Hay 332 invitados y ningún miembro en línea

KNX cuando lo complejo es ciberseguro

Más
4 años 11 meses antes #4210 por maji
Respuesta de maji sobre el tema Re: KNX cuando lo complejo es ciberseguro
Hola a todos,

Parece que los hackers (éticos) ya se han dado cuenta de la vulnerabilidad de KNX y nos lo muestran como un toque de atención en este articulo (febrero 2019).

Lo que más les sorprende es que no tenga protección usuario/password para acceso remoto a la red KNX mediante el router KNX-IP.

www.computest.nl/en/news/news-and-press-releases/homes-offices-vulnerable-unsecure-domotica/

Incluso han creado una web de test para saber si tu instalación KNX es vulnerable o no,... :)

www.knxscan.com/

Mi análisis no da vulnerabilidad y eso que entro desde fuera con 3 servicios cloud (Z41, Iddero HC2 y Loxone) y tengo Houseinhand solo a nivel interno (sin salida exterior por el router KNX-IP Weinzierl 750).

Ahora, que ya hay productos KNX Secure en el mercado, quizás es hora de ponerlos al frente de la instalación para evitar el hackeo.

El que avisa,... :)

salu2

maji

Los que piensan que la domótica es el futuro, viven en el pasado

Por favor, Identificarse o Crear cuenta para unirse a la conversación.

Más
7 años 2 meses antes #4121 por maji
Respuesta de maji sobre el tema Re: KNX cuando lo complejo es ciberseguro
Hola Alberto,

Gracias de verdad por participar en este tema.

El post pretende abarcar más aspectos sobre la ciberseguridad en la domótica a tener en cuenta, el ataque de DDOS es uno, pero otro más importante, a mi juicio, es el control remoto de una instalación domótica por hackers.

Seguramente habreis visto el video del hackeo de Bombillas LED Philips Hue desde un drone , el suceso se produce desde 70 metros de distancia estando los hackers a 250m desde donde despegan el dron, acceden a la red Zigbee de HUE y a su firmware para cambiarlo, bloquearlo (tienes que desmontar la bombilla para para poder actualizarlo de nuevo) y lanzar una secuencia "SOS" en morse como demostración del hackeo, en un edicifio de oficinas con compañías multinacionales como Oracle.

Aquí ya estamos hablando de Zigbee (que tiene su asociación) y de Philips,... nada menos.

En KNX la debilidad para control remoto esta en el router KNX/IP (si no tienes otro dispositivo, como los que pongo de ejemplo, que se salte el router para mandar direcciones de grupo al bus en remoto). Y si bien la KNX.org ahora pone los medios para construir dispositivos KNX/IP seguros, son los fabricantes los que tienen que crearlos, si la demanda de los mismos genera expectativas para poder venderlos. Pero no puede controlar los dispositivos no certificados que "se hablen con KNX" y dejen acceso remoto y los certificados KNX que no pasen por la seguridad de un router KNX/IP seguro.

Entonces, ¿hay que renunciar al control remoto para tener total seguridad?. Aunque nada es seguro 100%, se puede aislar el acceso remoto IP general y de esta forma evitar este tipo de ataques de control remoto externo no autorizado. En mi caso tenemos una red domótica en mi empresa en la misma LAN que el resto de servidores y esta LAN esta protegida por acceso externo VPN mediante dominio (usuario/password) y token (numero aleatorio que te da una app móvil o llave en cada conexión a la VPN). Es decir que igual que me conecto para trabajar desde casa puedo controlar parámetros de la red KNX de la empresa con la misma seguridad que tiene el acceso a los datos de la empresa.

Por cierto tenemos un iddero home server (ademas de 3 routers KNX/IP para 3 lineas) que serian los puntos vulnerables de ataques y que no lo son porque están protegidos de esta forma. En este caso no se usa el servicio idderocloud por restricciones de firewall y políticas de empresa. Pero no hace falta al tener acceso directo a la LAN por VPN+tocken. En edificios, hoteles, aeropuertos,... por ahí deberían ir los tiros.

