Veiligheid: de valstrikken van hackers en manieren om ze met behulp van basis-IT-kennis te omzeilen

KNX-professionals Andy Ellis en Julio Díaz García tonen ons de valstrikken van een onveilig systeem en verklappen hoe u deze kunt omzeilen door in basis-IT-vaardigheden te investeren.

Hoe kunt u weten of uw KNX-systeem veilig is wanneer het met de buitenwereld is verbonden? En als dat niet zo is, wat zijn dan de mogelijke gevolgen? Eerst vertelt Andy Ellis over zijn ervaring met een recent geval van hacking in een KNX-installatie. Daarna legt Julio Diaz uit hoe u dit soort situaties kunt voorkomen door de juiste IT-mechanismen te gebruiken voor communicatie.

Wat gebeurt er als uw systeem niet veilig is?

Andy Ellis: Het eerste waaraan u wellicht denkt bij een beveiligingslek, is het risico dat een hacker via de KNX-bus gegevens onderschept. Het is de vraag wat iemand met die informatie zou kunnen doen, maar zeker is wel dat externe bronnen toegang krijgen tot die gegevens als u niet met een veilig KNX-systeem werkt.

In de tweede plaats zou een derde in het geval van een onveilig systeem zelf gegevens naar het systeem kunnen verzenden. Op die manier zou de programmering kunnen worden aangetast of - erger nog - een specifieke component of specifieke componenten worden beschadigd. In dit verband wil ik u vertellen wat ik onlangs meemaakte.

Een tijd geleden ontvingen we een oproep van een klant nadat hij had gemerkt dat hij de verlichting en de verwarming niet meer kon bedienen. Het systeem waarover hij beschikte, was al meer dan tien jaar oud, maar had tot op dat moment uitstekend gewerkt. Behalve een kopie van het ETS-bestand was geen enkele andere documentatie beschikbaar van de vorige installateur.

Bepalen waar het probleem zich bevindt

In eerste instantie probeerden we via de telefoon en e-mail een diagnose te stellen. Aanvankelijk leek het probleem mogelijkerwijs toe te schrijven aan een probleem met de voeding of met de bus. Er werd een bezoek ingepland om de zaak verder te onderzoeken. Een snelle visuele inspectie ter plaatse leerde ons dat er geen beveiligingsautomaten waren uitgevallen en dat de ruimteregelaars en de schakelaars waren bekrachtigd (de schermen waren actief en/of de ledlampjes brandden). Ook op de hoofdverdeelborden bleken de relais en de dimmers nog verschillende statussen te kunnen weergeven. Hmmm. Misschien lag de oorzaak dan toch niet bij de voeding. Nadat we de busspanning hadden gecontroleerd en de voeding en de isolatie van het systeem hadden uitgeschakeld, bleek de voeding van de bus perfect te werken. Dat was gek.

Daarna vroegen we ons af wat met de bus was verbonden. Misschien had zich een kortsluiting voorgedaan of was iets beschadigd geraakt. Bij nader onderzoek ontdekten we een actieve IP-interface en een ‘third-party logic module' (verbinding via Ethernet) en een verbinding met een extern automatiseringssysteem waarop de regeling van de verlichting en de verwarming op de displays werd weergegeven. Een fysieke ontkoppeling van die apparaten veranderde niets aan de status van het systeem.

ETS-diagnose

Konden we in die omstandigheden een laptop inpluggen en daarmee een ETS-diagnose uitvoeren? Ja, dat lukte ... en bij een lijnscan werd duidelijk dat een hele reeks componenten actief waren. Bij een nadere inspectie van de eigenschappen van afzonderlijke componenten stelden we vast dat voor bepaalde items - die niet werkten - zoals schakelaars en dimmers voor de ruimteregeling geen groepsadrestabel kon worden gevonden! Wellicht doordat ze op dat moment niet werkten?

Uit een verdere analyse bleek dat die defecte componenten geen download van een programma toelieten, aangezien ‘BCU pass' was geactiveerd (maar deze functie is niet geactiveerd in het programma en voor zover we weten is dat nooit zo geweest). De ENIGE manier om een herprogrammering van die items uit te voeren, bestond erin om een fabrieksreset uit te voeren. En raad eens wat we toen ontdekten? Bij de meeste afzonderlijke KNX-componenten kon zo'n reset niet worden uitgevoerd. Het eindresultaat was een site die volledig onbruikbaar was en die slechts zou kunnen worden hersteld met duizenden euro's investeringen in nieuwe componenten en uiteraard ook de werkuren van de ingenieur/programmeur die daarvoor aan het werk zou worden gezet.

De vraag is dan ook wat deze rampzalige storing had veroorzaakt. Eerlijk gezegd weet ik het niet en zal ik het wellicht ook nooit te weten komen. Het is echter zeer waarschijnlijk dat een of andere externe aanval de echte oorzaak is, aangezien het systeem een IP-interface had met een externe verbinding.

