Sicherheit und PKI

Was Sie danach können

• Sie können SecurityPolicy und Mode wählen und beides begründen.
• Sie können ein Zertifikat erzeugen, das wirklich validiert, samt SAN-Einträgen.
• Sie können den Ablauf von Rejected zu Trusted auf beiden Seiten einer Verbindung durchführen.
• Sie können einen unterdrückbaren Validierungsfehler von einem fatalen unterscheiden.
• Sie können OPC-UA-Sicherheit einem IEC-62443-Auditor erklären.

Lehrplan

1. 1
   Eine SecurityPolicy wählen

   Was die Policies tatsächlich festlegen, welche veraltet sind und die modernen ECC-Optionen im aktuellen Referenz-Stack.

   Asset Die Policy-Liste von den Endpunkten dreier Server, mit markierten veralteten Einträgen

   8 min
2. 2
   Sign oder SignAndEncrypt wählen

   Integrität gegen Vertraulichkeit, was beides kostet, und warum None in einem flachen OT-Netz eine Entscheidung ist, für die jemand unterschreiben sollte.

   Asset Dieselbe Session in None, Sign und SignAndEncrypt, in Wireshark aufgezeichnet

   7 min
3. 3
   Ein Application Instance Certificate zerlegen

   Subject, Gültigkeit, Key Usage und die SAN, einschließlich des URI-Eintrags, der exakt mit der ApplicationUri übereinstimmen muss, was der mit Abstand häufigste Zertifikatsfehler ist.

   Asset Ein openssl-Dump eines funktionierenden Zertifikats mit jedem wichtigen Feld kommentiert

   10 min
4. 4
   Ein Zertifikat erzeugen, das validiert

   Der openssl-Aufruf mit den richtigen Extensions, und dasselbe über die Hilfsfunktion jedes SDK erledigt.

   Asset Eine funktionierende openssl-Konfiguration samt Befehl, mit dem resultierenden, von einem echten Server akzeptierten Zertifikat

   9 min
5. 5
   Die vier PKI-Speicher lernen

   trusted, issuer, rejected und crl. Was in welchen gehört, und warum es den Rejected-Store gibt.

   Asset Der PKI-Ordneraufbau eines echten Clients, mit einem von rejected nach trusted verschobenen Zertifikat

   8 min
6. 6
   Den Vertrauens-Workflow auf beiden Seiten durchlaufen

   Der Schritt, den fast jeder nur halb macht: Der Server vertraut dem Client und der Client vertraut dem Server. Nur eines davon zu tun ist der Grund, warum es weiter scheitert.

   Asset Eine erste Verbindung, die scheitert und dann gelingt, nachdem beide Vertrauenslisten aktualisiert sind

   8 min
7. 7
   Ein CA-ausgestelltes Zertifikat handhaben

   Ketten, Zwischenzertifikate im Issuer-Speicher, CRLs und der Fehlerfall mit der Unternehmens-CA, bei dem der CA keyCertSign und cRLSign fehlen.

   Asset Eine gescheiterte Kettenvalidierung, zurückverfolgt auf eine fehlende Key Usage, mit openssl-Beleg

   9 min
8. 8
   Unterdrückbare von fatalen Fehlern trennen

   Welche Prüffehler ein Client akzeptieren darf, welche nicht, und warum „alle Zertifikate akzeptieren“ im Produktivbetrieb keine Konfiguration ist, sondern die Entscheidung, keine Sicherheit zu haben.

   Asset Eine Validierungsmatrix mit zehn Zertifikatsfehlern, markiert als unterdrückbar oder fatal

   8 min
9. 9
   Den Benutzer authentifizieren, nicht nur die Maschine

   Identity Tokens für anonym, Benutzername und Zertifikat, und der Unterschied zwischen der Authentifizierung einer Anwendung und der einer Person.

   Asset Drei Identity Tokens gegen den Milo-Demoserver, mit den akzeptierten und abgelehnten Ergebnissen

   7 min
10. 10
    Rollen aus Part 18 anwenden

    Rollen, Rollenberechtigungen und die bekannte Rolle TrustedApplication. Einschränken, was ein authentifizierter Client tatsächlich tun darf.

    Asset Ein Server mit zwei konfigurierten Rollen, und derselbe Read, der je nach Rolle gelingt und scheitert

    8 min
11. 11
    Zertifikate im großen Maßstab mit einem GDS verwalten

    Push- und Pull-Zertifikatsverwaltung und warum manuelle Vertrauenslisten irgendwo um die dreißigste Maschine herum aufhören zu funktionieren.

    Asset Ein per GDS auf einen Server gepushtes Zertifikat, mit der Vertrauensliste vorher und nachher

    7 min
12. 12
    Eine IEC-62443-Frage beantworten

    Die Mechanismen von OPC UA auf die Fragen abbilden, die ein Sicherheitsaudit tatsächlich stellt, und wo OPC UA schweigt.

    Asset Ein Auszug eines Audits mit acht Fragen, mit dem OPC-UA-Mechanismus, der jede beantwortet, und zweien, die er nicht kann

    7 min

Lab

Zuletzt geprüft am 7. September 2026 gegen OPC UA 1.05.07. OPC UA Connect ist ein unabhängiges Bildungsangebot und steht in keiner Verbindung zur OPC Foundation.