← Tous les guides techniques

KNX Secure : Data Secure et IP Secure expliqués aux installateurs

Historiquement, les télégrammes KNX circulent en clair : un appareil branché sur le bus, ou un poste connecté au réseau IP de l’installation, peut lire les échanges et émettre ses propres commandes. KNX Secure est l’extension du protocole KNX qui chiffre et authentifie ces échanges. Elle se décline en deux volets complémentaires : KNX Data Secure, qui protège les télégrammes eux-mêmes, et KNX IP Secure, qui protège la communication KNX sur le réseau IP.

Ce guide explique ce que protège chaque volet, comment choisir entre les deux, et ce qui change concrètement à la mise en service dans ETS.

1. Pourquoi sécuriser une installation KNX

Une installation KNX non sécurisée fait confiance à tout ce qui est connecté au bus. Le risque dépend donc de l’accessibilité physique et réseau de l’installation :

• Bus accessible au public : boutons-poussoirs, détecteurs ou capteurs installés dans des chambres d’hôtel, des couloirs, des parties communes ou en extérieur.
• Réseau IP partagé : interface ou routeur KNX IP raccordé au réseau informatique du bâtiment, accès à distance pour la maintenance ou la supervision.
• Fonctions sensibles : contrôle d’accès, alarme, commandes centrales qui agissent sur tout le bâtiment.

Le regard des grands comptes. Dans l’hôtellerie et le tertiaire, les grands groupes internationaux et les clients institutionnels sont particulièrement attentifs à la sécurité des systèmes techniques du bâtiment. Proposer une installation KNX Secure, c’est répondre à cette exigence dès la conception plutôt que de la découvrir en phase de validation.

2. Les deux volets de KNX Secure

KNX Secure n’est pas un produit mais une extension normalisée du protocole KNX, développée par la KNX Association à partir de 2013. Elle comporte deux volets :

• KNX Data Secure, normalisé dans l’EN 50090-3-4 : sécurise les télégrammes de bout en bout, d’un appareil à l’autre.
• KNX IP Secure, normalisé dans l’ISO 22510 : sécurise la communication KNX sur le réseau IP.

3. KNX Data Secure : sécuriser les télégrammes

Avec KNX Data Secure, la sécurité est portée par les appareils eux-mêmes. Un télégramme sécurisé est :

• chiffré en AES 128 bits : un appareil tiers branché sur le bus ne peut pas en lire le contenu ;
• authentifié et contrôlé en intégrité : un télégramme modifié ou émis par un appareil qui ne possède pas la clé est rejeté ;
• protégé contre le rejeu : un télégramme enregistré puis renvoyé plus tard n’est pas accepté.

La sécurisation se fait objet par objet : dans ETS, on choisit quelles adresses de groupe sont sécurisées. Les autres continuent d’échanger en KNX standard. La protection s’applique quel que soit le support de communication emprunté par le télégramme.

Chaque appareil KNX Data Secure est livré avec un certificat FDSK (Factory Default Setup Key), sous forme d’étiquette ou de QR code. Il sert uniquement à la première mise en service : ETS l’utilise pour authentifier l’appareil, puis le remplace par une clé propre au projet.

4. KNX IP Secure : sécuriser le réseau IP

KNX IP Secure protège la communication KNX sur le support IP uniquement : le tunneling (accès d’ETS ou d’une supervision via une interface IP) et le routing (échanges entre coupleurs IP sur le backbone). Les télégrammes qui circulent ensuite sur une ligne TP restent en clair, sauf s’ils sont eux-mêmes protégés par Data Secure.

Côté mise en service, un appareil KNX IP Secure fait intervenir plusieurs éléments :

• le mot de passe de mise en service, qui authentifie ETS auprès de l’appareil ;
• le code d’authentification, qui remplace le FDSK pour les authentifications ultérieures ;
• la clé de backbone, partagée par tous les coupleurs KNX IP Secure qui communiquent en routing.

Les équipements concernés sont les interfaces et routeurs KNX IP Secure, c’est-à-dire tout appareil qui fait le lien entre le réseau IP et le bus KNX :

• une interface IP, comme l’IPI200S, donne accès au bus depuis le réseau (programmation ETS, supervision) via des connexions tunneling ;
• un routeur IP, comme l’IPR200S, relie en plus plusieurs lignes KNX par le réseau IP utilisé comme backbone, en coupleur de ligne ou de zone.

5. Data Secure ou IP Secure ?

Les deux volets ne se remplacent pas : ils protègent des parties différentes de l’installation.

