You are here: TUTWiki>Tietoturva/Tutkielmat>TyoLuettelo?>KNX (revision 2)

Mika Nysten

KNX-taloautomaation tietoturva

Johdanto

KNX on väyläpohjainen ja hajautettu kiinteistöautomaation ohjausjärjestelmä, joka muodostettiin 2000–luvun alussa yhdistämällä osia kolmesta eri väyläjärjestelmistä. KNX standardoitiin alunperin Euroopassa, mutta on myöhemmin hyväksytty myös Kiinassa ja USA:ssa. KNX onkin ainoa globaali kiinteistöautomaatiostandardi, joka tarjoaa yhteensopivuuden eri valmistajien laitteiden välillä. [1]

KNX:n avulla saavutetaan etuja kiinteistöjen energiatehokkuuteen, käyttömukavuuteen ja muunneltavuuteen. Sitä käytetään nykyään omakotitaloissa sekä julkis- ja liikekiinteistössä. Isossa kohteessa KNX:n suurin hyöty tulee energiansäätöstä ja pienessä lähinnä käyttömukavuudesta. Maailman suurin KNX-kohde on Pekingin lentokentän terminaali 3. Siellä KNX ohjaa valaistusta, lämmitystä ja jäähdytystä sekä virheilmoituksia. KNX-laitteita kyseisessä terminaalissa on yli 11000 kpl. Suomessa KNX-kohteita valmistuu noin 1000 kpl vuosittain ja esimerkkejä niistä ovat Musiikkitalo, Kiasma ja hotelli Flamingo. [2]

KNX periaatteet

KNX:ssä on jokaisessa laitteessa oma mikroprosessorinsa. Järjestelmän laitteet ovat riippumattomia toisistaan ja ne kommunikoivat keskenään väylän kautta ilman keskitettyä tietokonetta. Anturit ja ilmaisimet antavat ohjauskäskyjä toimilaitteille, jotka ohjaavat esimerkiksi lämmitystä, ilmastointia, valaistusta tai pistorasioita.

KNX-väylässä laitteet ovat kytkettyinä 29 VDC -heikkovirtaväylään, joka saa käyttöjännitteensä virtalähteestä. Perinteisessä sähköasennusmallissa kuorma kytketään aina suoraan päälle, mutta KNX:ssä se kytketään epäsuorasti päälle. KNX:ssä painikkeet voidaan ohjelmoida tekemään halutut toiminnot ja ne eivät ole perinteisin sähköasennuksen tavoin riippuvaisia sijainnistaan. [3, s. 9] Painike voidaan ohjelmoida esimerkiksi sammuttamaan koko kohteen valaistus ja kytkemään hälytysjärjestelmä päälle.

Siirtotiet

KNX-järjestelmässä voidaan käyttää kolmea tiedonsiirtoväylää: väyläkaapelia, sähköverkkoa tai radioverkkoa 868MHz:n taajuudella. Järjestelmässä voi olla myös yhdistelmä useaa erityyppistä väylää. Radiopuolella on paljon valmistajakohtaisia ratkaisuja, eikä yhteensopivuutta eri valmistajien välillä useinkaan ole.

Siirtotienä voidaan käyttää apuna myös IP:tä kytkeydyttäessä lähiverkosta KNX-järjestelmään. Tällöin KNX-sanoma kapseloidaan IP-pakettiin gateway-laitteessa, jolloin puhutaan KNX/IP –tunneloinnista.

