excellum2: netwerkbeveiliging

EXCELLUM2: NETWERKBEVEILIGING
INLEIDING
Excellum2 is een lichtregelingssysteem waarmee u algemene en noodverlichtingsarmaturen in combinatie met sensoren,
drukknoppen en geavanceerde software kunt sturen om zo energie te besparen, het gebruikerscomfort te verhogen en
beheerders van gebouwen meer flexibiliteit te bieden.
Het systeem voorziet een web-based interface voor de interactie met de gebruikers, u hoeft dus geen bijkomende software
te installeren. De interface werd geoptimaliseerd in functie van de gebruikte hardware (bv. tablets, smartphones of pc’s) en
in functie van de rol en toegangsrechten van de gebruiker (bv. werknemers, onderhoudspersoneel).
Het systeem implementeert beveiligingsregels om te verzekeren dat alleen geautoriseerde gebruikers toegang krijgen tot de
interface, dat een dergelijke verbinding niet kan worden geforceerd en dat geen enkele communicatie toegankelijk is voor
onbevoegden.
In dit document willen we u een antwoord geven op de kernvraag: “Is het veilig om het Excellum2-systeem met mijn netwerk
te verbinden?” In eerste instantie gaan we het basismechanisme van de veiligheidsmaatregelen in detail bekijken. Daarna
zullen we ons op de communicatiestroom richten, en tot slot bekijken we de verschillende beveiligingsniveaus.
VEILIGHEIDSMAATREGELEN
Bediening via pc
Bediening via tablet
of smartphone
Beheersoftware
Internetverbinding
Controller
DALI Bus
Bus voor ESM
Netwerk
Excellum2 netwerk
Armatuur met DALI-ballast
Armatuur met DALI-interface
DALI-sensor
Bij de Excellum2-oplossing worden de verlichtingselementen
(armaturen, sensoren enz.) op controllers aangesloten via
DALI- en ESM-veldbussen (de blauwe en groene lijnen op de
afbeelding) en worden de controllers onderling verbonden
in een TCP/IP-netwerk (de rode lijnen op de afbeelding). Om
de gebruikers toegang te verlenen, moet het systeem op
het bedrijfsnetwerk aangesloten zijn via een Ethernet-poort
op een van de controllers (de oranje lijn op de afbeelding).
Deze poorten laten alleen verzoeken van een beperkt
aantal poortnummers door en gebruiken daarbij diverse
beveiligingsprotocollen.
Bij een configuratie met meerdere Excellum2-controllers
kan het Excellum2-netwerk van de rest van het netwerk
gescheiden worden omdat de controllers over dubbele
Ethernet-interfaces met daisychain-mogelijkheid beschikken,
zoals weergegeven wordt in de afbeelding van de
systeemtopologie.
Slechts één controller is op het bedrijfsnetwerk aangesloten
om de gebruikers toegang te verschaffen. Deze configuratie
biedt extra beveiliging, want de communicatie tussen de
verschillende controllers zijn volledig gescheiden van het
bedrijfsnetwerk. Dit verzekert ook strikte prestatieparameters.
Er is geen negatieve invloed op het bedrijfsnetwerk.
Het systeem maakt gebruik van een geïntegreerd besturingssysteem en een TCP/IP-stack die is ingesteld om alleen toegang
te verlenen tot de publieke onderdelen van het verlichtingssysteem en achterpoortjes en zwakke punten in het netwerk
te vermijden. Alle TCP/IP-poorten zijn gesloten, behalve de
poorten die nodig zijn om de gebruikers het systeem te laten
bedienen en configureren.
EXCELLUM2: NETWERKBEVEILIGING
Het systeem gebruikt alleen een standaard HTTP (Hyper Text Transfer Protocol)-poort, dus alle andere protocolpoorten zijn
gesloten of als onbeschikbaar ingesteld.
De gegevens worden versleuteld op de controller opgeslagen. Dus zelfs als iemand zich toegang zou weten te verschaffen tot het
besturingssysteem van de controller, zijn deze gegevens onleesbaar zonder de correcte decodeersleutel.
Wachtwoorden worden nooit als dusdanig opgeslagen, alleen in verhakkelde vorm. Ditzelfde mechanisme wordt ook bij alle
grote besturingssystemen gebruikt, alsook bij kaarten die met een pincode beveiligd zijn zoals betaal- en kredietkaarten.
BEVEILIGDE COMMUNICATIESTROOM
Wanneer een klant verbinding maakt met de controller, moet hij zich identificeren aan de hand van een inlogcode en een
wachtwoord. Na succesvolle authenticatie op de controller wordt een tijdelijke verbinding gecreëerd tussen de controller en de
lokale apparatuur. De gebruiker communiceert met de controller via HTTP om de interface op het lokale toestel te laden, maar
alle informatie wordt versleuteld verzonden.
VERSCHILLENDE VEILIGHEIDSMAATREGELEN
 Maatregel 1: scheiding
De Excellum2-controller zorgt ervoor dat het systeemnetwerk gescheiden wordt van het bedrijfsnetwerk, zodat het kritieke
verkeer geïsoleerd is. Prestaties zijn gegarandeerd en mogelijke bedreigingen worden ingeperkt.
 Maatregel 2: versleuteling
Iedere uitwisseling van gevoelige informatie tussen de externe gebruiker en de controller wordt versleuteld. Zo voorkomt
men externe wijziging van gegevens alsook afluisterpraktijken.
 Maatregel 3: verbindingsstroom
De poging om verbinding te maken met de controller moet altijd van de gebruiker uitgaan, zodat authenticatie verplicht is.
Hierdoor zal elke frauduleuze poging om een commando te geven of tot gegevens toegang te krijgen niet worden uitgevoerd
zolang de verbindingsstroom niet volledig is uitgevoerd.
 Maatregel 4: gesloten authenticatie
Wachtwoorden worden nooit via het netwerk verzonden.
CONCLUSIE
Het Excellum2-systeem heeft als voordeel dat het lokaal toegang verschaft zonder dat enige software moet worden geïnstalleerd, terwijl tegelijkertijd de veiligheid en integriteit van uw netwerk behouden blijven.
De topologie van de infrastructuur en de wachtwoordarchitectuur voorkomen iedere ongeoorloofde toegang tot de controller
van en naar uw netwerk.
De verbindingsstroom voorkomt een geforceerde verbinding met het systeem.
Via deze combinatie van onze maatregelen kunnen we het risico dat iemand ongeoorloofd toegang zou krijgen tot uw netwerk
op ieder niveau aanpakken.
BELGIË
ETAP NV
Antwerpsesteenweg 130 – 2390 Malle
Tel. +32 (0)3 310 02 11 – Fax +32 (0)3 311 61 42
e-mail: [email protected] – www.etaplighting.com
NEDERLAND
ETAP BV
Tinstraat 7 – 4823 AA Breda
Postbus 3475 – 4800 DL Breda
Tel. +31 (0)76-548 34 00 – Fax + 31 (0)76-542 09 62
e-mail: [email protected] – www.etaplighting.com
2015/N/V1 - Specificaties onderhevig aan wijzigingen zonder voorafgaande kennisgeving. Te installeren
conform alle geldende nationale en lokale elektrische voorschriften en bouwvoorschriften.