Seguridad y PKI
La mayoría de los problemas de seguridad en OPC UA son problemas de certificados, y la mayoría se resuelven desactivando la seguridad, que es la razón de que tantas plantas funcionen con None. Este curso monta una PKI operativa como es debido: políticas y modos, anatomía del certificado, los cuatro almacenes, roles y auditoría.
| Lecciones | 12 |
|---|---|
| Tiempo | unos 96 minutos |
| Requisitos previos | A2 |
| Coste | Gratis: lecciones escritas abiertas; el vídeo y los laboratorios necesitan una cuenta gratuita |
Lo que será capaz de hacer
- Sabe elegir una política y un modo de seguridad y justificar ambos.
- Sabe generar un certificado que valide de verdad, con las entradas SAN incluidas.
- Sabe ejecutar el flujo de rechazado a confiado en ambos lados de una conexión.
- Sabe distinguir un error de validación suprimible de uno fatal.
- Sabe explicar la seguridad de OPC UA a un auditor de IEC 62443.
Temario
-
1
Elija una política de seguridad8 min
Qué especifican realmente las políticas, cuáles están obsoletas y las opciones ECC modernas de la pila de referencia actual.
Recurso La lista de políticas de los endpoints de tres servidores, con las obsoletas marcadas
-
2
Elija Sign o SignAndEncrypt7 min
Integridad frente a confidencialidad, qué cuesta cada una y por qué None en una red OT plana es una decisión que alguien debería tener que firmar.
Recurso La misma sesión en None, Sign y SignAndEncrypt, capturada en Wireshark
-
3
Desmonte un certificado de instancia de aplicación10 min
Sujeto, validez, uso de clave y el SAN, incluida la entrada URI que debe coincidir exactamente con el ApplicationUri, que es el fallo de certificado más habitual de todos.
Recurso Un volcado openssl de un certificado que funciona, con cada campo relevante anotado
-
4
Genere un certificado que valide9 min
La invocación de openssl con las extensiones correctas, y lo mismo hecho con el asistente de cada SDK.
Recurso Una configuración y un comando de openssl que funcionen, con el certificado resultante aceptado por un servidor real
-
5
Aprenda los cuatro almacenes PKI8 min
trusted, issuer, rejected y crl. Qué va en cada uno, y por qué existe el almacén de rechazados.
Recurso La disposición de la carpeta PKI de un cliente real, con un certificado movido de rechazados a confianza
-
6
Ejecute el flujo de confianza en ambos lados8 min
El paso que casi todo el mundo hace a medias: el servidor confía en el cliente y el cliente confía en el servidor. Hacer solo uno es por lo que sigue fallando.
Recurso Una primera conexión que falla y después funciona una vez actualizadas ambas listas de confianza
-
7
Maneje un certificado emitido por una CA9 min
Cadenas, intermedios en el almacén de emisores, CRLs, y el fallo de CA corporativa en el que a la CA le faltan keyCertSign y cRLSign.
Recurso Un fallo de validación de cadena rastreado hasta un uso de clave ausente, con la prueba en openssl
-
8
Separe los errores suprimibles de los fatales8 min
Qué fallos de validación puede un cliente optar por aceptar, cuáles no debe aceptar, y por qué «aceptar todos los certificados» en producción no es una configuración sino la decisión de no tener seguridad.
Recurso Una matriz de validación con diez fallos de certificado, marcados como suprimibles o fatales
-
9
Autentique al usuario, no solo a la máquina7 min
Tokens de identidad anónimo, de usuario y de certificado, y la diferencia entre autenticar una aplicación y autenticar a una persona.
Recurso Tres tokens de identidad contra el servidor de demostración Milo, con los resultados aceptados y rechazados
-
10
Aplicar roles de Part 188 min
Roles, permisos de rol y el rol conocido TrustedApplication. Restringir lo que un cliente autenticado puede hacer realmente.
Recurso Un servidor con dos roles configurados, y la misma lectura funcionando y fallando según el rol
-
11
Gestionar certificados a escala con un GDS7 min
Gestión de certificados push y pull, y por qué las listas de confianza manuales dejan de funcionar en torno a la trigésima máquina.
Recurso Un certificado enviado a un servidor mediante GDS, con la lista de confianza antes y después
-
12
Responda a una pregunta de IEC 624437 min
Cómo se corresponden los mecanismos de OPC UA con las preguntas que realmente hace una auditoría de seguridad, y dónde OPC UA guarda silencio.
Recurso Un extracto de auditoría de ocho preguntas con el mecanismo de OPC UA que responde a cada una, y dos que no puede
Laboratorio
Requiere cuenta gratuita
Genere su propio certificado de cliente con un SAN correcto, conecte a opc.tcp://milo.digitalpetri.com:62541/milo con SignAndEncrypt después de subirlo, rompa después el SAN a propósito e identifique el código de estado exacto.
Desbloquear el laboratorio →Última verificación el 7 de septiembre de 2026 frente a OPC UA 1.05.07. OPC UA Connect es un recurso educativo y no está afiliado a la OPC Foundation.