Tietoturva

Nykyisessä KNX-standardissa turvallisuusnäkökohdat ovat jääneet vähiin. Tekniikkaa ei ole alun perin suunniteltu turvallisuuskriittisiin paikkoihin. Nykyään standardiin on määritelty vain 32-bittinen salasana –tunnistusalgoritmi, jonka tarkoitus on estää ei-toivottu pääsy väyläliitäntäyksikölle. Tätä mahdollisuutta valmistajat eivät ole useinkaan hyödyntäneet. Väylällä data kulkee selkokielisenä, joten on vaarallista mikäli hyökkääjä pääsee lukemaan tai kirjoittamaan väylällä. [4, s. 6, 5. s. 22]

KNX-väylää voi lukea tai siihen kirjoittaa KNX-suunnitelman tekemiseen tarkoitetun ETS-työkalun avulla. Se on laitevalmistajasta riippumaton ohjelma, jonka voi hankkia KNX Associationin kautta. Demo-version voi ladata ilmaiseksi netistä. ETS:ssä on väylän ja ryhmän monitorointiin omat sovelluksensa. Ryhmämonitorointityökalun avulla voidaan väylälle myös kirjoittaa. Seuraavassa lyhyt esimerkki väylälle kirjoituksesta:
  • Rivi 4: ´On´ -käsky lähetetään ryhmämonitorointityökalusta väylälle ryhmäosoitteeseen 1/1/8 (työkalussa on valittu ryhmä 1/1/8 ja klikattu On -sanomalle Write käsky)

  • Rivi 5: Säädin 1.1.4 lähettää On tiedon ryhmäosoitteeseen 1/1/8 (ja kytkee päälle lähdön)

  • Rivi 6: Säädin 1.1.4 lähettää 100% statustiedon ryhmäosoitteeseen 1/1/10

  • Rivi 7: ´Off´ -käsky lähetetään ryhmämonitorointityökalusta väylälle ryhmäosoitteeseen 1/1/8 (työkalussa on valittu ryhmä 1/1/8 ja klikattu Off sanomalle Write käsky)

  • Rivi 8: Säädin 1.1.4 lähettää 0% statustiedon ryhmäosoitteeseen 1/1/10

  • Rivi 9: Säädin 1.1.4 lähettää Off tiedon ryhmäosoitteeseen 1/1/8

ets-mon.jpg

KNX-väylälle pystyy liittymään Internetistä KNX/IP -GW:n kautta tai sitten paikallisesti mistä kohtaa väylää tahansa. Paikalliseen liittymiseen tarvitaan vain PC, USB/GW-yksikkö ja ETS-ohjelma. Hyökkääjä voisi helposti aiheuttaa harmia kohteelleensa esimerkiksi sammuttamalla koko kohteen valaistus, kytkemällä hälytykset pois, jne.

KNX-organisaatio on tunnistanut nykyiset tietoturvauhkat ja onkin lisäämässä tietoturvaosuutta KNX-standardiin. Ensimmäinen osa keskittyy datasähkeiden turvallisuuteen eri medioissa. Datasähkeeseen lisätään jatkossa allekirjoitus ja datan salaus, jotka parantavat oikeaksi todentamista ja luottamuksellisuutta. Toisessa osassa tuodaan turvallisuutta KNX/IP puolelle. Tarkempaa tietoa KNX-organisaation suunnitelmista ei toistaiseksi löytynyt. [6]

Giovanni Cutuli käsittelee kumpaakin edellä mainittua turvallisuusparannusta tutkielmassaan ´Proposals and Evaluations aimed to improve Performances of KNX Home and Building Communications Standard´. Cutulin mukaan KNX-turvallisuusmallissa yhteensopivuus tulee taata nykyisten laitteiden kanssa. Lisäksi mallin tulee kattaa uusien laitteiden todentaminen asennusvaiheessa ja datan salaus väylällä. Cutuli ehdottaa uusia turvallisuusmekanismeja lisättäväksi OSI-mallin sovelluskerrokselle. Cutulin mukaan laitteiden muisti riittäisi Diffie-Hellman (160 bittisellä avaimella) ja AES-128 salausalgoritmin sekä DEK-tiivisteen käyttöön. Siirtonopeus väylällä on vain 9.6kbit/s, joka aiheuttaa haasteita uudelle turvallisuustekniikalle. Cutulin mukaan Diffie-Hellmanin tuoman viiveen vuoksi sitä voidaan käyttää vain avainten alustusvaiheessa. [7]

