KNX IP Secure schützt die KNX-Kommunikation über IP-Netzwerke. Es verschlüsselt und authentifiziert den Datenverkehr zwischen KNX-IP-Geräten - Schnittstellen, Routern und Clients wie ETS oder SharKNX. So können andere im Netzwerk weder Telegramme lesen noch Befehle einschleusen. SharKNX unterstützt beide Varianten: sicheres Tunneling zu einer KNX-IP-Schnittstelle und sicheres Routing über Multicast.
Diese Seite erklärt, wie KNX IP Secure funktioniert und wie SharKNX es nutzt. Die Schritt-für-Schritt-Anleitung finden Sie unter KNX IP Secure einrichten.
Warum KNX IP geschützt werden muss
Unverschlüsseltes KNXnet/IP überträgt Telegramme ohne Verschlüsselung und Authentifizierung. Jeder mit Zugang zum Netzwerk - etwa im Gäste-WLAN, über ein kompromittiertes Gerät oder den Laptop eines Auftragnehmers - kann alle Telegramme lesen und eigene Befehle senden: Licht einschalten, Jalousien öffnen oder Sollwerte ändern. Da KNX-Installationen IP-Netzwerke zunehmend mit anderen Gebäudesystemen teilen, ist das nicht mehr akzeptabel. KNX IP Secure ist die Antwort des Standards.
KNX IP Secure ergänzt die IP-Verbindung um drei Schutzeigenschaften:
- Authentifizierung - nur Clients mit den passenden Zugangsdaten können sich verbinden.
- Vertraulichkeit - die Daten werden mit AES-128 (CCM-Modus) verschlüsselt und können nicht mitgelesen werden.
- Integrität und Aktualität - jeder Frame enthält einen Message Authentication Code und eine Sequenznummer oder einen Zeitgeber, sodass er nicht nachträglich verändert oder wiederholt werden kann.
KNX IP Secure schützt nur die IP-Seite. Sobald ein Telegramm die Schnittstelle auf die KNX-Twisted-Pair-Leitung verlässt, gilt IP Secure nicht mehr. Den durchgängigen Schutz des Telegramms übernimmt KNX Data Secure.
Funktionsweise
Sicheres Tunneling
Beim Tunneling verbindet sich ein Client wie SharKNX mit einer einzelnen KNX-IP-Schnittstelle, um den Bus zu überwachen und Befehle zu senden. Mit KNX IP Secure:
- Der Client öffnet eine TCP-Verbindung zur Schnittstelle. Sichere Tunnel verwenden immer TCP - der Standard verbietet UDP.
- Client und Schnittstelle vereinbaren mit einem ECDH-Schlüsselaustausch (X25519) einen neuen Sitzungsschlüssel. So wird jede Sitzung mit einem anderen Schlüssel verschlüsselt.
- Der Client authentifiziert sich mit der Benutzer-ID und dem Passwort eines Tunnels. Jeder Tunnel der Schnittstelle hat eigene Zugangsdaten, die in ETS festgelegt und im Projektschlüsselbund gespeichert werden.
- Danach wird jeder Frame mit dem Sitzungsschlüssel verschlüsselt und authentifiziert sowie nummeriert, um Wiederholungen zu verhindern.
Senderadresse: Bei einem sicheren Tunnel sendet die Schnittstelle Ihre Telegramme mit der eigenen physikalischen Tunneladresse auf den Bus und ignoriert andere Senderadressen. Das ist für KNX Data Secure wichtig, denn dort prüfen Empfänger, wer ein Telegramm gesendet hat. SharKNX warnt Sie, wenn ein konfigurierter Data-Secure-Sender auf diese Weise überschrieben wird.
Sicheres Routing
Routing verbindet KNX-IP-Router und die daran teilnehmenden Clients über IP-Multicast (standardmäßig 224.0.23.12 auf UDP-Port 3671). Mit KNX IP Secure verwenden alle Router auf diesem Backbone denselben symmetrischen Backbone-Schlüssel. Jeder Multicast-Frame wird damit verschlüsselt und authentifiziert. Ein gemeinsamer Zeitgeber hält Frames aktuell und sorgt dafür, dass alte verworfen werden. Alle Geräte auf einem sicheren Backbone müssen denselben Backbone-Schlüssel verwenden.
KNX IP Secure und KNX Data Secure
Die beiden Verfahren sind unabhängig und werden oft verwechselt. Eine Anlage kann eines, beide oder keines verwenden.
| KNX IP Secure | KNX Data Secure | |
|---|---|---|
| Schutz | IP-Verbindung: Tunnel oder Routing-Backbone | Einzelne Telegramme Ende zu Ende über jedes Medium |
| Geltungsbereich | Nur zwischen IP-Geräten | Vom sendenden Gerät bis zu den empfangenden Geräten |
| Schlüssel | Tunnelbenutzer-Passwörter; Backbone-Schlüssel | Ein Schlüssel je gesicherter Gruppenadresse; Werkzeugschlüssel je Gerät |
| Verwendung in SharKNX | Mit einer sicheren Schnittstelle oder einem sicheren Backbone verbinden | Gesicherte Gruppentelegramme lesen und senden; gesicherte Geräte verwalten |
Wie SharKNX die Telegrammverschlüsselung handhabt, erfahren Sie unter KNX Data Secure.