En mi casa no esta tan protegido, y los elementos de acceso remoto no autorizado lo compondrían teóricamente: Loxone miniserver, Z41 remote, Iddero HC2-KNX, por acceso a sus clouds y Houseinhand si me hackean la clave de wifi (parece fácil con programas) y con la versión demo me localizan el router y lanzan on/off a 5 direcciones de grupo al azar, para fastidiarme,... pero es algo muy improbable a no ser que sean vecinos. :)

Otro caso que se me ocurre, a bote pronto, después de ver esta realidad de Zigbee es que infecten en remoto el firmware de los dispositivos que no necesitan ETS5.5 pero que si tienen KNX y te programen un robot que te envie 1's y 0's a todas las direcciones de grupo cada 1s desde la 0/0/0 a la 255/255/255,... aunque para ello tendrían que poder llegar a cada equipo para subir al versión hackeada del firmware o de forma más general cambiando la buena por la mala en la web del fabricante, si hackean la misma.

Bueno, esto es un poco lo que busco con las respuestas de los fabricantes, que digan como protegen sus productos de los diferentes ataques que se van dando. Si el post se mueve podremos hacer un resumen tipo entrevista a cada participante y eso supondrá un beneficio a la hora de elegir productos seguros a los integradores profesionales que nos leen.

De todas formas, que no se alarme nadie, porque son supuestos teóricos y la domótica profesional por desgracia "no es de masas" por lo que no es atractiva, de momento, a los hackers,... ;)

salu2

maji

Los que piensan que la domótica es el futuro, viven en el pasado

Por favor, Identificarse o Crear cuenta para unirse a la conversación.

Más
7 años 2 meses antes - 7 años 2 meses antes #4120 por iddero
Hola Maji,

En tu post identificas correctamente algunos de los factores que posibilitan este tipo de ataques.

En primer lugar, muchos de estos dispositivos de lo que llamas "la domótica independiente" son dispositivos sencillos, en muchos casos con un hardware muy limitado (por abaratar costes en producción, ya que se trata de productos de electrónica de consumo que se fabrican en cantidades masivas) que en la mayoría de los casos no es capaz de soportar soluciones existentes y probadas para seguridad / criptografía (las distintas implementaciones de TLS / SSL existentes en el mercado, incluyendo tanto soluciones open source como otras comerciales).

Por otra parte al tratarse de protocolos propietarios, creados ad-hoc por los fabricantes para dar respuesta a sus necesidades inmediatas, y no estar bajo el paraguas de una asociación, alianza, o comité que regule este tipo de aspectos, en muchos casos los fabricantes tienden a tomar "atajos", principalmente para reducir los costes y sobre todo los plazos de desarrollo, y poder poner antes los productos en el mercado. Y con frecuencia la primera víctima de estos "atajos" es todo lo relacionado con la seguridad.

En buena parte esto ocurre porque los usuarios aún no están del todo concienciados de la importancia de la seguridad en las comunicaciones, y de sus implicaciones, y por tanto la seguridad no es una característica que "venda". Y así, cuando llega el momento de recortar....

Y eso que vivimos en un mundo en el que existen ya más dispositivos conectados que seres humanos, y dependiendo de la fuente, se estima que el número de dispositivos conectados alcanzará cifras entre los 20 y los 50 billones (billones americanos, es decir, miles de millones) para 2020.

En definitiva, la situación es una combinación de varios factores:

- Una tendencia a recortar costes típica en el sector de electrónica de consumo, que en muchos casos impide el uso de soluciones existentes y obliga a "reinventar la rueda", algo que en este terreno (seguridad y criptografía) suele tener consecuencias desastrosas.

- En muchos casos, la falta de un organismo (asociación, alianza, etc.) que establezca unos mínimos estándares o directrices en lo que se refiere a seguridad, quedando este aspecto a merced de lo que decida cada fabricante.

- Un problema cultural: La falta de conciencia por parte del usuario (de la sociedad) de la importancia crítica de la seguridad en las comunicaciones.

