ממסר מוצפן של Zennio KNX Secure Securel v2

עדכוני מסמכים

גִרְסָה	שינויים	עמודים
b	נוספו הוראות לביצוע איפוס להגדרות היצרן.

מָבוֹא

עד כה, הנתונים ששודרו במתקנת אוטומציה של KNX היו פתוחים וניתן היה לקרוא אותם ולעשות עליהם מניפולציות על ידי כל מי שיש לו ידע מסוים עם גישה למדיום KNX, כך שהאבטחה מובטחת על ידי מניעת גישה לאפיק KNX או להתקנים. פרוטוקולי KNX Secure החדשים מוסיפים אבטחה נוספת לתקשורת בהתקנת KNX כדי למנוע סוג כזה של התקפות.

מכשירים עם KNX מאובטח יוכלו לתקשר בצורה מאובטחת עם ETS וכל מכשיר מאובטח אחר, מכיוון שהם ישלבו מערכת לאימות והצפנה של המידע.

ישנם שני סוגים של אבטחת KNX שניתן ליישם בו זמנית באותה התקנה:

• KNX Data Secure: מאבטח את התקשורת בתוך התקנת KNX.
• KNX IP Secure: עבור התקנות KNX עם תקשורת IP, מאבטח תקשורת דרך רשת IP.

התקן KNX מאובטח מתייחס למכשיר שיש לו את היכולת הבסיסית לאפשר תקשורת מאובטחת, אם כי לא תמיד נדרש לעשות זאת. תקשורת לא מאובטחת בהתקני KNX מאובטחים שווה לתקשורת שנוצרה בין מכשירים ללא אבטחת KNX.

השימוש באבטחה תלוי בשתי הגדרות משמעותיות בפרויקט ETS:

• אבטחת הפעלה: מגדירה האם במהלך ההפעלה, התקשורת עם ETS צריכה להיות מאובטחת או לא ופותחת את האפשרות להפעיל את אבטחת זמן הריצה.
• אבטחת זמן ריצה: קובע אם במהלך זמן ריצה, התקשורת בין מכשירים צריכה להיות מאובטחת או לא. במילים אחרות, הוא קובע אילו כתובות קבוצתיות יהיו מאובטחות. על מנת להפעיל את האבטחה בזמן ריצה, יש להפעיל את אבטחת ההפעלה.

הפעלת האבטחה במכשירי KNX Secure היא אופציונלית. אם הוא מופעל, הוא מוגדר בנפרד בכתובות הקבוצתיות, כך שניתן לאבטח את כל או רק חלק מהאובייקטים, בעוד שהשאר יכולים לתפקד כרגיל עם מכשירים לא מאובטחים. במילים אחרות, מכשירים עם ובלי KNX Secure יכולים להתקיים במקביל באותה התקנה.

תְצוּרָה

מגרסה 5.7 של ETS ואילך, מתאפשר השימוש באבטחת KNX וכל הפונקציות שלה לעבודה עם מכשירים מאובטחים.
בחלק זה מוצג מדריך לתצורה של KNX מאובטח בפרויקטים של ETS.

KNX DATA SECURE

יישומו מבטיח תקשורת בין מכשירי קצה. מכשירי KNX מאובטחים ישדרו מברקים מוצפנים למכשירים אחרים שיש להם גם KNX מאובטח.

ניתן יהיה לבחור עבור כל כתובת קבוצה האם התקשורת תהיה מאובטחת או לא.

הפעלה מאובטחת

כאשר למכשיר יש הפעלה מאובטחת, התקשורת בין ETS למכשיר תתבצע במצב בטוח.

למכשיר צריכה להיות מוגדרת הפעלה מאובטחת בכל פעם שיש אבטחת זמן ריצה, כלומר אחד מהאובייקטים שלו משויך לכתובת קבוצתית בטוחה (ראה סעיף 2.1.2).

פֶּתֶק: שימו לב שנוכחות של מכשיר מאובטח בתוך פרויקט ETS, מרמזת על הגנה על הפרויקט עצמו באמצעות סיסמה.

פרמטר ETS
ניתן להגדיר את ההפעלה המאובטחת מהכרטיסייה "תצורה" בחלון "מאפיינים" של המכשיר.

הפעלה מאובטחת [מופעל / מושבת]: מאפשר לבחור אם ETS צריך לתקשר עם המכשיר במצב בטוח או לא, כלומר להפעיל או להשבית את KNX מאובטח במכשיר.
אם נבחרה האפשרות "מופעל", יהיה חובה להחזיק סיסמה עבור הפרויקט.

