KNX IP Secure protège les communications KNX sur les réseaux IP. Il chiffre et authentifie le trafic entre les appareils KNX IP - interfaces, routeurs et clients comme ETS ou SharKNX - afin que personne d'autre sur le réseau ne puisse lire les télégrammes ni injecter des commandes. SharKNX prend en charge les deux variantes : tunneling sécurisé vers une interface KNX IP et routing sécurisé par multicast.
Cette page explique le fonctionnement de KNX IP Secure et son utilisation dans SharKNX. Pour suivre la procédure pas à pas, voir Comment configurer KNX IP Secure.
Pourquoi protéger KNX IP
KNXnet/IP sans protection transmet les télégrammes sans chiffrement ni authentification. Toute personne pouvant accéder au réseau - utilisateur du Wi-Fi invité, appareil compromis ou ordinateur d'un prestataire - peut lire tous les télégrammes et envoyer ses propres commandes : allumer des lumières, ouvrir des stores, modifier des consignes. Comme les installations KNX partagent de plus en plus leurs réseaux IP avec les autres systèmes du bâtiment, ce risque n'est plus acceptable ; KNX IP Secure est la réponse de la norme.
KNX IP Secure apporte trois garanties à la connexion IP :
- Authentification - seuls les clients qui possèdent les bons identifiants peuvent se connecter.
- Confidentialité - le trafic est chiffré avec AES-128 (mode CCM) et ne peut pas être lu.
- Intégrité et fraîcheur - chaque trame contient un code d'authentification de message et un numéro de séquence ou un minuteur, afin d'empêcher toute modification ou répétition ultérieure.
KNX IP Secure protège uniquement le côté IP. Dès qu'un télégramme quitte l'interface pour la ligne KNX à paire torsadée, IP Secure ne s'applique plus. La protection de bout en bout relève de KNX Data Secure.
Fonctionnement
Tunneling sécurisé
Le tunneling permet à un client comme SharKNX de se connecter à une interface KNX IP pour surveiller le bus et y envoyer des commandes. Avec KNX IP Secure :
- Le client ouvre une connexion TCP avec l'interface. Les tunnels sécurisés utilisent toujours TCP - la norme interdit UDP.
- Le client et l'interface négocient une nouvelle clé de session avec un échange de clés ECDH (X25519), afin que chaque session soit chiffrée avec une clé différente.
- Le client s'authentifie avec l'identifiant et le mot de passe d'un tunnel. Chaque tunnel de l'interface a ses propres identifiants, définis dans ETS et enregistrés dans le trousseau de clés du projet.
- Ensuite, chaque trame est chiffrée et authentifiée avec la clé de session, et numérotée pour empêcher toute répétition.
Adresse de l'émetteur : sur un tunnel sécurisé, l'interface envoie vos télégrammes sur le bus avec sa propre adresse physique de tunnel et ignore toute autre adresse d'émetteur. C'est important pour KNX Data Secure, dont les récepteurs vérifient l'identité de l'émetteur. SharKNX vous avertit si un émetteur Data Secure configuré est remplacé de cette manière.
Routing sécurisé
Le routing connecte les routeurs KNX IP et les clients qui les rejoignent par multicast IP (par défaut 224.0.23.12 sur le port UDP 3671). Avec KNX IP Secure, tous les routeurs de ce backbone partagent une clé symétrique, la clé backbone. Chaque trame multicast est chiffrée et authentifiée avec cette clé. Un minuteur commun garantit la fraîcheur des trames et le rejet des anciennes. Tous les appareils d'un backbone sécurisé doivent utiliser la même clé backbone.
KNX IP Secure ou KNX Data Secure
Ces deux mécanismes sont indépendants et souvent confondus. Une installation peut utiliser l'un, les deux ou aucun.
| KNX IP Secure | KNX Data Secure | |
|---|---|---|
| Protection | Connexion IP : tunnel ou backbone de routing | Télégrammes individuels, de bout en bout, sur tout support |
| Portée | Entre appareils IP uniquement | De l'appareil émetteur aux appareils récepteurs |
| Clés | Mots de passe des utilisateurs de tunnel ; clé backbone | Une clé par adresse de groupe sécurisée ; clés d'outil par appareil |
| Utilisation dans SharKNX | Se connecter à une interface ou un backbone sécurisé | Lire et envoyer des télégrammes de groupe sécurisés ; gérer les appareils sécurisés |
Voir KNX Data Secure pour savoir comment SharKNX gère le chiffrement au niveau des télégrammes.