Wat we uit dit voorval hebben geleerd? In de eerste plaats moet u zich afvragen of uw KNX-systeem werkelijk met de buitenwereld moet worden verbonden. En als u die mogelijkheid overweegt, wat zijn dan de voordelen ervan? Als u dan toch beslist om hiervoor met een IP-verbinding te werken, zou ik adviseren om grondig te onderzoeken wat de implicaties daarvan zijn voor een veilig systeem. Wellicht weegt het voordeel om toegang tot uw systeem te krijgen om gegevens op te vragen minder door dan het risico dat iemand met kwade bedoelingen zich van buitenaf toegang verschaft tot uw systeem om er op de ene of de andere manier de gegevens te wijzigen.

Hoe beveiligt u uw systeem als u uw KNX-systeem met de buitenwereld moet verbinden?

Julio Díaz García: In de eerste plaats wil ik u eraan herinneren dat KNX een ‘open en veilige' technologie is. Toch is het belangrijk om de juiste criteria en de tools die KNX Association en de ETS-tool beschikbaar stellen, toe te passen om dit principe te garanderen. De mogelijkheid om van buitenaf toegang te krijgen tot faciliteiten is een van de voordelen van KNX - en in sommige gevallen is dit zelfs een noodzaak. In woningen kunnen gebruikers hierdoor veel gemakkelijker toezicht uitoefenen, setpoints van op afstand wijzigen, alarm- en waarschuwingsberichten ontvangen enz. Voor gebouwen bestaat hierdoor 24 uur per dag en 7 dagen per week de mogelijkheid om onderhoud op afstand uit te voeren, zodat de eigenaar of de integrator zich hiervoor niet onnodig hoeft te verplaatsen.

Veilige toegang verzekeren

Voordat ik u vertel wat u kunt doen om op een veilige manier van op afstand toegang te krijgen tot uw installatie, wil ik u zeggen wat u NOOIT mag doen: externe toegang via UDP-poort 3671 toelaten. Hackers weten dit. Deze poort vormt dan ook een ‘rode loper' voor deze ongewenste gasten.

Een andere tool waarvan de integrator gebruik kan maken, is de BCU sleutel, die al jarenlang voor alle KNX-apparaten beschikbaar is (behalve voor de zeer oude System-1-apparaten). Ik adviseer dan ook om apparaten altijd met een BCU sleutel te programmeren, want dan moet een aanvaller het juiste wachtwoord proberen te raden uit 4,29 miljard mogelijkheden. Het gebruik van de BCU sleutel brengt geen extra handelingen voor de integrator met zich, aangezien het ETS er nooit om vraagt als het originele ETS-project wordt gebruikt.

Er bestaan tal van mogelijkheden om een veilige toegang tot een KNX-installatie te bieden:

1. een VPN-verbinding op de installatierouter configureren. Dit is de beste optie, maar kan voor gewone integrators soms nogal complex lijken;
2. KNX IP-gateways gebruiken die de configuratie van VPN beveiligde diensten mogelijk maken, zoals OpenVPN, ZeroTier enz.;
3. KNX IP-toegangsapparaten met versleutelde communicatie gebruiken;
4. KNX TP-apparaten met IP (niet conform de KNX-norm) cloudverbinding gebruiken;
5. voor middelgrote en grote installaties een BMS-platform gebruiken met een KNX native driver die de veilige integratie en monitoring van zeer grote KNX-installaties mogelijk maakt.

Deze methoden zijn bedoeld om het scenario te vermijden dat in het begin van dit artikel door Andy werd beschreven, wat volgens mij de gevaarlijkste en momenteel voor hackers de gemakkelijkste manier is om schade aan te richten als niet de juiste maatregelen worden getroffen. Daarnaast zal het gebruik van KNX IP Secure en KNX Data Secure apparaten in de faciliteiten eventuele bijkomende bedreigingsscenario's oplossen.

Open, veilig en verbonden

KNX Association biedt een verscheidenheid aan informatie over de veiligheid van installaties in de vorm van brochures, video's en webinars. Bovendien bieden KNX Training Centres KNX Partners en anderen een ruime keuze aan handige cursussen, inclusief KNX-opleidingen voor gevorderden en de nieuwe opfriscursus over KNX, waarin een hoofdstuk wordt gewijd aan oplossingen voor de bovenstaande onderwerpen. Dit alles is bedoeld om ervoor te zorgen dat KNX-installaties wereldwijd state-of-the-art en gelijktijdig open, veilig en verbonden blijven.

Andy Ellis is de oprichter en de managing director van Household Automation Ltd en zijn zusteronderneming Knxion Ltd, die consultancy-, ontwerp-, installatie en nazorgdiensten op het vlak van gebouwenautomatisering bieden aan klanten die actief zijn op de markt van residentieel en commercieel vastgoed.

www.household-automation.co.ukwww.knxion.co.uk

Julio Díaz is een industrieel ingenieur en de eigenaar van SAPIENX AUTOMATION, een Spaanse onderneming die gespecialiseerd is in engineering en consultancy en die daarnaast KNX++ Certified Training Centre is met 25 jaar ervaring met woning- en gebouwautomatisering en BMS-oplossingen.

www.sapienx.es