 

איור 3. פרויקט - הגדר סיסמה.

דרך נוספת להגדיר סיסמה בפרויקט היא דרך החלון הראשי ("Overview”) של ETS. בעת בחירת הפרויקט, יוצג קטע בצד ימין שבו, תחת "פרטים", ניתן להזין את הסיסמה הרצויה.

איור 4. ETS - סיסמת מכשיר.

הוסף אישור מכשיר: אם הפעלה מאובטחת "מופעלת", ETS תבקש, בנוסף לסיסמה, תעודה ייחודית עבור המכשיר.
האישור שיש להוסיף [xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx-xxxxxx] מורכב מ-36 תווים אלפאנומריים הנוצרים מהמספר הסידורי ומ-FDSK (מפתח ברירת המחדל של היצרן) של ההתקן. הוא כלול במכשיר ומכיל את קוד ה-QR המתאים לסריקה קלה.

 

איור 5. פרויקט - הוסף אישור מכשיר.

ניתן להוסיף אישור מכשיר גם מחלון ה-ETS הראשי ("Overview"), על ידי גישה לקטע "אבטחה" של החלון החדש המוצג בצד ימין בעת ​​בחירת הפרויקט.

איור 6. ETS - הוסף אישור מכשיר.

במהלך ההפעלה המאובטחת הראשונה, ETS מחליפה את ה-FDSK של המכשיר במפתח חדש (Tool Key) שנוצר בנפרד עבור כל מכשיר.
אם הפרויקט יאבד, כל מפתחות הכלים יאבדו איתו, ולכן לא ניתן לתכנת מחדש את המכשירים. על מנת שניתן יהיה לשחזר אותם, יש לאפס את ה-FDSK.
ניתן לשחזר את ה-FDSK בשתי דרכים: לאחר פריקה, בתנאי שהוא מבוצע מהפרויקט בו בוצעה ההפעלה הראשונה, או לאחר איפוס ידני למפעל (ראה סעיף 3).

תקשורת קבוצתית מאובטחת
כל אובייקט של מכשיר מאובטח יכול להעביר את המידע שלו בצורה מוצפנת, ובכך לבסס אבטחה בתקשורת או בהפעלה.

כדי שלאובייקט יהיה אבטחת KNX, יש להגדיר אותו מכתובת הקבוצה עצמה, כלומר הכתובת שאליה האובייקט ישויך.

פרמטר ETS
הגדרות אבטחת התקשורת מוגדרות בלשונית המשנה "תצורה" בחלון "מאפיינים" של כתובת הקבוצה.

איור 7. KNX Data Secure - אבטחת כתובת קבוצתית.

אבטחה [אוטומטי / מופעל / כבוי]: בהגדרה "אוטומטית", ETS מחליטה אם ההצפנה מופעלת אם שני האובייקטים המקושרים יכולים לתקשר בצורה מאובטחת.

הערות:

• כל אובייקט המקושר לכתובת קבוצתית מאובטחת יהיו אובייקטים מאובטחים.
• לאותו מכשיר יכולה להיות כתובת קבוצתית מאובטחת וגם לא מאובטחת.

ניתן לזהות אובייקטים מאובטחים באמצעות "מגן כחול".

איור 8. אובייקט מאובטח.

KNX IP SECURE

אבטחת KNX IP מיועדת להתקנות KNX עם תקשורת IP. הטמעתו מבטיחה החלפה מאובטחת של נתוני KNX בין מערכות באמצעות התקני KNX מאובטחים עם חיבור IP.

סוג זה של אבטחה מיושם על ממשקי אפיק ורק במדיום IP, כלומר מברקים מאובטחים מועברים בין מחברי KNX IP מאובטחים, התקנים וממשקים.

על מנת שהעברת מברקים בקו ראשי או תת-קו תהיה מאובטחת, יש להפעיל אבטחה באפיק KNX (ראה סעיף 2.1).

איור 9. סכימת KNX IP Secure

הפעלה מאובטחת
בסוג זה של אבטחה, בנוסף להפעלה מאובטחת בסעיף 1.1.1, ניתן להפעיל גם "מנהור מאובטח". ניתן למצוא פרמטר זה בלשונית "הגדרות" של חלון מאפייני המכשיר בצד ימין של מסך ה-ETS.

