Los profesionales de KNX Andy Ellis y Julio Díaz García señalan los riesgos de un sistema inseguro y cómo evitarlos invirtiendo en conocimientos básicos de informática.
Si tu sistema KNX está conectado al mundo exterior, ¿estás seguro de que es seguro? Si no es así, ¿cuáles son las posibles consecuencias? En primer lugar, hablamos con Andy Ellis sobre su experiencia en un suceso reciente en el que se pirateó una instalación KNX. A continuación, Julio Díaz nos da consejos sobre cómo evitar esta situación empleando los mecanismos informáticos adecuados para la comunicación.
¿Qué ocurre si tu sistema no es seguro?
Andy Ellis: Lo primero que se te vendría a la mente ante una brecha de seguridad es la capacidad de un hacker para capturar datos del bus KNX. Me pregunto qué haría alguien con esta información, pero lo cierto es que, sin un sistema KNX seguro, fuentes externas podrían tener acceso a estos datos.
En segundo lugar, en un sistema no seguro, existe la posibilidad de que un tercero envíe datos al sistema. Esto conlleva el riesgo de que el código se vea corrompido o, lo que es peor, de que uno o varios componentes concretos se vean afectados. En este punto, creo que es pertinente compartir mis experiencias sobre unos hechos recientes.
Recibimos una llamada de una instalación que había perdido todo el control de la iluminación y, por si fuera poco, también de la calefacción. La instalación tenía más de diez años y había estado funcionando perfectamente antes del incidente. Aunque se disponía de una copia del archivo ETS, no había ninguna otra documentación del instalador anterior.
Determinar dónde radica el problema
Nuestro primer intento de diagnóstico se realizó por teléfono y por correo electrónico, y los primeros indicios apuntaban a un posible problema con la fuente de alimentación o el bus. Era necesaria una visita para profundizar en el asunto. Una rápida inspección visual reveló que no se había disparado ningún interruptor de la red eléctrica y que los controladores de las habitaciones y los interruptores recibían alimentación (tenían las pantallas activas y/o los LED encendidos). Los cuadros de distribución principales también tenían relés y reguladores de intensidad con LED encendidos en diversos estados. Hmmm. Así que quizá no sea un problema de la fuente de alimentación. Tras comprobar la tensión del bus y, a continuación, apagar la fuente de alimentación y aislarla, parece que la alimentación del bus está bien. Curioso.
Entonces, ¿qué está conectado al bus? Quizá haya un cortocircuito o algún tipo de fallo. Una investigación más detallada revela una interfaz IP activa y un «módulo lógico de terceros» (conectado por Ethernet), así como una conexión a un sistema de automatización de terceros que permite controlar la iluminación y la calefacción desde sus pantallas. La desconexión física de estos dispositivos no tiene ningún efecto sobre el estado del sistema.
Diagnóstico ETS
¿Podemos entonces conectar un portátil y utilizar el diagnóstico ETS? Pues sí… y un escaneo de línea muestra un buen número de componentes activos. Al examinar más detenidamente las propiedades de los componentes individuales, descubrimos que ciertos elementos —los que no funcionan—, como los controladores de ambiente, los interruptores y los reguladores de intensidad, no tienen tabla de direcciones de grupo. ¡Pues por eso no funcionan!
Un análisis más detallado revela que estos componentes defectuosos no aceptan la descarga de programas, ya que tienen activada la opción «BCU pass» (pero no está activada en el programa, y, por lo que se sabe, nunca lo ha estado). La ÚNICA forma de reprogramar estos elementos es realizar un restablecimiento de fábrica. ¿Y adivina qué? La mayoría de los componentes KNX individuales no se pueden restablecer a los valores de fábrica. El resultado final es una instalación totalmente inoperativa que requiere muchos miles de libras en componentes nuevos para su reparación, además, por supuesto, de la mano de obra del ingeniero o programador.
Entonces, ¿qué provocó este fallo catastrófico? No lo sé, y con toda probabilidad nunca lo sabré. Sin embargo, existe una probabilidad muy alta de que, dado que el sistema tenía una interfaz IP con conexión remota, se produjera algún tipo de «ataque» remoto.