Imagino que cuando la sociedad empiece a tomar conciencia de las implicaciones del problema y empiece a ser más exigente en todo lo relativo a la seguridad, los fabricantes no tendrán más remedio que "ponerse las pilas". Hasta entonces, me temo que veremos más noticias como la que motivó originalmente este post (del ataque DDoS a dispositivos IoT)

Saludos,

Alberto Torrecillas
www.iddero.com
Última Edición: 7 años 2 meses antes por iddero .

Por favor, Identificarse o Crear cuenta para unirse a la conversación.

Más
7 años 5 meses antes - 7 años 4 meses antes #4096 por maji
Hola a todos,

Ayer leía un articulo en twitter sobre ciberseguridad e IoT (Internet of thinks) acerca del último ataque masivo de DDoS que colapsó servicios de DDNS y que afectó a grandes compañias (Twitter, Spotify, Paypal,...) y como los hackers están usando dispositivos conectados a internet que tenemos por casa (camaras IP, TV, cafeteras, domótica,...) para infectar el código y lanzar estos ataques, que colapsan servicios mediante miles de millones de peticiones robot a la vez lanzadas por estos "dispositivos zombi", por lo que las peticiones reales no pueden acceder por saturación al servicio atacado.

Esto me llevó a pensar, que la "domótica" independiente , es decir, aquella que se va adquiriendo comprando dispositivos independientes para cubrir un sólo servicio (ej: control de luces), sin integrarse con otros sistemas (ej: control de clima), mediante un protocolo de comunicaciones común, como KNX, que necesita de un software externo (ETS) para poder programar los dispositivos KNX y por tanto esta aislado de ciberataques por este medio y en cambio los dispositivos smart independientes "objetos conectados inteligentes" (IoT) con firmware actualizable en remoto no.

Lo que los hace particularmente vulnerables es su simplicidad, que es lo que venimos criticando de KNX, y la facilidad de acceder a ellos de forma remota, que es el medio por donde se infectan. En el articulo comentaban que el primer remedio contra esto es tan sencillo como cambiar el usuario: "admin" y el password: "admin" que suele venir por defecto y que los hackers scannean para infectar los dispositivos.

Es cierto que KNX, tenía una vulnerabilidad en la parte IP que se ha corregido mediante encriptación de telegramas con el último ETS 5.5 (KNX Data Secure) y/o con dispositivos encriptados (routers KNX/IP Secure) para robustecer el acceso a las redes KNX y de esta forma tratar de evitar tomar control remoto no autorizado de las instalaciones KNX via IP.

Del mismo modo como no se quieren quedar atrás para actualizarse a IoT , esta creando gateways donde mapear proyectos KNX y "traducirlos" mediante servicios Web, de manera que la red de dispositivos KNX puedan comunicarse a través de internet, vía el KNX Web Service Gateway.

Por otra parte estan los servicios "cloud" en servidores externos conectados, desde donde se puede acceder vía pasarelas KNX/IP con firmware propio que muchos fabricantes KNX (certificados o no) tienen en forma de: pantallas tactiles (Iddero,...), servidores (Gira,...), miniservers (Loxone,...) e incluso controladores de estancias (Zennio,....). Posible blanco de ataques DDoS: nos impidan acceder por colapso del servicio y/o también puedan ser infectados con malware robot si consiguen levantar las contraseñas del servicio cloud, al igual que han hecho con las cámaras IP, las smart TV's, smart coffe machines, smart termostatos,... y todo aparato que lleve "smart" en su nombre que tengamos por casa.

De esto último me gustaría que participaran en el post los fabricantes KNX o los que usan el protocolo KNX en sus pasarelas, dándonos su visión y medidas de seguridad básicas en cada caso.

Como conclusión, parece que lo complejo es más ciberseguro que lo sencillo,... para tener en cuenta a la hora de analizar los sistemas de cara al usuario y al profesional, metiendo todo en el análisis, sobre todo la ciberseguridad.

Salu2

maji

Los que piensan que la domótica es el futuro, viven en el pasado
Última Edición: 7 años 4 meses antes por maji.

Por favor, Identificarse o Crear cuenta para unirse a la conversación.

Tiempo de carga de la página: 0.153 segundos