פרמטר ETS
הגדרות האבטחה של ההפעלה והמנהור מוגדרות מהכרטיסייה "תצורה" בחלון "מאפיינים" של המכשיר.

איור 10. KNX IP Secure - Secure Commissioning and Tunneling.
בנוסף להפעלה מאובטחת והלחצן הוסף אישור התקן, שהוסבר בעבר בסעיף 2.1.1, יופיעו גם:

• מנהור מאובטח [מופעל / מושבת]: פרמטר זמין רק אם הפעלה מאובטחת מופעלת. אם מאפיין זה הוא "מופעל", הנתונים המועברים דרך חיבורי המנהרה יהיו מאובטחים, כלומר המידע יוצפן באמצעות מדיום ה-IP. לכל כתובת מנהרה תהיה סיסמה משלה.

איור 11. סיסמת כתובת מנהור.

לשונית ה-IP של המוצר מכילה גם את סיסמת ההפעלה ואת קוד האימות, הנדרשים ליצירת כל חיבור מאובטח למכשיר.

איור 12. סיסמת הפעלה וקוד אימות.

פֶּתֶק: מומלץ שקוד האימות עבור כל מכשיר יהיה אינדיבידואלי (ורצוי ברירת המחדל המוגדרת ב-ETS).
סיסמת ההפעלה תתבקש כאשר ממשק ה-IP נבחר ב-ETS כדי להתחבר אליו (קוד האימות הוא אופציונלי):

איור 13. בקשת סיסמת הפעלה בעת בחירת ממשק IP מאובטח.

איפוס FACTORY

כדי למנוע ממכשיר להפוך לבלתי שמיש במקרה של אובדן הפרויקט ו/או מפתח הכלי איתו הוא מתוכנת, ניתן להחזיר אותו למצב היצרן ולשחזר את ה-FDSK על ידי ביצוע השלבים הבאים:

1. שים את המכשיר במצב בטוח. זה מושג על ידי הפעלתו עם לחצן התכנות לחוץ עד שנורית התכנות מהבהבת.
2. שחרר את לחצן התכנות. זה ממשיך להבהב.
3. לחץ על לחצן התכנות למשך 10 שניות. תוך כדי לחיצה על הכפתור הוא נדלק באדום. האיפוס מתרחש כאשר הנורית נכבית לרגע.

תהליך זה, מלבד מפתח הכלים, מוחק גם את סיסמת ה-BCU ומאפס את הכתובת הבודדת לערך 15.15.255.

פריקה של תוכנית היישום מוחקת גם את מפתח הכלי ואת סיסמת ה-BCU, אם כי במקרה זה נדרש פרויקט ה-ETS איתו היא תוכנתה.

הערות

כמה שיקולים לשימוש באבטחת KNX: 

• שינוי כתובת פרטנית: בפרויקט עם מספר מכשירים מאובטחים שכבר מתוכנתים החולקים ביניהם כתובות קבוצתיות, שינוי הכתובת האישית באחד מהם מחייב לתכנת את שאר המכשירים החולקים איתו כתובות קבוצתיות.
• תכנות התקן איפוס: כאשר מנסים לתכנת התקן איפוס להגדרות היצרן, ETS מזהה כי נעשה שימוש ב-FDSK ומבקשת אישור ליצור מפתח כלי חדש על מנת לתכנת מחדש את ההתקן.
• מכשיר שתוכנת בפרויקט אחר: אם תנסה להוריד מכשיר (בטוח או לא) שכבר תוכנת בבטחה בפרויקט אחר, לא תוכל להוריד אותו. יהיה עליך לשחזר את הפרויקט המקורי או לבצע איפוס להגדרות היצרן.
• מפתח BCU: סיסמה זו אובדת על ידי איפוס ידני למפעל או על ידי פריקה.

הצטרפו ושלחו לנו את השאלות שלכם לגבי מכשירי Zennio: https://support.zennio.com

Zennio Avance y Tecnología SL
C/ Río Jarama, 132. Nave P-8.11 45007 Toledo. סְפָרַד

טל. +34 925 232 002

www.zennio.com
info@zennio.com

מסמכים / משאבים

ממסר מוצפן של Zennio KNX Secure Securel v2 [pdfמדריך למשתמש KNX, Secure Securel v2 ממסר מוצפן, KNX Secure Securel v2 ממסר מוצפן, ממסר מוצפן v2, ממסר מוצפן, ממסר

הפניות

• מדריך למשתמש