KNX Secure

KNX Secure est un prérequis de l'accès distant. KNX Secure protège votre installation KNX contre les accès non autorisés et les manipulations. Il repose sur deux mécanismes :

• KNX Data Secure protège l'appareil lui-même contre les modifications de configuration non autorisées (Secure Commissioning). En option, il permet aussi de chiffrer certains télégrammes KNX sur le bus TP.

• KNX IP Secure chiffre le trafic IP, c'est-à-dire la connexion entre l'appareil et les clients IP comme ETS.

Dans une installation type, KNX Secure sert à empêcher les accès non autorisés via IP, ce qui suppose d'activer Data Secure. Le chiffrement des télégrammes KNX sur le bus complique en revanche nettement la configuration et reste rarement utilisé. Tant qu'aucune personne non autorisée ne peut accéder au câble de bus KNX vert, vous pouvez vous en passer.

Factory Default Setup Key (FDSK)

Chaque appareil KNX Secure possède sa propre Factory Default Setup Key (FDSK). Le FDSK de l'appareil s'affiche sur la page de paramètres KNX (par exemple ALODDQ-DW4XY3-W5LL77-LLRM7W-22OZE4-3FJBRH) et figure aussi sous l'appareil.

Prérequis

• ETS 6.0 ou plus récent

---

Secure Commissioning

Premier appareil du projet

1. Dans le catalogue en ligne d'ETS, ouvrez le fabricant Atios AG, sélectionnez KNX Remote Access et faites-le glisser dans la topologie de votre projet.
2. Définissez un mot de passe de projet quand ETS le demande.
3. Quand ETS vous demande d'ajouter le FDSK, ouvrez le Web Interface.
4. Allez dans KNX Settings → KNX Secure, copiez le FDSK affiché sous le code QR (par exemple ALOG2M-E4XZO2-CCEC53-L4B6XA-TSKIG4-DFBXTF) et collez-le dans ETS.
5. Secure Commissioning et Secure Tunneling sont activés par défaut.
6. Dans ETS, faites un clic droit sur l'appareil, puis choisissez Download Individual Address et ensuite Download Application.

L'appareil figure déjà dans le projet ETS

1. Dans le catalogue en ligne d'ETS, ouvrez le fabricant Atios AG, sélectionnez le produit Atios et faites-le glisser dans la topologie de votre projet.
2. Définissez un mot de passe de projet quand ETS le demande.
3. Quand ETS vous demande d'ajouter le FDSK, cliquez sur Later.
4. Supprimez l'appareil que vous venez d'ajouter.
5. Dans la topologie, cliquez sur votre appareil existant.
6. Ouvrez Properties → Info → Application et cliquez sur Update en bas du volet.
7. Ajoutez le FDSK à l'appareil existant via Properties → Settings → Add Device Certificate.
8. Dans ETS, faites un clic droit sur l'appareil et choisissez Download Application.

INFO

Il se peut que vous deviez d'abord régler Secure Commissioning sur active pour que le bouton Add Device Certificate apparaisse.

Mise à jour d'un appareil existant

Ne changez pas le programme d'application dans la ComboBox. Tous vos paramètres seraient effacés. Si cela vous arrive par erreur, cliquez immédiatement sur Undo.

Tunneling IP Secure

IP Secure chiffre la communication IP entre l'appareil et les clients IP. Il protège contre toute personne ayant accès au réseau qui tenterait de lire ou d'injecter des télégrammes IP.

Connecter des clients à l'appareil

1. Dans la vue Topology, dépliez le nœud Tunnel Address de l'appareil.
2. Choisissez le tunnel que le client doit utiliser.
3. Faites glisser dans ce tunnel chaque adresse de groupe que le client doit pouvoir recevoir ou envoyer.
4. Exportez le fichier keyring via Properties → Settings → Export Interface Information.
5. Importez le fichier keyring dans le client.

Pourquoi est-ce nécessaire ? Le fichier keyring contient le code d'authentification, les clés de chaque adresse de groupe placée dans le tunnel et l'identifiant utilisateur. L'appareil et le client en ont besoin pour ouvrir la connexion IP chiffrée.

Adresses de groupe sécurisées (facultatif)

Par défaut, ETS active automatiquement la sécurité sur une adresse de groupe lorsque tous les appareils liés ont Secure Commissioning activé. Vous pouvez aussi forcer ETS à activer ou désactiver la sécurité pour chaque adresse de groupe.

Les adresses de groupe sécurisées ne sont utiles que si quelqu'un peut accéder physiquement à votre bus KNX. Dans une installation résidentielle type, vous n'avez pas besoin de sécuriser les adresses de groupe une par une : cela complique nettement la configuration.

Mettre à jour le keyring après une modification de la sécurité

Après chaque modification de la configuration sécurisée dans ETS :

1. Exportez à nouveau le keyring depuis ETS.
2. Importez-le à nouveau dans le Web Interface de l'appareil, ainsi que dans chaque autre système tiers raccordé qui utilise KNX Secure.