Mark Warburton explica los fundamentos de KNX Secure y ofrece una guía paso a paso sobre cómo configurar sistemas KNX Secure en ETS.
Hay muchos aspectos que hacen que KNX destaque frente a otros sistemas; el más importante es la estandarización del sistema, que se traduce en más de 30 años de compatibilidad con versiones anteriores. El hecho de que la Asociación KNX haya sido capaz de mantener esto merece un gran reconocimiento; sobre todo si se tiene en cuenta lo mucho que ha evolucionado y se ha expandido el sistema a pesar de este principio clave. En ningún otro ámbito es esto más relevante que en la implementación de KNX Secure. KNX Secure, que ya es una parte consolidada del sistema, permite cifrar tanto la comunicación entre dispositivos como la comunicación IP con el sistema, restringiendo el acceso únicamente a los usuarios autorizados.
Ahora que ya se han lanzado innumerables productos KNX Secure, veamos cómo configurar estos productos en ETS. Pero primero, aquí tienes un breve resumen de qué es KNX Secure.
Conceptos básicos de KNX Secure
KNX Secure es una extensión del estándar KNX que permite codificar la comunicación IP o los telegramas en el bus mediante el cifrado AES128. Esta necesidad ha surgido debido a la demanda de soluciones seguras por parte de los consumidores. Aunque siempre ha sido posible crear un acceso remoto seguro a una instalación KNX utilizando métodos IP estándar, como las VPN (redes privadas virtuales), todavía existen numerosas instalaciones KNX en todo el mundo que se han configurado para permitir el acceso abierto desde Internet, ya sea de forma involuntaria o deliberada para facilitar el acceso remoto. Dado que esto supone un riesgo de seguridad inherente tanto para los proyectos individuales como para la reputación general de KNX como sistema robusto, tanto los fabricantes como la Asociación KNX han diseñado e implementado una capa de seguridad integrada que permite que los proyectos sean seguros desde el principio. KNX Secure tiene dos aspectos: IP Secure y Data Secure.
KNX IP Secure
KNX IP Secure codifica todo el tráfico IP de KNX en una envoltura de seguridad que garantiza que solo los dispositivos y aplicaciones autorizados puedan leer los mensajes. Esto es válido para conexiones de multidifusión o de túnel y también puede aplicarse a las conexiones de puesta en marcha de ETS, de modo que todas las descargas a los dispositivos estén protegidas.
KNX Data Secure
KNX Data Secure funciona a nivel de objeto individual, lo que permite codificar los datos de cada telegrama en todos los medios de comunicación. Esto podría utilizarse para proteger datos sensibles o para restringir el acceso a funciones de todo el sistema central, dejando que el resto del sistema KNX se comunique de la forma habitual.
En ambos casos, existen diversos mecanismos de seguridad que garantizan que los telegramas no puedan ser manipulados ni repetidos, y la Asociación KNX ha trabajado intensamente para garantizar que la configuración sea lo más sencilla posible, al tiempo que se mantiene el máximo nivel de protección.
Para trabajar con productos KNX Secure, es imprescindible utilizar la última versión de ETS, ya sea la ETS 5.7.6 o, idealmente, la recién lanzada ETS 6.
Configuración de KNX Secure
En este ejemplo, veremos cómo crear una línea troncal IP segura con un router IP que también admita conexiones de túnel. También veremos cómo crear una dirección de grupo de datos segura.
Antes incluso de poder añadir dispositivos KNX Secure a ETS, deberá introducir una contraseña de proyecto en la pestaña de detalles principales. Dado que ETS actúa, en la práctica, como administrador en una instalación segura, es fundamental que no sea posible acceder sin permiso.
Incorporación del FDSK
El siguiente paso consiste en añadir la clave predeterminada de fábrica (FDSK) de los productos seguros en ETS. Se trata de la clave predeterminada que aparece impresa en el dispositivo o que se suministra en una tarjeta independiente, y que se utiliza para autorizar inicialmente un dispositivo. Tras este primer uso, ETS utiliza claves de dispositivo que solo conocen los dispositivos de seguridad y ETS.
La FDSK se puede añadir a ETS bien en la pestaña principal de seguridad, bien al añadir dispositivos seguros individuales. En cualquier caso, puedes utilizar una cámara USB o un escáner de mano para leer los códigos QR y ahorrarte tener que teclear el código de 32 dígitos.
Añadir productos
Si ya has añadido las claves, cuando añadas los productos desde el Catálogo, el sistema seguirá solicitando el FDSK, ya que este solo se vincula al direccionar el dispositivo. Sin embargo, es posible ocultar esta solicitud. Observará que, al buscar dispositivos KNX Secure en el Catálogo, se mostrarán con un candado.
Activación de las funciones de KNX IP Secure
Una vez que los productos estén en el proyecto, puede habilitar las funciones de seguridad en la línea principal o en la línea troncal seleccionándola en la vista de topología y, a continuación, modificando la configuración en la pestaña de detalles. Al configurarla en «automático», ETS utilizará la seguridad siempre que sea posible, es decir, cuando todos los dispositivos la admitan.
El resto de ajustes se realizan en cada uno de los dispositivos. Puede optar por utilizar la puesta en marcha segura en la pestaña de configuración principal y, a continuación, añadir una contraseña en la pestaña IP.
También puede habilitar por separado la seguridad en conexiones de túnel individuales, ya sea para la puesta en marcha o para que se conecten sistemas de terceros. En este caso, deberá añadir un código de autenticación en la pestaña «IP» del dispositivo principal (véase la imagen superior), así como una contraseña para cada conexión de túnel (véase la imagen inferior).
La posibilidad de habilitarlas de forma individual es fundamental, ya que permite que el sistema siga funcionando con sistemas externos que aún no sean compatibles con KNX Secure. Dado que esto queda fuera del ámbito de la Asociación KNX , la presión del mercado obligará a los proveedores de soluciones de terceros a actualizarse al estándar KNX Secure.
Activación de las funciones de KNX Data Secure
KNX Data Secure es aún más fácil de utilizar. En la pestaña de configuración de una dirección de grupo, puede establecer la seguridad en «Automática». De este modo, siempre que todos los objetos procedan de dispositivos seguros, la seguridad se aplicará automáticamente a esa dirección de grupo específica.
Diagnósticos
Dado que ETS y el proyecto contienen los datos de seguridad, cualquier diagnóstico debe realizarse desde el entorno del proyecto para garantizar que las claves puedan utilizarse.
Conclusión
Dado que todos los nuevos productos KNX son compatibles con KNX Data Secure, y dada la amplia gama de dispositivos IP Secure disponibles, ahora es totalmente posible impedir el acceso a un sistema KNX por parte de quienes tengan intenciones maliciosas. Cuando se integra en un proyecto, es increíblemente fácil de implementar y pronto se convertirá en algo natural para quienes trabajan habitualmente con KNX.
KNX Secure supone una gran oportunidad para demostrar cómo KNX está a la vanguardia de las soluciones de automatización de edificios, incluso con la complejidad añadida de ser una solución estandarizada de protocolo abierto.
Mark Warburton es director de Ivory Egg (UK) Ltd, un proveedor de productos KNX líderes en el mercado y organizador de cursos de formación sobre KNX.
