Είναι ασφαλές το KNX; Τι μάθαμε από τις επιθέσεις και πώς προστατεύεται ένα έξυπνο σπίτι το 2026

Σύντομα: Το KNX είναι ένα ώριμο, ανοιχτό πρότυπο με ενσωματωμένους μηχανισμούς ασφαλείας (KNX Secure). Οι επιθέσεις που έχουν καταγραφεί σε εγκαταστάσεις KNX δεν έσπασαν το πρότυπο. Εκμεταλλεύτηκαν ένα λάθος στήσιμο: τη θύρα 3671 ανοιχτή στο router για «εύκολη» απομακρυσμένη πρόσβαση. Αν η εγκατάστασή σας δεν έχει ανοιχτές θύρες, χρησιμοποιεί KNX Secure όπου υποστηρίζεται και η απομακρυσμένη πρόσβαση γίνεται με VPN ή εξουσιοδοτημένο gateway, βρίσκεστε σε πολύ καλό σημείο.

Τι έγινε στις επιθέσεις σε εγκαταστάσεις KNX

Τον Νοέμβριο του 2021 η Schneider Electric εξέδωσε δελτίο ασφαλείας για επιβεβαιωμένες κυβερνοεπιθέσεις σε εγκαταστάσεις KNX, με συσκευές από διάφορους κατασκευαστές. Το κοινό σημείο ήταν ότι:

• οι εγκαταστάσεις είχαν port forwarding στη θύρα 3671 του router προς τη διεπαφή KNX/IP, δηλαδή η διεπαφή ήταν ουσιαστικά συνδεδεμένη απευθείας στο internet,
• οι επιτιθέμενοι άλλαξαν ρυθμίσεις και κωδικούς στις συσκευές, κάνοντάς τες άχρηστες και δύσκολες ή αδύνατες να επανέλθουν.

Το δελτίο σημειώνει ότι αυτή η αρχιτεκτονική δεν υποστηρίζεται, αλλά χρησιμοποιούνταν από εγκαταστάτες για να κάνουν απομακρυσμένη υποστήριξη. Με άλλα λόγια: η ευκολία του εγκαταστάτη έγινε το ρίσκο του ιδιοκτήτη.

Βήμα 1: Ελέγξτε αν το σπίτι σας είναι εκτεθειμένο

Η KNX Association προσφέρει δωρεάν το KNX Security Check στο secure.knx.org. Το ανοίγετε από τη σύνδεση του σπιτιού σας και ελέγχει αν η θύρα 3671 απαντάει από το internet. Ο έλεγχος δεν επηρεάζει το σύστημα.

• Αν δεν απαντά τίποτα: καλό σημάδι.
• Αν απαντά η διεπαφή KNX: η εγκατάσταση είναι προσβάσιμη από οποιονδήποτε και πρέπει να κλείσει άμεσα το port forwarding. Μιλήστε με τον εγκαταστάτη σας.

Βήμα 2: KNX Secure

Το KNX έχει δύο επίπεδα προστασίας, που ενεργοποιούνται στο ETS σε συμβατές συσκευές:

• KNX IP Secure: προστατεύει την επικοινωνία στο δίκτυο IP, όπου βρίσκονται οι διεπαφές, τα routers και η σύνδεση με εφαρμογές.
• KNX Data Secure: κρυπτογραφεί και πιστοποιεί τα μηνύματα μεταξύ των ίδιων των συσκευών, ακόμα και πάνω στο καλώδιο bus ή στο ασύρματο KNX RF.

Σε νέα εγκατάσταση, ζητήστε συσκευές με KNX Secure και ενεργοποίησή του όπου έχει νόημα, ειδικά σε διεπαφές IP και σε σημεία που βρίσκονται σε εξωτερικούς ή κοινόχρηστους χώρους.

Βήμα 3: Απομακρυσμένη πρόσβαση, σωστά

Ο ιδιοκτήτης θέλει να ελέγχει το σπίτι όταν λείπει. Ο εγκαταστάτης θέλει να κάνει αλλαγές χωρίς να έρχεται. Και τα δύο γίνονται χωρίς ανοιχτές θύρες:

• VPN προς το δίκτυο του σπιτιού, με ενημερωμένο router.
• Εξουσιοδοτημένο gateway απομακρυσμένης πρόσβασης από κατασκευαστή KNX.
• ETS Cloud Connect: η KNX Association το παρουσίασε ως την εναλλακτική στο άνοιγμα της θύρας 3671, για ασφαλή πρόσβαση σε εγκαταστάσεις μέσω internet, και πλέον υποστηρίζεται στο ETS.

Η λογική είναι ίδια με αυτή που περιγράφουμε για τις κάμερες και το NVR: ποτέ port forwarding, πάντα κρυπτογραφημένο κανάλι με έλεγχο ταυτότητας.