Les identifiants nécessaires
Tous les identifiants KNX Secure sont créés dans ETS et conservés dans le trousseau de clés du projet. SharKNX les accepte sous trois formes :
| Source | Contenu | À utiliser si… |
|---|---|---|
Fichier de trousseau de clés (.knxkeys) |
Identifiants et mots de passe des tunnels, clé backbone et - pour KNX Data Secure - clés de groupe et clés d'outil des appareils | Vous n'avez besoin que des identifiants, pas du projet entier |
Projet ETS (.knxproj) |
Projet complet, données de sécurité incluses | Vous chargez déjà le projet |
| Clé backbone (saisie manuelle) | Uniquement la clé backbone de 128 bits, sous forme de 32 chiffres hexadécimaux | Vous avez besoin du routing sécurisé et ne disposez que de la clé |
Exporter un trousseau de clés depuis ETS
Dans ETS, ouvrez les détails du projet depuis la vue d'ensemble, accédez à sa section Sécurité et exportez le trousseau de clés. ETS vous demande un mot de passe pour protéger le fichier ; vous devrez saisir le même mot de passe lors de son chargement dans SharKNX.
Mot de passe incorrect ? Lors du chargement, SharKNX vérifie la signature ETS du trousseau et détecte immédiatement un mot de passe incorrect avec "Incorrect password or corrupted keyring file" - pas seulement au moment de la connexion.
Utiliser KNX IP Secure dans SharKNX
Charger les identifiants
Les identifiants peuvent être chargés à trois endroits de la page Connecter :
- Dans l'onglet Sécurité, qui affiche aussi le contenu du fichier chargé, notamment le nombre d'interfaces et d'appareils KNX Data Secure.
- Depuis la fiche d'une passerelle sécurisée, avec Charger identifiants.
- Depuis le menu ⋯ Actions, qui charge directement un trousseau de clés.
Les identifiants sont conservés après le redémarrage de l'application. Le chargement d'un nouveau trousseau remplace le précédent.
Se connecter
Les passerelles qui annoncent KNX IP Secure sont marquées comme sécurisées dans l'onglet Prêt. Si vous appuyez sur Aucune backbone key alors qu'aucun identifiant correspondant n'est chargé, SharKNX vous propose d'ouvrir d'abord l'onglet Sécurité.
En routing sécurisé, les routeurs KNX IP compatibles proposent une option multicast sécurisée. Son état indique Prêt lorsqu'une clé backbone est disponible ou Clé backbone manquante tant que vous n'en avez pas chargé.
Dépannage
L'authentification échoue lors de la connexion. Le mot de passe du tunnel ne correspond pas à celui de l'interface. Vérifiez que le trousseau provient du projet ETS utilisé lors de la dernière programmation de l'interface. Si elle a été reprogrammée depuis, exportez un nouveau trousseau.
« Aucune backbone key » s'affiche en routing sécurisé. Chargez un trousseau ou un projet contenant la clé backbone, ou saisissez la clé manuellement.
La connexion est établie, mais les télégrammes de groupe sécurisés restent chiffrés. Il s'agit de KNX Data Secure, pas d'IP Secure. Les clés de groupe se trouvent dans le même trousseau ou projet - voir KNX Data Secure.
Le récepteur rejette les commandes vers une adresse de groupe Data Secure. Sur un tunnel sécurisé, l'adresse de l'émetteur est toujours celle du tunnel. Les appareils récepteurs doivent accepter cette adresse comme émetteur - voir KNX Data Secure.
Pour aller plus loin
- Comment configurer KNX IP Secure - guide de connexion étape par étape
- KNX Data Secure - chiffrement au niveau des télégrammes
- Comment se connecter à une passerelle KNX - connexions tunneling et routing en général
