des pirates et revient à dérouler le tapis rouge à ces visiteurs non désirés.
Un autre outil à la disposition de l'intégrateur est la clé BCU, disponible depuis de nombreuses années pour tous les appareils KNX (sauf les très vieux appareils System-1). Mon conseil est de toujours programmer les appareils avec une clé BCU, car cela oblige le pirate à trouver le mot de passe parmi 4,29 milliards de possibilités. Utiliser la clé BCU n'est pas dérangeant pour l'intégrateur, car l'ETS ne le demande jamais, si le projet ETS original est utilisé.
Pour permettre un accès sûr à une installation KNX, il existe plusieurs possibilités :
- Configurer une connexion VPN sur le routeur d'installation. Cette solution est la meilleure, mais peut parfois être complexe pour un intégrateur moyen.
- Utiliser des passerelles IP KNX permettant la configuration de services de VPN sécurisé tels qu'OpenVPN, ZeroTier, etc.
- Utiliser des dispositifs d'accès KNX IP avec communication cryptée.
- Utiliser des dispositifs KNX TP avec connexion cloud IP (standard non KNX).
- Pour les installations moyennes et grandes, utiliser une plate-forme avec un pilote KNX natif qui permet l'intégration et le suivi sûrs d'installations KNX massives.
Ces méthodes visent à éviter le scénario décrit par Andy au début de cet article, qui représente, à mon sens, ce qu'il y a de plus dangereux et actuellement de plus facile pour les pirates si les mesures appropriées ne sont pas prises. De plus, l'utilisation d'appareils KNX IP Secure et KNX Data Secure dans les installations résoudra tout scénario de menace additionnelle pouvant survenir.
Ouvert, sûr et connecté
KNX Association offre toute une variété d'informations relatives à la sécurité des installations sous la forme de brochures, de vidéos et de webinaires. De plus, les Centres de formation KNX offrent aux partenaires KNX et autres un éventail de cours utiles, notamment la Formation avancée KNX et la nouvelle Formation de recyclage KNX, qui comprend un chapitre consacré aux thématiques abordées ci-dessus. Tout cela vise à garantir que les installations KNX restent à la pointe de la technologie, dans le monde entier, tout en restant ouvertes, sûres et connectées.
Andy Ellis est le fondateur et l'administrateur de Household Automation Ltd et de son entreprise sœur Knxion Ltd, qui fournissent des services de conseil, de conception, d'installation et de suivi en matière d'automatisation du bâtiment à des clients actifs dans le secteur de la construction de propriétés résidentielles et commerciales.
www.household-automation.co.ukwww.knxion.co.uk
Julio Díaz est un ingénieur industriel et est le propriétaire de SAPIENX AUTOMATION, une société espagnole d'ingénierie et de conseil ainsi qu'un Centre de formation certifié KNX++, fort de 25 ans d'expérience en automatisation de la maison et du bâtiment ainsi qu'en solutions BMS.