Michael Critchfield explica por qué es recomendable el acceso remoto, cuáles pueden ser los riesgos y cómo garantizar su seguridad.
KNX Secure, que incluye tanto IP Secure como Data Secure, ha preparado el estándar KNX para hacer frente a las crecientes expectativas y normativas en materia de ciberseguridad. KNX Secure es compatible con los estándares de cifrado más seguros según la norma ISO 18033-3, como el cifrado AES 128 CCM, para prevenir de forma eficaz los ataques a la infraestructura digital de los edificios. A través de IP Secure, garantiza la seguridad de la comunicación IP entre dispositivos KNX Secure ampliando el protocolo IP de tal forma que todos los datos intercambiados queden completamente cifrados. Al mismo tiempo, mediante Data Secure, protege los datos de los usuarios contra el acceso y la manipulación no autorizados mediante cifrado y autenticación.
Las instalaciones KNX pueden protegerse contra los ataques y, hoy en día, la oferta de dispositivos compatibles con KNX Secure ha crecido de forma significativa. Sin embargo, en las instalaciones KNX existentes, que posiblemente no cuenten con KNX Secure, pero que sí tengan habilitada la comodidad del acceso remoto, suele haber otra preocupación acuciante.
Acceso remoto
El acceso remoto a tu instalación KNX es un concepto maravilloso, y no es una idea nueva. Mucho antes de que las instalaciones pudieran aprovechar KNX IP Secure, ya existía la demanda de permitir el acceso a una instalación KNX desde cualquier parte del mundo: una gran idea, cuando se hace bien.
Hay varias razones por las que el acceso remoto es deseable. En primer lugar, el cambio de estación suele ser un momento clave para realizar visitas de mantenimiento, ya que es posible que algunas partes del sistema hayan estado inactivas durante los últimos meses. Aunque siempre hay elementos del sistema que requieren una inspección in situ, encontrar formas de probar y dar soporte a los sistemas de forma remota supone una mayor comodidad para ambas partes y una reducción de los costes de las visitas in situ. En segundo lugar, la supervisión remota por parte del integrador de sistemas puede ayudar a detectar cualquier problema e incluso anticiparse a ellos antes de que se conviertan en un inconveniente. Y en tercer lugar, los usuarios pueden preparar la vivienda para que resulte acogedora a tiempo para su inminente regreso.
No dejes la puerta principal abierta
Históricamente, en algunos casos, el acceso remoto se implementaba «abriendo la puerta principal», por así decirlo, es decir, utilizando un reenvío de puertos no autorizado a través del puerto 3671 del router de red: el método más sencillo y con un coste inicial adicional mínimo o nulo.
Era poco probable que los propietarios de una red supieran que su router estaba configurado con el puerto 3671 abierto y, aunque esto permitiría al propietario disponer de acceso remoto, a menos que se tomaran medidas adicionales, también permitiría a cualquier otra persona acceder, simplemente conociendo la dirección IP de la instalación KNX. Por lo tanto, si la red estuviera emparejada con una instalación KNX, a menos que se hubieran implementado KNX IP Secure y Data Secure, quienes tuvieran malas intenciones podrían acceder a través del router y, potencialmente, controlar y rastrear la comunicación del bus.
Los tiempos han cambiado. Ahora contamos con KNX Secure y sabemos que no basta con reenviar el puerto KNX 3671. Las opciones incluyen habilitar KNX Secure, configurar redes dedicadas, aplicar protocolos estándar de cortafuegos y acceso autorizado a las pasarelas de acceso remoto, utilizar VPN (redes privadas virtuales) o, incluso, establecer una contraseña para la BCU (unidad de acoplamiento de bus) de su instalación KNX como último recurso.
Es cierto que supone un esfuerzo inicial ligeramente mayor, pero a la larga te lo agradecerás.
Comprobación de seguridad KNX
La Asociación KNX está en constante evolución, ampliando el estándar KNX y aportando al mercado soluciones mejores y más seguras. En 2024, lanzamos la Comprobación de seguridad KNX.
Con esta herramienta puedes comprobar si tu propia dirección IP actual tiene el puerto 3671 abierto. Solo te llevará unos segundos y sabrás si estás a salvo o si debes actuar de inmediato.
Cuando el usuario la activa, la herramienta de comprobación de seguridad envía una solicitud de descripción KNXnet/IP al puerto 3671 de la dirección IP actual del usuario. En el mejor de los casos, y en la mayoría de ellos, el router del usuario ignora la solicitud (tiempo de espera agotado), lo que significa que no se puede establecer una conexión, no se encuentra ninguna instalación KNX y el usuario parece estar a salvo. Sin embargo, en el peor de los casos, un router configurado para mantener abierto el puerto 3671 permitirá que la solicitud de descripción de KNXnet/IP llegue a la instalación KNX, y su interfaz IP responderá con su dirección MAC y el nombre del dispositivo.
La herramienta no causa ningún daño, pero el resultado informará al usuario de que debe tomar medidas para proteger la instalación KNX.
Conclusión
Ejecute la Comprobación de seguridad KNX para averiguar si el router de su red tiene abierto el puerto 3671. Si es así, la herramienta de comprobación de seguridad, disponible en varios idiomas, ofrece información útil sobre qué hacer.
Michael Critchfield es el responsable de productos ETS de la Asociación KNX.