Benötigte Zugangsdaten
Alle KNX-Secure-Zugangsdaten werden in ETS angelegt und im Schlüsselbund des Projekts gespeichert. SharKNX akzeptiert sie in drei Formen:
| Quelle | Inhalt | Wann verwenden? |
|---|---|---|
Schlüsselbunddatei (.knxkeys) |
Tunnelbenutzer-IDs und Passwörter, Backbone-Schlüssel sowie - für KNX Data Secure - Gruppenschlüssel und Werkzeugschlüssel der Geräte | Wenn Sie nur die Zugangsdaten benötigen, nicht das ganze Projekt |
ETS-Projekt (.knxproj) |
Das vollständige Projekt einschließlich Sicherheitsdaten | Wenn Sie das Projekt ohnehin laden |
| Backbone-Schlüssel (manuell eingegeben) | Nur der 128-Bit-Backbone-Schlüssel als 32 Hexadezimalziffern | Wenn Sie sicheres Routing benötigen und nur den Schlüssel haben |
Schlüsselbund aus ETS exportieren
Öffnen Sie in ETS die Projektdetails aus der Projektübersicht, wechseln Sie zum Abschnitt Sicherheit und exportieren Sie den Schlüsselbund. ETS fordert ein Passwort zum Schutz der Datei an. Beim Laden in SharKNX benötigen Sie dasselbe Passwort.
Falsches Passwort? SharKNX überprüft beim Laden die ETS-Signatur des Schlüsselbunds und erkennt ein falsches Passwort sofort mit "Incorrect password or corrupted keyring file" - nicht erst beim Verbindungsversuch.
KNX IP Secure in SharKNX verwenden
Zugangsdaten laden
Zugangsdaten lassen sich an drei Stellen auf der Seite Verbinden laden:
- Im Tab Sicherheit, der auch den Inhalt der geladenen Datei anzeigt, etwa die Anzahl der Schnittstellen und Data-Secure-Geräte.
- Über Daten laden im Detailblatt eines sicheren Gateways.
- Über das Menü ⋯ Aktionen, das einen Schlüsselbund direkt lädt.
Die Zugangsdaten bleiben nach App-Neustarts erhalten. Ein neuer Schlüsselbund ersetzt den vorherigen.
Verbinden
Gateways, die KNX IP Secure anbieten, sind im Tab Bereit als sicher markiert. Tippen Sie bei fehlenden passenden Zugangsdaten auf Kein Backbone-Key; SharKNX bietet an, Sie zuerst zum Tab Sicherheit zu führen.
Beim sicheren Routing bieten KNX-IP-Router mit Routing-Funktion sicheres Multicast an. Der Status lautet Bereit, sobald ein Backbone-Schlüssel verfügbar ist, oder Backbone-Schlüssel fehlt, bis Sie einen laden.
Fehlerbehebung
Authentifizierung beim Verbinden fehlgeschlagen. Das Tunnelpasswort stimmt nicht mit der Schnittstelle überein. Stellen Sie sicher, dass der Schlüsselbund aus demselben ETS-Projekt stammt, mit dem die Schnittstelle zuletzt programmiert wurde. Wurde sie seitdem neu programmiert, exportieren Sie einen neuen Schlüsselbund.
„Kein Backbone-Key“ beim sicheren Routing. Laden Sie einen Schlüsselbund oder ein Projekt mit Backbone-Schlüssel oder geben Sie den Schlüssel manuell ein.
Verbunden, aber gesicherte Gruppentelegramme werden weiterhin verschlüsselt angezeigt. Das ist KNX Data Secure, nicht IP Secure. Die Gruppenschlüssel stammen aus demselben Schlüsselbund oder Projekt - siehe KNX Data Secure.
Der Empfänger weist Befehle an eine Data-Secure-Gruppenadresse zurück. Bei einem sicheren Tunnel ist die Senderadresse immer die Tunneladresse. Die Empfängergeräte müssen diese Adresse als Sender akzeptieren - siehe KNX Data Secure.
Weiterlesen
- KNX IP Secure einrichten - Verbindungsanleitung Schritt für Schritt
- KNX Data Secure - Verschlüsselung auf Telegrammebene
- Verbindung zu einem KNX-Gateway herstellen - Tunneling- und Routing-Verbindungen allgemein