Lecciones aprendidas: en primer lugar, ¿es necesario que tu sistema KNX esté conectado al mundo exterior? Si te lo estás planteando, ¿cuáles son las ventajas? Y si decides seguir adelante con una conexión IP, mi consejo sería que investigaras y comprendieras todas las implicaciones que conlleva un sistema seguro. Puede que el acceso remoto a tu sistema para recuperar datos no sea tan preocupante como un acceso remoto malintencionado con el objetivo de alterar los datos de alguna manera.
Cómo garantizar la seguridad de tu sistema si tienes que conectar tu sistema KNX al mundo exterior
Julio Díaz García: En primer lugar, debo subrayar el principio de que KNX es una tecnología «abierta y segura». Sin embargo, debemos asegurarnos de aplicar los criterios adecuados y las herramientas que la Asociación KNX y la herramienta ETS ponen a nuestra disposición para garantizar este principio. La posibilidad de acceder a las instalaciones de forma remota es una ventaja que ofrece KNX y una necesidad en muchos casos. En los hogares, por ejemplo, facilita mucho la vida a los usuarios en muchos aspectos, como la supervisión, la modificación remota de los valores de consigna, la recepción de alarmas y avisos, etc. En el caso de los edificios, permite un mantenimiento remoto las 24 horas del día, los 7 días de la semana, cuando el gestor, el propietario o el integrador necesiten gestionar sus instalaciones sin desplazarse innecesariamente.
Garantizar un acceso seguro
Antes de comentar qué podemos hacer para lograr una instalación segura y accesible de forma remota, debo destacar lo que NUNCA se debe hacer: permitir el acceso remoto a través del puerto UDP 3671. Este punto es bien conocido por los hackers y equivale a una «alfombra roja» para estos invitados no deseados.
Otra herramienta de la que dispone el integrador es la clave BCU, disponible desde hace muchos años para todos los dispositivos KNX (excepto los dispositivos System-1 más antiguos). Mi consejo es que los dispositivos se programen siempre con una clave BCU, ya que el atacante tendría que adivinar la contraseña entre 4.29 mil millones de posibilidades. El uso de la clave BCU no supone ninguna molestia para el integrador, ya que el ETS nunca la solicita si se está utilizando el proyecto ETS original .
Para permitir un acceso seguro a una instalación KNX existen varias posibilidades:
1) Configurar una conexión VPN en el router de la instalación. Esta es la mejor opción, pero a veces puede resultar compleja para los integradores habituales.
2) Utilizar pasarelas IP KNX que permitan la configuración de servicios seguros de VPN como OpenVPN, ZeroTier, etc.
3) Utilizar dispositivos de acceso IP KNX con comunicación cifrada.
4) Utilizar dispositivos KNX TP con conexión a la nube mediante IP (no estándar KNX).
5) Para instalaciones medianas y grandes, utilizar una plataforma BMS con un controlador nativo KNX que permita la integración y supervisión seguras de instalaciones KNX a gran escala.
Estos métodos tienen por objeto evitar el escenario descrito por Andy al principio de este artículo, que, en mi opinión, es el más peligroso y, actualmente, el más fácil para los hackers si no se toman las medidas adecuadas. Además, el uso de dispositivos KNX IP Secure y KNX Data Secure en las instalaciones resolverá cualquier escenario de amenaza adicional que pueda surgir.
Abierto, seguro y conectado
La Asociación KNX ofrece una gran variedad de información sobre la seguridad de las instalaciones en forma de folletos, vídeos y seminarios web. Además, los Centros de Formación KNX ofrecen a los socios de KNX y a otras personas una amplia gama de cursos útiles, entre los que se incluyen la formación avanzada de KNX y la nueva formación de actualización de KNX, que incluyen un capítulo dedicado a tratar todos los temas mencionados anteriormente. Todo ello está diseñado para garantizar que las instalaciones KNX sigan siendo de vanguardia en todo el mundo, al tiempo que se mantienen abiertas, seguras y conectadas.
Andy Ellis es el fundador y director general de Household Automation Ltd, y de su empresa asociada Knxion Ltd, proveedoras de servicios de consultoría, diseño, instalación y mantenimiento en el ámbito de la automatización de edificios para clientes dedicados a la construcción de inmuebles residenciales y comerciales.
www.household-automation.co.uk
Julio Díaz es ingeniero industrial y propietario de SAPIENX AUTOMATION, una empresa española dedicada a la ingeniería y la consultoría, así como centro de formación certificado por KNX++, con 25 años de experiencia en domótica, automatización de edificios y soluciones BMS.
