Duizenden gebouwbeheersystemen van ‘slimme’ woningen en kantoren wereldwijd zijn eenvoudig toegankelijk voor hackers. Dit blijkt uit security-onderzoek naar de KNX-standaard voor woning- en gebouwautomatisering, waarbij een ethische hacker werd ingezet.
Het onderzoek toont dat de systemen die zijn gebaseerd op deze standaard, veelvoudig aan het internet gekoppeld worden. Omdat zij geen authenticatie bevatten, kunnen kwaadwillenden de systemen eenvoudig hacken en op afstand onder meer de beveiliging, verlichting, airconditioning en verwarming van huizen en kantoren bedienen.
In totaal zijn er 17.444 gebouwen met systemen die de KNX-standaard gebruiken. Daarvan bevinden zich er 1.322 in Nederland. Hiermee is Nederland na Spanje en Duitsland, het land met de meeste locaties die kwetsbaar zijn voor hackers, zo stelt IT-bedrijf Computest.
Gemak en risico's
Het onderling koppelen van IoT-toepassingen zorgt voor extra gemak, maar brengt ook serieuze risico’s met zich mee voor particulieren en bedrijven. De door Computest ingezette ethisch hacker keek naar verschillende domotica-toepassingen die zijn gebaseerd op de KNX-standaard.
Er bleken wereldwijd 17.444 gebouwen en woningen te zijn waarvan de systemen vrij eenvoudig door een hacker kunnen worden overgenomen. Spanje en Duitsland voeren de lijst aan met respectievelijk 1.985 en 1.768 locaties. Nederland volgt met 1.322. Amsterdam is de Nederlandse stad met de meeste gebouwen met een KNX-systeem. Op de website www.knxscan.com is meer informatie te vinden.
Computest gaat er vanuit dat KNX-systemen meestal door installateurs aan internet gekoppeld worden om netwerken op afstand te kunnen configureren. Verder wordt het protocol door sommige mobiele apps gebruikt om op afstand domotica-oplossingen te bedienen.
De verantwoordelijkheid voor een goede beveiliging van de systemen ligt volgens Computest bij de leverancier, de installateur én de afnemer. De afnemer moet de installateur kunnen aanspreken op de security van hetgeen wordt geïnstalleerd. De installateur zou dit weer moeten doen richting de leverancier en/ of andere partijen in de keten.
Meer bewustwording
“Er is nog veel werk te verrichten in het bewust maken van de installatiebranche van de risico’s die deze slimme systemen met zich meebrengen”, stelt Petra Oldengarm, Directeur van Cyberveilig Nederland. “Daarnaast is het belangrijk dat men weet hoe deze risico’s moeten worden geminimaliseerd. Daarom zijn we in gesprek met vertegenwoordigers van de installatiebranche om initiatieven te ontplooien die bijdragen aan het ontwikkelen van het bewustzijn en het kennisniveau, zodat gebruikers kunnen vertrouwen op KNX-producten die in hun kantoor of huis worden geïnstalleerd.”
'Berichtgeving verontrustend'
Brancheorganisatie Techniek Nederland stelt de berichtgeving over de eenvoudig te hacken KNX-standaard verontrustend te vinden en serieus te nemen. 'Wij vinden dat we erop moeten kunnen vertrouwen dat een standaard als KNX goed beveiligd is tegen hacken,' aldus een reactie. 'Dat lijkt helaas niet het geval te zijn. Techniek Nederland neemt daarom zo snel mogelijk contact op met KNX om te bespreken hoe we tot oplossingen kunnen komen. Wat ons betreft zijn er zo snel mogelijk aanvullende maatregelen nodig om ervoor te zorgen dat we kunnen vertrouwen op veilige gebouwbeheersystemen.'
Digitale beveiliging staat prominent op de agenda van Techniek Nederland, zo stelt de brancheorganisatie. "De technische branche heeft daarin een verantwoordelijkheid, maar we kunnen het niet alleen. Ook norminstituten en fabrikanten moeten hun verantwoordelijkheid nemen; de normen moeten strenger en fabrikanten moeten hun producten veiliger maken. Vervolgens zullen wij er als technische branche scherp op toezien dat de producten en de normen waar we mee werken voldoende garantie bieden voor een veilig gebouwbeheersysteem."
Techniek Nederland wil op drie punten tot verbetering komen:
- Standaarden en systemen die voldoende veiligheid garanderen.
- Normen die rekening houden met systemen die zijn gekoppeld aan internet.
- Installateurs die voldoende kennis hebben om veilige systemen te plaatsen.
