[DISKUSSION] Nutzt Ihr KNX Data Secure oder habt Ihr den Einsatz vorgesehen? Wünsche?

[StefanW]

Hallo Nils, danke.

zunächst für alle mitlesenden:

Der KNX Busmonitor und die KNX Objekte sind im Timberwolf Server unterschiedlich realisiert.

Im KNX Stack wird der Datenstrom mit dem KNX-TP Bus mehrfach gedoppelt:

1. Alle KNX-Pakete (außer ACK usw). gehen an alle Tunnel-Clients (und umgekehrt)
2. Alle KNX-Pakete gehen an alle Busmonitor-Clients (hier ist der ETS Busmonitor gemeint)
3. Alle KNX-Pakete gehen an den internen Logger zum Aufzeichnen und werden auch an den internen Busmonitor geliefert
4. Diejenigen KNX-Pakete mit PA-zu-GA Kommunikation, die assoziierte GAs betrifft, werden an das verknüpfte Objekt gesendet (und umgekehrt)


Hinsichtlich KNX Data Secure (also verschlüsselte und authentifizierte KNX Datenpakete) bedeutet das HEUTE (IP 5 zur V 4.5):

zu 1: Alle mit dem TWS nuzbaren - derzeit unverschlüselte - Tunnel transportieren auch KNX Data Secure (hat nichts mit der IP Tunnel Verschlüsselung zu tun), z.B. die Secure Programmierung aus der ETS. Weil es sind einfach "Extended Frame" Pakete, die hier transparent transportiert werden. Man nennt das auch "KNX Secure Kompatibel" (eigentlich Extended Frame kompatibel).

Zu 2. Für Busmonitor-Verbindungen gilt das gleiche, die Extendet Frames werden an den Busmonitor Client (i.d.R. die ETS) weitergegeben

Zu 3. Der interne Logger kann HEUTE (IP 5 zur V 4.5) keine KNX Secure Pakete entschlüsseln und die entschlüsselten Dateninhalte loggen und an den internen Busmonitor weiterreichen. Heute. Ende dieser Woche / Anfang nächster Woche wird es in der Entwicklerversion dann funktionieren. Also womöglich ab nächster Woche in der IP 6 verfügbar. Keine Terminzusage, es sieht mit Testsoftware im Labor schon gut aus, aber man weiß nie, auf welche Hürden man bei der Implementerung in die tatsächliche Software trifft.

Zu 4. Die Behandlung von KNX Data Secure Paketen durch den Stack selbst mit dem Objekthandling und der Secure Inbetriebnahme und der Secure Programmierbarkeit durch die ETS ist dagegen eine ganz andere Hausnummer vom Aufwand her. Da sind wir eher bei einem halben Mannjahr wenigstens und es braucht drei Zertifizierungen dafür (je für Tunnel, Stack, Applikation). Das wird noch etwas dauern.


Zu NIls Wunsch:

Der Busmonitor sollte die Telegramme anzeigen können und die Visu sollte auch Secure Telegramme verschicken können. 2 Punkte.

A. Der Busmonitor (und der Logger) werden zeitnah KNX Data Secure Telegramme verarbeiten können

B. Die VISU verschickt keine Secure Telegramme. Sie verschickt auch keine MQTT Telegramme oder liest den 1-Wire Bus aus. So wie andere Subsystene auch, werden Daten auf Objekten empfangen oder auf diese geschrieben. Hier sind es VISU Objekte, bei der Logik sind es Logik Objekte. Womit diese verknüpft sind und was das andere zuständige Subsystem dann damit macht, ist der VISU nicht bekannt.

Damit auf einen Druck in der VISU ein Secure Telegramm gesendet würde, müssen wir erst den KNX Stack ertüchtigen, wie oben unter "Zu 4." geschrieben.

lg

Stefan

[gbglace]

kurz und knapp aber exakt geschrieben. Wenn das schon so zeitnah daher kommt mit der Entschlüsselung im TWS-Busmonitor muss ich mir doch mal beschleunigt Data Secure HW zulegen.

Kennt wer neben den günstigen L&J Tastern noch andere günstige HW gerne auch etwas in Aktorik, die man sich da zulegen kann? der neue Enertex 230V Dimmer mit rund 380 € will noch nicht so schnell aus der spontanen Geldbörse fallen.

[StefanW]

Hi Göan,

kurz und knapp aber exakt geschrieben. Wenn das schon so zeitnah daher kommt mit der Entschlüsselung im TWS-Busmonitor muss ich mir doch mal beschleunigt Data Secure HW zulegen.

Du hast - vermutlich - Zeit bis Morgen.

Nein, Spaß. Kann vielleicht sein, dass es morgen zu den DEV geht, aber kann auch bis Mo. / Di. dauern.

