Sécurité et PKI

Ce que vous saurez faire

• Vous savez choisir une politique et un mode de sécurité et justifier les deux.
• Vous savez générer un certificat qui se valide réellement, entrées SAN comprises.
• Vous savez dérouler le passage de rejeté à approuvé des deux côtés d'une connexion.
• Vous savez distinguer une erreur de validation supprimable d'une erreur fatale.
• Vous savez expliquer la sécurité OPC UA à un auditeur IEC 62443.

Programme

1. 1
   Choisir une politique de sécurité

   Ce que les politiques spécifient réellement, lesquelles sont dépréciées, et les options ECC modernes de la pile de référence actuelle.

   Livrable La liste des policies des endpoints de trois serveurs, avec celles qui sont dépréciées marquées

   8 min
2. 2
   Choisir Sign ou SignAndEncrypt

   Intégrité contre confidentialité, ce que chacune coûte, et pourquoi None sur un réseau OT à plat est une décision que quelqu'un devrait avoir à signer.

   Ressource La même session en None, Sign et SignAndEncrypt, capturée dans Wireshark

   7 min
3. 3
   Décortiquer un certificat d'instance d'application

   Sujet, validité, key usage et le SAN: dont l'entrée URI qui doit correspondre exactement à l'ApplicationUri, la défaillance de certificat la plus fréquente.

   Livrable Un dump openssl d'un certificat fonctionnel avec chaque champ qui compte annoté

   10 min
4. 4
   Générer un certificat qui se valide

   L'invocation openssl avec les bonnes extensions, et la même chose faite par l'assistant de chaque SDK.

   Livrable Une configuration et une commande openssl fonctionnelles, avec le certificat obtenu accepté par un vrai serveur

   9 min
5. 5
   Connaître les quatre magasins PKI

   trusted, issuer, rejected et crl. Ce qui va dans chacun, et pourquoi le magasin des rejetés existe.

   Ressource L'organisation du dossier PKI d'un vrai client, avec un certificat déplacé de rejected vers trusted

   8 min
6. 6
   Exécuter le workflow de confiance des deux côtés

   L'étape que presque tout le monde ne fait qu'à moitié : le serveur fait confiance au client et le client fait confiance au serveur. N'en faire qu'une est la raison pour laquelle ça échoue encore.

   Ressource Une première connexion qui échoue, puis réussit après mise à jour des deux listes de confiance

   8 min
7. 7
   Gérer un certificat émis par une CA

   Chaînes, intermédiaires dans le magasin issuer, CRL, et le cas d'échec de CA d'entreprise où la CA n'a pas keyCertSign et cRLSign.

   Ressource Un échec de validation de chaîne remonté à un key usage manquant, avec la preuve openssl

   9 min
8. 8
   Séparer les erreurs supprimables des erreurs fatales

   Quels échecs de validation un client peut choisir d'accepter, lesquels il ne doit pas accepter, et pourquoi « accepter tous les certificats » en production n'est pas une configuration mais la décision de n'avoir aucune sécurité.

   Livrable Une matrice de validation de dix échecs de certificat, marqués comme supprimables ou fatals

   8 min
9. 9
   Authentifier l'utilisateur, pas seulement la machine

   Jetons d'identité anonyme, nom d'utilisateur et certificat, et la différence entre authentifier une application et authentifier une personne.

   Ressource Trois jetons d'identité contre le serveur de démonstration Milo, avec les résultats acceptés et rejetés

   7 min
10. 10
    Appliquer les rôles de la Part 18

    Rôles, permissions de rôle et le rôle bien connu TrustedApplication. Restreindre ce qu'un client authentifié a réellement le droit de faire.

    Ressource Un serveur avec deux rôles configurés, et la même lecture qui réussit puis échoue selon le rôle

    8 min
11. 11
    Gérer les certificats à grande échelle avec un GDS

    La gestion de certificats en push et en pull, et pourquoi les listes de confiance manuelles cessent de fonctionner vers la trentième machine.

    Ressource Un certificat poussé vers un serveur via GDS, avec la liste de confiance avant et après

    7 min
12. 12
    Répondre à une question IEC 62443

    Mettre en correspondance les mécanismes d'OPC UA avec les questions qu'un audit de sécurité pose réellement, et les points sur lesquels OPC UA est muet.

    Ressource Un extrait d'audit en huit questions avec le mécanisme OPC UA qui répond à chacune, et deux auxquelles il ne peut pas répondre

    7 min

Lab

Dernière vérification le 7 septembre 2026 par rapport à OPC UA 1.05.07. OPC UA Connect est une ressource pédagogique et n'est pas affiliée à l'OPC Foundation.