Βήμα 4: Χωρίστε το δίκτυο

Τον Ιούνιο του 2026 δημοσιεύτηκε κενό ασφαλείας (CVE-2026-57473) σε hub καμερών της Reolink: κάποιος μέσα στο ίδιο τοπικό δίκτυο μπορούσε να υποκλέψει την επικοινωνία του hub με τις κάμερες και να αποκτήσει τα διαπιστευτήρια των καμερών. Η εταιρεία το διόρθωσε με ενημέρωση firmware.

Το δίδαγμα δεν αφορά μόνο μια μάρκα. Αφορά το ότι ένα μολυσμένο laptop ή μια φθηνή συσκευή στο Wi-Fi μπορεί να γίνει η πόρτα προς τα υπόλοιπα. Γι' αυτό:

• Το KNX/IP, οι κάμερες και οι συσκευές IoT μπαίνουν σε ξεχωριστά δίκτυα (VLAN), με κανόνες για το ποιος μιλάει με ποιον.
• Οι επισκέπτες βρίσκονται σε δίκτυο επισκεπτών.
• Το router, οι κάμερες και οι διεπαφές παίρνουν ενημερώσεις firmware.

Περισσότερα στον οδηγό μας για το οικιακό δίκτυο.

Τι αλλάζει με τους νέους κανόνες της ΕΕ

Τον Σεπτέμβριο του 2026 ξεκίνησαν να ισχύουν δύο ευρωπαϊκές υποχρεώσεις που αφορούν κάθε συνδεδεμένη συσκευή στο σπίτι:

• Cyber Resilience Act, από 11/9/2026: Οι κατασκευαστές πρέπει να αναφέρουν μέσω της πλατφόρμας του ENISA κενά ασφαλείας που εκμεταλλεύονται ενεργά και σοβαρά περιστατικά: προειδοποίηση μέσα σε 24 ώρες, ειδοποίηση μέσα σε 72 ώρες και τελική αναφορά αργότερα. Για το τι σημαίνει ο CRA στις αγορές συσκευών, δείτε το σχετικό άρθρο μας.
• Data Act, από 12/9/2026: Οι νέες συνδεδεμένες συσκευές που διατίθενται στην αγορά πρέπει να δίνουν στον χρήστη πρόσβαση στα δεδομένα τους από προεπιλογή, εύκολα, με ασφάλεια και σε μηχαναγνώσιμη μορφή.

Για τον ιδιοκτήτη, αυτό σημαίνει ότι τα κενά ασφαλείας θα δημοσιοποιούνται πιο γρήγορα. Άρα μετράει περισσότερο από ποτέ ποιος συντηρεί και ενημερώνει το σύστημα μετά την παράδοση. Επίσης, τα δεδομένα των συσκευών σας γίνονται πιο ξεκάθαρα δικά σας, κάτι που ένα τοπικό σύστημα εξασφάλιζε εξαρχής.

Λίστα ελέγχου για ιδιοκτήτες

1. Τρέξτε το KNX Security Check από το σπίτι σας.
2. Ρωτήστε τον εγκαταστάτη πώς γίνεται η απομακρυσμένη πρόσβαση. Αν η απάντηση είναι «άνοιξα μια θύρα», ζητήστε να αλλάξει.
3. Ζητήστε KNX Secure σε νέες συσκευές και στις διεπαφές IP.
4. Βεβαιωθείτε ότι το KNX, οι κάμερες και το IoT είναι σε ξεχωριστά δίκτυα.
5. Ζητήστε αντίγραφο του έργου ETS και των κωδικών, φυλαγμένα με ασφάλεια. Χωρίς αυτά, η επαναφορά μετά από πρόβλημα είναι δύσκολη.
6. Συμφωνήστε πρόγραμμα συντήρησης με ενημερώσεις firmware.

Πώς δουλεύει η Sync-Teq

Σε κάθε εγκατάσταση που παραδίδουμε, το KNX δεν εκτίθεται ποτέ απευθείας στο internet. Η απομακρυσμένη πρόσβαση γίνεται με κρυπτογραφημένο κανάλι, το δίκτυο χωρίζεται σωστά και ο ιδιοκτήτης παίρνει το έργο ETS. Αν έχετε ήδη σύστημα KNX και δεν ξέρετε πώς είναι στημένο, κλείστε έναν έλεγχο ασφαλείας με την ομάδα μας δικτύων και κυβερνοασφάλειας.

Πηγές

• Schneider Electric Security Bulletin SESB-2021-313-01: Cyber Attacks against KNX Systems Improperly Exposed to the Internet (9/11/2021)
• KNX Association: The KNX Security Check
• KNX Association: Light + Building 2026 show report (ETS Cloud Connect)
• INCIBE-CERT: CVE-2026-57473
• Ευρωπαϊκή Επιτροπή: CRA reporting obligations
• Loyens & Loeff: EU Data Act, new obligations for connected products