Sicurezza: come evitare le insidie della pirateria informatica utilizzando competenze IT di base

I professionisti KNX Andy Ellis e Julio Díaz García spiegano come evitare le insidie di un sistema non sicuro investendo in competenze IT base.

Avete la certezza che il sistema KNX collegato al mondo esterno sia sicuro? Se non lo è, quali sono le possibili conseguenze? Parliamo innanzitutto con Andy Ellis della sua esperienza nel caso recente di un'installazione KNX che è stata hackerata. Dopodiché, ascoltiamo i consiglio di Julio Diaz per evitare situazioni di questo tipo impiegando meccanismi IT adatti alla comunicazione.

Cosa succede se il sistema non è sicuro?

Andy Ellis: La prima cosa a cui si penserebbe per quanto riguarda la violazione della sicurezza è l'abilità dell'hacker di ottenere i dati dal bus KNX. Mi domando cosa possa farsene una persona di queste informazioni, ma resta il fatto che, senza un sistema KNX sicuro, fonti esterne possono accedere ai dati.

In secondo luogo, in un sistema non sicuro, esiste la possibilità che una terza parte invii dati al sistema, il che implica il potenziale danneggiamento della programmazione o, ancora peggio, di uno o più componenti specifici. Ritengo sia importante riferire in questa sede le mie esperienze in eventi recenti.

Abbiamo ricevuto una chiamata da un sito che aveva perso il controllo dell'illuminazione e, come succede, anche del riscaldamento. Il sito aveva ben più di dieci anni e aveva sempre funzionato alla perfezione prima di questo evento. Tranne una copia del file ETS, non vi era altra documentazione disponibile dell'installatore precedente.

Individuare il problema

Il nostro primo tentativo di diagnosi si è svolto al telefono e via email e le prime indicazioni propendevano per un possibile problema di alimentazione o bus. È stato necessaria una verifica in loco per compiere un ulteriore passo avanti. Un rapido controllo visivo ha evidenziato che non era saltato nessun interruttore di rete, i controller e gli interruttori delle stanze erano alimentati (avevo schermi attivi e LED accesi). Anche i relè e i dimmer dei quadri di distribuzione principali avevano i LED accesi in vari stati. Hmmm. Forse allora non è un problema di alimentazione. Dopo avere controllato la tensione del bus e quindi spento e isolato l'alimentazione, riscontriamo che l'alimentazione del bus è posto. Strano.

Allora cosa è connesso al bus? Forse c'è un corto o un danno di qualche tipo. Altre indagini mostrano un'interfaccia IP attiva e un "modulo logico di terze parti" (connesso alla Ethernet), oltre alla connessione a un sistema di automazione di terze parti con controllo di illuminazione e riscaldamento disponibile sui suoi display. La disconnessione fisica di questi dispositivi non produce alcun effetto sullo stato del sistema.

Diagnostica ETS

Allora possiamo accendere un laptop e usare la diagnostica ETS? Ebbene sì... e una scansione della linea evidenzia un certo numero di componenti attivi. A un controllo più accurato delle proprietà dei singoli componenti, notiamo che alcuni elementi (quelli che non funzionano), come i dimmer e gli interruttori dei controller delle stanze, sono privi di tabella degli indirizzi del gruppo! Ecco perché non funzionano!

Un'analisi approfondita rivela che questi componenti difettosi non accetteranno il download di un programma in quanto non dispongono di "pass BCU" abilitato (ma non è abilitato nel programma e, per quanto ne sappiamo, non lo è mai stato). L'UNICO modo di riprogrammare questi componenti è eseguire un reset delle impostazioni di fabbrica. Indovinate? Molti dei singoli componenti KNX non possono essere sottoposti a questo tipo di ripristino. Il risultato finale è un sito completamente inservibile che richiede migliaia di sterline in nuovi componenti per potere essere riparato, più la manodopera del tecnico/programmatore, ovviamente.

Cosa ha provocato questo guasto disastroso? Non lo so e, con ogni probabilità, non lo saprò mai. Ci sono però altissime probabilità che si sia verificato qualche tipo di "attacco" remoto, in quanto il sistema disponeva di un'interfaccia IP con connessione remota.