Kennt wer neben den günstigen L&J Tastern noch andere günstige HW gerne auch etwas in Aktorik, die man sich da zulegen kann? der neue Enertex 230V Dimmer mit rund 380 € will noch nicht so schnell aus der spontanen Geldbörse fallen.

Das Angebot ist erstaunlich eingeschränkt, dafür dass es KNX Secure schon seit Jahren gibt. Gira hat wohl sehr günstige Secure Tastsensoren und es gibt auch IO-Module. Weinzierl hat einen 2-Kanal-Secure Aktor mit 1TE (KNX IO 510.1 secure (2O). Jung hat Tastsensoren und Aktoren. Dort gibt es auch eine Secure Tasterschnittstelle.

lg

Stefan

[gbglace]

Weinzierl Aktor und Weinzierl Taster mit T-Regler und Status LED bestellt. Taster ist aber Bestellware. Mal schauen wann es kommt.

[gurumeditation]

1. Weiß nicht, hab mich nicht damit beschäftigt. Vermutlich können das 1-2 Geräte...
2. Nein
3. Nein
4. Privat

[gbglace]

So mein TWS hat mich gestern benachrichtigt, dass Voltus mir ein Päckchen abliefern lassen hat. Heute bin ich noch in München auf der Messe und Morgen im Büro, aber am Wochenende werde ich dann mal Secure probieren.

[Sun1453]

@gbglace Du hast deinem Timberwolf Server beigebracht mit dem Paketboten zu sprechen, finde ich sehr interessant. Erzähle in einem anderen Thema gerne darüber.

[StefanW]

Hallo zusammen,

wir haben die Integration von KNX Secure im KNX Busmonitor und im KNX Logger fast umgesetzt.

KNX Data Secure Telegramme werden nun komplett entschlüsselt, die entschlüsselten Daten werden in Influx gespeichert (so dass man diese Daten mit Grafana später auswerten kann) und für diejenigen, die alles ganz genau wissen möchten, gibt es nun ein Mouseover im KNX Busmontor mit einer Detailanzeige zu jedem einzelnen KNX Telegram (sowohl im Echtzeitmodus als auch im Historie-Modus aus dem Log):


Neues Mouseover im KNX Busmonitor für jedes Telegramm




Gibt noch einiges mehr, dazu bei Gelegenheit eine umfangreiche Beschreibung. Wir haben hierzu HEUTE eine dritte Dev-Version damit herausgeben und die vielen Verbesserungen sollen somit recht bald mit der nächsten Insider erscheinen (wenn alles gut geht, nächste Woche, aber nicht versprochen, erst müssen die Tests alle absolviert werden)

lg

Stefan

[Micro]

Moin,

ich habe noch keine entsprechenden Geräte und nutze die Funktionen im EFH deshalb bisher noch nicht.

Gerade bei den leicht erreichbaren Geräten (Taster oder andere Externe) finde ich es aber auch im Privaten nicht unwichtig.

[KPU78]

Hallo,

privat:
1. ja, aber nur ein Gerät, da die Installation schon ein paar Jahre alt ist.
2. nein, ist bei einem Gerät auch sinnlos.
3. ja, vollumfänglich.

als Integrator für private Wohneinheiten:
1. Bei der Geräteauswahl steht noch die Funktionalität an erster Stelle. Wenn es Geräte mit Secure gibt, bevorzuge ich diese.
2. Ja, wird genutzt. IP secure halte ich für obligatorisch, da ich zukunftssichere Installationen anbieten möchte. Data secure mache ich aktuell eher der Vollständigkeit halber.
3. Ja, vollumfänglich.

als Integrator im gewerblichen Bereich:
1. Bei der Geräteauswahl sehr wichtig. Ich verwende Geräte ohne secure nur noch, wenn es für die geforderte Funktionalität keine Geräte gibt (z. B. DCF Zeitgeber)
2. Ja, wird genutzt. Bisher gab es noch keine diesbezügliche Anforderung der Auftraggeber, aber ich möchte nicht in ein paar Jahren dumm dastehen und mache den Zusatzaufwand "freiwillig".
3. Ja, vollumfänglich. Allerdings ist der TWS im gewerblichen Umfeld nicht so einfach zu platzieren. Oft sind in den Ausschreibungen spezielle Serverprofile gefordert oder die Installation kommt ohne zentralen Server aus.

Generell befürchte ich, dass wir noch keine Vorstellung davon haben, welche Angriffe auf die Gebäudetechnik insgesamt im KI-Zeitalter auf uns zukommen. Daher sollte man die Sicherheitsmechanismen, die zur Verfügung stehen, auch proaktiv verwenden.

Ich wünsche allen einen schönen Sonntag!
Kilian