BACnet Secure Connect

BACnet Secure Connect — это протокол и архитектура безопасной передачи данных, разработанные для систем автоматизации зданий (BACS) на основе стандарта BACnet. Он представляет собой расширение исходного протокола BACnet, обеспечивающее шифрование, аутентификацию и целостность данных при передаче через незащищённые сети, включая Интернет. BACnet Secure Connect (BSС) определён в стандарте ASHRAE 135-2020 (Addendum bj) и является частью семейства протоколов BACnet, предназначенных для управления отоплением, вентиляцией, кондиционированием, освещением, пожарной сигнализацией и другими инженерными системами зданий.

История и предпосылки создания

Протокол BACnet (Building Automation and Control Network) был разработан в 1987 году Американским обществом инженеров по отоплению, охлаждению и кондиционированию воздуха (ASHRAE) и впервые опубликован в 1995 году. Изначально он не предусматривал встроенных механизмов безопасности, что было приемлемо для изолированных локальных сетей. С развитием интернета вещей (IoT) и переходом систем автоматизации зданий на облачные решения и удалённое управление возникла острая необходимость в защите данных от несанкционированного доступа, перехвата и подмены.

До появления BSC безопасность BACnet обеспечивалась за счёт дополнительных мер, таких как использование VPN, сетевых экранов и протокола BACnet/IP с применением TLS (Transport Layer Security) на уровне транспортного соединения. Однако эти подходы были сложны в настройке, нестандартизированы и не решали проблему аутентификации устройств на уровне приложения. В 2010-х годах участились атаки на системы автоматизации зданий, включая инциденты с использованием уязвимостей BACnet, что стимулировало разработку встроенного механизма безопасности.

Работа над BACnet Secure Connect началась в 2016 году в рамках комитета ASHRAE SSPC 135. Окончательная спецификация была включена в стандарт ASHRAE 135-2020. В 2021 году протокол был дополнительно стандартизирован как ISO 16484-5:2022.

Архитектура и принципы работы

BACnet Secure Connect использует гибридную архитектуру, сочетающую централизованное управление сессиями и децентрализованную аутентификацию устройств. Основные компоненты BSC:

• Устройство BSC (BSC Device) — любое BACnet-устройство (контроллер, датчик, исполнительный механизм, шлюз), поддерживающее BSC.
• Узел BSC (BSC Node) — логическая точка подключения устройства к сети BSC.
• Центр управления BSC (BSC Hub) — серверный компонент, отвечающий за управление сессиями, аутентификацию и маршрутизацию сообщений. Hub не является обязательным для всех сценариев, но требуется для работы через Интернет.

Установление соединения

Процесс установления безопасного соединения в BSC включает несколько этапов:

1. Обнаружение Hub — устройство BSC находит Hub через DNS или предварительную конфигурацию.
2. Аутентификация устройства — устройство предъявляет Hub сертификат X.509, выданный доверенным центром сертификации (CA). Hub проверяет сертификат и права устройства.
3. Установление TLS-туннеля — между устройством и Hub создаётся зашифрованное соединение по протоколу TLS 1.3.
4. Обмен ключами — для каждого сеанса связи между двумя устройствами генерируются уникальные сессионные ключи.
5. Передача данных — все BACnet-сообщения передаются внутри TLS-туннеля, зашифрованные и подписанные.

Типы соединений

BSC поддерживает два основных режима работы:

• Hub-and-Spoke — все устройства подключаются к одному или нескольким Hub. Hub выступает в роли ретранслятора, обеспечивая связь между устройствами, которые не могут напрямую соединиться друг с другом (например, из-за NAT или брандмауэров). Этот режим наиболее распространён в облачных решениях.
• Peer-to-Peer — устройства устанавливают прямое зашифрованное соединение друг с другом без участия Hub. Используется в локальных сетях, где Hub не требуется.

Классификация и стандарты

BACnet Secure Connect является частью семейства протоколов BACnet и классифицируется по нескольким признакам:

• По уровню модели OSI — BSC работает на прикладном уровне (уровень 7), но использует транспортный уровень (TLS) для шифрования.
• По типу безопасности — BSC обеспечивает аутентификацию, целостность и конфиденциальность данных.
• По стандарту — BSC определён в ASHRAE 135-2020 (Addendum bj) и ISO 16484-5:2022.

Протокол совместим с существующими BACnet-профилями, такими как BACnet/IP, BACnet/MSTP и BACnet/SC, но для работы BSC требуется поддержка TLS 1.3 и сертификатов X.509.

Преимущества и недостатки

Преимущества

• Встроенная безопасность — BSC устраняет необходимость в дополнительных VPN-решениях и упрощает настройку защищённых соединений.
• Стандартизация — единый подход к безопасности, принятый международным сообществом.
• Масштабируемость — архитектура Hub-and-Spoke позволяет легко подключать тысячи устройств через Интернет.
• Совместимость — BSC может работать совместно с другими BACnet-протоколами, что облегчает миграцию.
• Сертификация — устройства BSC проходят обязательную сертификацию на соответствие стандарту BACnet, что гарантирует совместимость.

Недостатки

• Сложность внедрения — требуется настройка инфраструктуры сертификатов и Hub, что может быть дорого для небольших объектов.
• Зависимость от Hub — при использовании облачного Hub возможна задержка и зависимость от интернет-соединения.
• Ограниченная поддержка — на начало 2025 года не все производители BACnet-оборудования внедрили BSC.
• Требования к производительности — шифрование и дешифрование данных требуют вычислительных ресурсов, что может быть критично для старых устройств.

Применение

BACnet Secure Connect применяется в системах автоматизации зданий различного масштаба:

• Коммерческие здания — офисные центры, торговые комплексы, гостиницы. BSC позволяет централизованно управлять инженерными системами из облака.
• Промышленные объекты — заводы, склады, логистические центры. BSC обеспечивает защиту критически важных данных.
• Государственные учреждения — больницы, школы, административные здания. BSC соответствует требованиям к информационной безопасности.
• Умные города — интеграция систем управления освещением, климатом и безопасностью в единую сеть.

Примеры реализации

Крупные производители BACnet-оборудования, такие как Siemens, Johnson Controls, Honeywell, Schneider Electric, начали внедрять поддержку BSC в свои продукты с 2021 года. Например, контроллеры серии Siemens Desigo CC поддерживают BSC для подключения к облачным платформам. В 2023 году компания Tridium (разработчик платформы Niagara) объявила о поддержке BSC в своей системе.

Критика и перспективы

Критики BSC отмечают, что протокол не решает проблему безопасности на уровне BACnet-приложений — он защищает только канал передачи данных, но не предотвращает атаки на сами BACnet-объекты (например, изменение уставок через легитимное соединение). Кроме того, централизация вокруг Hub создаёт единую точку отказа.

Перспективы развития BSC связаны с интеграцией с протоколами IoT (MQTT, CoAP) и облачными платформами, а также с расширением поддержки со стороны производителей. Ожидается, что к 2027 году BSC станет обязательным для новых BACnet-устройств, работающих через Интернет.

Источники

• ASHRAE Standard 135-2020 — BACnet: A Data Communication Protocol for Building Automation and Control Networks.
• ISO 16484-5:2022 — Building automation and control systems — Part 5: Data communication protocol.
• BACnet International — BACnet Secure Connect Overview.
• Спецификация BACnet Secure Connect (Addendum bj to ANSI/ASHRAE 135-2020).