Une installation KNX pilote l'éclairage, les volets, le chauffage, parfois les ouvrants et les liens avec l'alarme. Autrement dit, elle commande des fonctions sensibles du bâtiment. Or, dans sa forme classique, le bus KNX n'a pas été conçu pour résister à un attaquant : les télégrammes y circulent en clair et tout participant raccordé au bus peut les lire ou en émettre. C'est pour répondre à ce risque que l'association KNX a créé KNX Secure. Voici ce que recouvre cette technologie, ce qu'elle protège réellement et comment l'intégrer dans un projet tertiaire.
Pourquoi sécuriser une installation KNX ?
Pendant longtemps, le bus KNX restait confiné à l'intérieur du bâtiment, derrière des tableaux électriques. Le risque paraissait faible. Trois évolutions ont changé la donne :
- la généralisation de KNX sur IP : routeurs et interfaces IP relient le bus au réseau informatique de l'entreprise, parfois sans cloisonnement ;
- l'accès à distance : supervision sur smartphone, maintenance à distance, passerelles vers la gestion technique du bâtiment ;
- les équipements accessibles au public : un bouton-poussoir ou un détecteur installé dans un couloir, un hall ou un parking est un point d'accès physique au bus.
Sans protection, une personne qui se raccorde au bus ou au réseau IP peut observer les échanges, rejouer des commandes ou reprogrammer des participants. Pour un bâtiment dont l'éclairage, les accès ou les scénarios d'alarme dépendent de KNX, ce n'est pas un risque théorique : c'est une question de sûreté au même titre que la protection d'une centrale d'alarme.
KNX Secure en bref : deux briques complémentaires
KNX Secure regroupe deux mécanismes, selon le support de communication :
- KNX Data Secure protège les télégrammes de bout en bout entre participants, quel que soit le support (paire torsadée TP, radio RF ou IP). Il s'applique objet par objet : on choisit les communications à sécuriser.
- KNX IP Secure protège la communication sur le réseau IP : la ligne principale IP (backbone), les routeurs et les interfaces utilisées par ETS ou par une supervision.
Selon la documentation de l'association KNX, le chiffrement repose sur l'algorithme AES 128 bits, avec un code d'authentification ajouté à chaque télégramme et un compteur qui empêche de rejouer un message intercepté. Concrètement, un télégramme sécurisé est à la fois illisible pour un tiers, infalsifiable et non rejouable.
Comment fonctionne la mise en service sécurisée
La sécurité de KNX Secure dépend largement de la façon dont l'installation est mise en service sous ETS, le logiciel officiel de programmation KNX.
Le certificat de chaque appareil
Chaque participant compatible KNX Secure est livré avec une clé d'usine individuelle, la FDSK (Factory Default Setup Key), imprimée sur l'appareil ou sur une étiquette, souvent sous forme de QR code. Elle est associée au numéro de série dans un certificat d'appareil. L'intégrateur saisit ou scanne ce certificat dans ETS, qui peut alors s'authentifier auprès du participant pour la première programmation.
Des clés propres au projet
Lors du premier téléchargement, ETS remplace la clé d'usine par des clés propres au projet. La FDSK, lisible sur l'étiquette, ne doit en effet pas rester la clé de fonctionnement. Pour les appareils IP Secure, un mot de passe de mise en service et un code d'authentification sont également définis. Ces clés sont générées et conservées dans le projet ETS.
Un mode « automatique » à bien comprendre
ETS propose de sécuriser automatiquement les communications lorsque tous les participants concernés le permettent. C'est pratique, mais il faut vérifier le résultat : un objet de groupe partagé avec un appareil non compatible restera en clair.
Les bonnes pratiques à retenir
KNX Secure est efficace à condition d'être intégré dans une démarche globale. Voici les points que nous jugeons essentiels sur un bâtiment professionnel.
1. Le prévoir dès la conception
Toutes les références de matériel ne sont pas proposées en version Secure. Il faut donc l'intégrer au cahier des charges et au choix des produits, en particulier pour les routeurs et interfaces IP, les équipements installés en zones accessibles au public, et les fonctions liées à la sûreté (armement, éclairage d'intrusion, commandes d'ouvrants).
2. Protéger le projet ETS comme un coffre-fort
C'est le point le plus souvent sous-estimé. Le projet ETS contient les clés de l'installation. Selon le support de l'association KNX, si le projet est perdu, les clés le sont aussi et les participants sécurisés ne peuvent plus être reprogrammés sans réinitialisation. Il faut donc :
- exiger la remise du projet ETS en fin de chantier ;
- le protéger par un mot de passe robuste ;
- en conserver des sauvegardes en lieu sûr, distinctes de l'ordinateur de mise en service ;
- conserver les certificats d'appareils (étiquettes FDSK) avec le dossier de l'installation.
3. Cloisonner le réseau IP
KNX IP Secure ne dispense pas d'une bonne architecture réseau. Les équipements KNX IP doivent être placés dans un réseau séparé (VLAN dédié, filtrage), et non sur le même réseau que les postes bureautiques ou le Wi-Fi invités.
4. Ne jamais exposer l'installation directement sur Internet
L'accès à distance doit passer par une solution sécurisée (VPN ou service dédié du fabricant), avec authentification forte. Une interface KNX IP joignable directement depuis Internet est à proscrire, même chiffrée.
5. Penser à l'existant
Sur une installation ancienne, il n'est pas toujours nécessaire de tout remplacer. Un audit permet d'identifier les points d'entrée les plus exposés (interfaces IP, équipements accessibles au public) et de les traiter en priorité, en remplaçant progressivement les participants concernés par des versions Secure lors des opérations de maintenance.
KNX Secure et sûreté du bâtiment : le bon équilibre
Sur les sites où KNX dialogue avec l'alarme, le contrôle d'accès ou la vidéosurveillance, nous appliquons un principe simple : le système de sûreté reste prioritaire et autonome. KNX Secure protège les échanges du bâtiment intelligent, mais l'alarme doit continuer à fonctionner même si le bus KNX est en défaut ou compromis. Les passerelles entre les deux mondes doivent être choisies et paramétrées pour ne transmettre que les informations utiles, dans le sens prévu.
Cette approche est issue de notre pratique de la sûreté électronique : plus de 15 ans d'interventions sur des sites sensibles (militaires, industriels, SEVESO et d'importance vitale), où la cybersécurité des équipements techniques fait partie du cahier des charges.
En résumé
- Le bus KNX classique n'est pas chiffré : tout accès au bus ou au réseau IP est un point d'entrée potentiel.
- KNX Secure apporte le chiffrement et l'authentification des télégrammes (Data Secure) et du réseau IP (IP Secure).
- Sa qualité dépend de la mise en service sous ETS et de la conservation du projet, qui contient les clés.
- Il doit être complété par un cloisonnement réseau et un accès à distance maîtrisé.
Un projet KNX à sécuriser à Aix-en-Provence ou en région PACA ?
Safnest assure la mise en service KNX sous ETS pour les bâtiments tertiaires, en neuf comme en rénovation, et l'audit d'installations existantes. Pour étudier la sécurisation de votre installation, contactez-nous ou appelez le 04 83 43 10 44.
Sources : association KNX, « Security: configuring KNX Secure systems in ETS » (knx.org) et centre de support KNX, « KNX Security overview » (support.knx.org).