	KNX Data Secure	KNX IP Secure
Ce qui est protégé	Les télégrammes, de l’émetteur au récepteur	La communication KNX sur le réseau IP
Où agit la sécurité	Dans les appareils, quel que soit le support	Sur le support IP uniquement
Granularité	Objet par objet (adresses de groupe choisies dans ETS)	Tout le trafic IP de l’appareil
Équipements concernés	Actionneurs, capteurs, commandes…	Interfaces et routeurs KNX IP
Norme	EN 50090-3-4	ISO 22510

La règle de décision. Si l’installation est raccordée à un réseau IP, en particulier partagé ou accessible à distance, sécurisez la passerelle avec IP Secure. Si le bus est physiquement accessible ou si certaines fonctions sont sensibles, sécurisez les objets concernés avec Data Secure. Dans un hôtel ou un bâtiment tertiaire, les deux situations coexistent souvent : les deux volets se combinent alors.

6. Ce qui change à la mise en service dans ETS

KNX Secure se configure dans ETS ; la KNX Association recommande ETS6. Quatre points changent par rapport à un projet classique :

• Mot de passe projet obligatoire. Un projet ETS contenant des appareils KNX Secure exige un mot de passe ; sans lui, les clés seraient lisibles dans le projet exporté.
• Saisie des certificats FDSK. Chaque appareil sécurisé est ajouté avec son certificat, saisi ou scanné depuis l’étiquette.
• Activation au cas par cas. Un appareil KNX Secure peut aussi fonctionner sans sécurité si l’installateur désactive la « mise en service sécurisée » dans ETS.
• Export du trousseau de clés. ETS permet d’exporter l’ensemble des clés du projet (keyring) dans un fichier protégé par mot de passe.

Point d’attention sur la remise d’ouvrage. Mot de passe projet, certificats FDSK et trousseau de clés font partie du dossier d’installation. Archivez-les et remettez-les au client ou à l’exploitant : ils sont nécessaires pour toute intervention ultérieure sur les appareils sécurisés.

7. Faire cohabiter appareils sécurisés et non sécurisés

Une installation n’a pas besoin d’être entièrement sécurisée pour profiter de KNX Secure. Comme Data Secure agit objet par objet, les appareils sécurisés et non sécurisés partagent le même bus : seuls les échanges déclarés sécurisés sont chiffrés, les autres restent en KNX standard.

Cela permet une approche progressive : sécuriser d’abord les fonctions les plus exposées, ou introduire des appareils KNX Secure dans une installation existante lors d’une extension ou d’un remplacement.

Pour choisir la configuration de vos actionneurs multifonctions, standard ou Secure, consultez notre guide dédié : Choisir son actionneur RCU EAE →

8. Récapitulatif

• KNX Secure chiffre et authentifie la communication KNX, en deux volets complémentaires.
• Data Secure protège les télégrammes de bout en bout, objet par objet (EN 50090-3-4).
• IP Secure protège la communication KNX sur le réseau IP : tunneling et routing (ISO 22510).
• Réseau IP accessible → IP Secure ; bus accessible ou fonctions sensibles → Data Secure ; souvent les deux.
• Dans ETS : mot de passe projet, certificats FDSK, export du trousseau de clés.
• Appareils sécurisés et non sécurisés cohabitent sur le même bus.

Questions fréquentes

Un appareil KNX Secure fonctionne-t-il dans une installation non sécurisée ?
Oui. La mise en service sécurisée peut être désactivée dans ETS : l’appareil fonctionne alors comme un appareil KNX standard.

Faut-il remplacer toute l’installation pour passer à KNX Secure ?
Non. Data Secure agit objet par objet : seuls les échanges entre appareils sécurisés sont chiffrés, le reste de l’installation continue de fonctionner normalement.

KNX IP Secure suffit-il à sécuriser toute l’installation ?
Non. IP Secure ne protège que la partie IP. Les télégrammes sur les lignes TP restent en clair, sauf s’ils sont protégés par Data Secure.

Que se passe-t-il si l’on perd le certificat FDSK ou le mot de passe projet ?
Ces éléments sont indispensables pour intervenir sur les appareils sécurisés. Ils doivent être archivés avec le dossier d’installation et remis au client.

La gamme EAE KNX Secure chez AllSmart

AllSmart distribue les produits EAE Technology en version KNX Secure, avec accompagnement au choix de la référence selon votre projet :

• KNX Data Secure : actionneurs multifonctions RCU en version Secure, 8 références de 8 à 20 sorties
• KNX IP Secure : interface KNX IP Secure IPI200S, 8 connexions tunneling
• KNX IP Secure : routeur KNX IP Secure IPR200S, coupleur de ligne ou de zone sur backbone IP

À noter : l’outil Knexo KNX/domotique prend en charge les actionneurs RCU EAE en version standard et Secure, du dimensionnement jusqu’à la génération du programme ETS.

Un projet KNX Secure à chiffrer ?
L’équipe AllSmart accompagne installateurs et intégrateurs dans le choix du matériel KNX.
Contacter un spécialiste →