Lezione imparata: innanzitutto, è necessario che il vostro sistema KNX sia connesso al mondo esterno? Se pensate di sì, quali sono i vantaggi? E se procedete con una connessione IP, vi consiglio di valutare e conoscere appieno le implicazioni di un sistema sicuro. È possibile che l'accesso remoto al sistema per recuperare dati non preoccupi quanto un accesso remoto malevolo al sistema con lo scopo di alterare i dati in qualche modo.

Come rendere sicuro il sistema KNX quando è necessario connetterlo al mondo esterno

Julio Díaz García: Vorrei innanzitutto sottolineare il principio secondo cui KNX è una tecnologia "aperta e sicura". A sostegno di questo presupposto, dobbiamo tuttavia garantire l'applicazione dei criteri e degli strumenti adeguati che KNX Association ed ETS ci mettono a disposizione. Poter accedere alle strutture da remoto è un vantaggio offerto da KNX e in molti casi una necessità. Nelle abitazioni, per esempio, semplifica notevolmente la vita degli utenti sotto molti aspetti, come supervisione, modifica di setpoint da remoto, ricezione di allarmi e segnalazioni, ecc. Per quanto riguarda gli edifici, può consentire manutenzione remota 24/7 quando l'amministratore, il proprietario o l'integratore deve gestire la struttura senza spostamenti inutili.

Garantire accesso sicuro

Prima di parlare di cosa fare per realizzare un'installazione sicura e accessibile da remoto, devo sottolineare cosa NON fare: consentire l'accesso remoto attraverso la porta UDP 3671. Si tratta di un punto noto agli hacker ed equivale e un "red carpet" per questi ospiti indesiderati.

L'integratore può avvalersi anche di un altro strumento, la chiave BCU, disponibile da molti anni per tutti i dispositivi KNX (a eccezione dei vecchissimi System-1). Consiglio di programmare sempre i dispositivi con una chiave BCU in quanto l'aggressore dovrebbe indovinare la password tra 4,29 miliardi di possibilità. Usare la chiave BCU non è banale per l'integratore in quanto l'ETS non la chiede mai, se si utilizza il progetto ETS originale.

Esistono molti modi di consentire l'accesso sicuro a un'installazione KNX:

1. Configurare una connessione VPN sul router dell'installazione. Questa è l'opzione migliore, ma talvolta può risultare complicata per gli integratori regolari.
2. Usare gateway IP KNX che consentono di configurare servizi VPN sicuri come OpenVPN, ZeroTier ecc.
3. Usare dispositivi di accesso IP KNX con comunicazione criptata.
4. Usare dispositivi TP KNX con connessione al cloud IP (standard non KNX).
5. Per installazioni medio-grandi, usare una piattaforma BMS con driver nativo KNX che consente l'integrazione e il monitoraggio in sicurezza di impianti KNX massicci.

Lo scopo di questi metodi è evitare lo scenario descritto da Andy all'inizio dell'articolo che ritengo sia il più pericoloso e attualmente il più facile per gli hacker se non si adottano misure opportune. Inoltre, l'uso di dispositivi KNX IP Secure e KNX Data Secure nelle strutture risolverà qualsiasi ulteriore scenario pericoloso che possa apparire.

Aperti, sicuri e connessi

KNX Association offre varie informazioni sulla sicurezza degli impianti sotto forma di brochure, video e webinar. I centri di formazione KNX offrono inoltre ai Partner KNX e ad altri una serie di corsi utili, tra cui la formazione avanzata KNX e il nuovo corso di aggiornamento KNX, che prevede una parte dedicata alla gestione degli argomenti trattati sopra. Tutto questo è concepito per garantire che le installazioni KNX si mantengano allo stato dell'arte, in tutto il mondo, restando nel contempo aperte, sicure e connesse.

Andy Ellis è il fondatore e l'amministratore delegato di Household Automation Ltd e della sua consociata Knxion Ltd, che forniscono servizi di consulenza, progettazione, installazione e assistenza post-vendita nell'ambito dell'automazione degli edifici a clienti coinvolti nella realizzazione di proprietà commerciali e residenziali.

www.household-automation.co.ukwww.knxion.co.uk

Julio Díaz è ingegnere industriale e proprietario di SAPIENX AUTOMATION, una società spagnola di engineering e consulenza nonché centro di formazione certificato KNX++, con 25 anni di esperienza in automazione di case ed edifici e soluzioni BMS.

www.sapienx.es