Daniel Lechner, Wolfgang Granzer ja Wolfgang Gastner ovat julkaisseet artikkelin ´Security for KNXnet/IP´. [8] Siinä he käsittelevät KNX/IP:n turvallisuutta. Nykyiset mekanismit kuten IPSec, SSL/TSL tai OpenVPN? eivät heidän mukaansa täytä vaatimuksia KNX/IP:lle. Ratkaisuna he esittävät turvallisuuslisäystä nimeltään EIBsec. Kyseinen turvallisuuslaajennus on räätälöity vain KNX-väyläkaapeliin. Uusi turvallisuustaso sijaitsee ehdotuksen mukaan OSI-mallin sovelluskerroksen ja verkkokerroksen välissä, joka on tällä hetkellä transparentti KNX-standardissa. Kommunikointi on jaettu kolmeen vaiheeseen:
  • Konfigurointivaihe, jossa jokainen laite luo oman avainparin. Yksityinen avain pysyy salattuna laitteessa ja julkinen avain siirretään turvattua kanavaa pitkin ETS-ohjelmaan. ETS toimii kuten CA (certification authority).

  • Avainten jakeluvaihe, jossa tarvitaan tuki sekä unicast että multicast -jakelulle.

  • Turvallinen kommunikointi, kun avaimet on jaettu. Symmetristä algoritmiä käytetään yksinomaan, jotta multicast-osapuolet jakavat vain yhden avaimen.

Yhteenveto

…...

Lähteet

[1] KNX Association Internet sivut: http://www.knx.org.

[2] KNX Association. KNX peruskurssi – Rajoitettu saatavuus.

[3] KNX Association. Käsikirja asuntojen ja rakennusten ohjauksiin. Käännös KNX Finland Ry, Piikkilä, V., Liukku, H., Parviainen, K., 5. Korjattu painos. 192s.

[4] Granzer, W., Kastner, W., Neugschwandtner, G. KNX Scientific Conference 2006 – EIBsec: A Security Extension to KNX. EIBsec. 13 sivua. Saatavuus: https://www.auto.tuwien.ac.at/downloads/knxsci06/granzer-eibsec_security-knxsci06-website.pdf.

[5] Cavalieri, S., Cutuli, G. Introducing Security and Authentication in KNX. 29 sivua. . Saatavuus:

http://www.knx.org/fileadmin/downloads/05%20-%20KNX%20Partners/03%20-%20Becoming%20a%20KNX%20Scientific%20Partner/2008-11%20Conference/presentations/session2.pdf.

[6] KNX Association. KNX Association Newsletter – June 2013 Saatavuus: http://www.knx.org/knx-association/newsletters/june2013/

[7] G. Cutuli. Proposals and Evaluations aimed to improve Performances of KNX Home and Buildiong Communications Standard. Saatavuus: http://archivia.unict.it/bitstream/10761/137/1/Thesis.pdf

[8] Cavalieri, S., Cutuli, G. Security for KNXnet/IP. 17 sivua. Saatavuus:

http://www.knx.org/fileadmin/downloads/05%20-%20KNX%20Partners/03%20-%20Becoming%20a%20KNX%20Scientific%20Partner/2008-11%20Conference/presentations/session2.pdf.

SivuTiedotLaajennettu edit

Vaativuus Jatko
Valmius Valmisteilla
Tyyppi Ydin
Luokitus Uhkat
Mitä Luottamuksellisuus
Miltä Ihmisetön uhka
Missä Organisaatio
Kuka Titu-ammattilainen
Milloin Ennakolta
Miksi Hyvä tapa
Print version |  PDF  | History: r3 < r2 < r1 | 
Topic revision: r2 - 26 Oct 2013 - 13:09:49 - MikaNysten?
 

TUTWiki

Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback