Beveiliging en PKI
De meeste OPC UA-securityproblemen zijn certificaatproblemen, en de meeste worden opgelost door security uit te zetten, en daarom draaien zoveel fabrieken op None. Deze cursus zet een werkende PKI goed op: policies en modes, certificaatanatomie, de vier stores, rollen en audit.
| Lessen | 12 |
|---|---|
| Tijd | ongeveer 96 minuten |
| Vereisten | A2 |
| Kosten | Gratis: geschreven lessen open, video en labs vereisen een gratis account |
Wat u zult kunnen
- U kunt een security policy en mode kiezen en beide verantwoorden.
- U kunt een certificaat genereren dat werkelijk valideert, inclusief SAN-vermeldingen.
- U kunt de workflow van rejected naar trusted aan beide zijden van een verbinding uitvoeren.
- U kunt een onderdrukbare validatiefout van een fatale onderscheiden.
- U kunt OPC UA-security uitleggen aan een IEC 62443-auditor.
Syllabus
-
1
Kies een security policy8 min
Wat de policies werkelijk voorschrijven, welke verouderd zijn, en de moderne ECC-opties in de huidige reference stack.
Asset De policylijst van de endpoints van drie servers, met de verouderde gemarkeerd
-
2
Kies Sign of SignAndEncrypt7 min
Integriteit versus vertrouwelijkheid, wat elk kost, en waarom None op een plat OT-netwerk een beslissing is waarvoor iemand zou moeten tekenen.
Asset Dezelfde sessie in None, Sign en SignAndEncrypt, opgenomen in Wireshark
-
3
Ontleed een application instance certificate10 min
Subject, geldigheid, key usage en de SAN: inclusief de URI-entry die exact moet overeenkomen met ApplicationUri, wat de meest voorkomende certificaatfout is.
Asset Een openssl-dump van een werkend certificaat met elk veld dat ertoe doet geannoteerd
-
4
Genereer een certificaat dat valideert9 min
De openssl-aanroep met de juiste extensies, en hetzelfde gedaan door de helper van elke SDK.
Asset Een werkende openssl-configuratie en -opdracht, met het resulterende certificaat geaccepteerd door een echte server
-
5
Leer de vier PKI-stores kennen8 min
trusted, issuer, rejected en crl. Wat in elk hoort, en waarom de rejected store bestaat.
Asset De PKI-mapindeling van een echte client, met een certificaat verplaatst van rejected naar trusted
-
6
Doorloop de trust-workflow aan beide kanten8 min
De stap die bijna iedereen half doet: de server vertrouwt de client en de client vertrouwt de server. Slechts één van beide doen is waarom het toch faalt.
Asset Een eerste verbinding die faalt en daarna slaagt nadat beide trust lists zijn bijgewerkt
-
7
Behandel een door een CA uitgegeven certificaat9 min
Ketens, intermediates in de issuer store, CRL's, en de bedrijfs-CA-fout waarbij de CA keyCertSign en cRLSign mist.
Asset Een mislukte ketenvalidatie herleid tot een ontbrekende key usage, met het openssl-bewijs
-
8
Scheid onderdrukbare van fatale fouten8 min
Welke validatiefouten een client mag accepteren, welke niet, en waarom 'accepteer alle certificaten' in productie geen configuratie is maar een besluit om geen security te hebben.
Asset Een validatiematrix van tien certificaatfouten, gemarkeerd als onderdrukbaar of fataal
-
9
Authenticeer de gebruiker, niet alleen de machine7 min
Anonymous-, username- en certificaat-identity-tokens, en het verschil tussen het authenticeren van een applicatie en van een persoon.
Asset Drie identity tokens tegen de Milo-demoserver, met de geaccepteerde en geweigerde resultaten
-
10
Pas Part 18-rollen toe8 min
Roles, role permissions en de bekende rol TrustedApplication. Beperken wat een geauthenticeerde client werkelijk mag doen.
Asset Een server met twee rollen geconfigureerd, en dezelfde read die per rol slaagt en faalt
-
11
Beheer certificaten op schaal met een GDS7 min
Push- en pull-certificaatbeheer, en waarom handmatige trust lists ergens rond de dertigste machine ophouden te werken.
Asset Een certificaat via GDS naar een server gepusht, met de trust list voor en na
-
12
Beantwoord een IEC 62443-vraag7 min
De mechanismen van OPC UA mappen op de vragen die een beveiligingsaudit werkelijk stelt, en waar OPC UA zwijgt.
Asset Een uittreksel van een audit met acht vragen, met het OPC UA-mechanisme dat elk beantwoordt, en twee die het niet kan
Lab
Gratis account vereist
Genereer uw eigen clientcertificaat met een correcte SAN, verbind na het uploaden ervan met opc.tcp://milo.digitalpetri.com:62541/milo met SignAndEncrypt, breek daarna de SAN met opzet en benoem de exacte statuscode.
Ontgrendel het lab →Laatst geverifieerd op 7 september 2026 tegen OPC UA 1.05.07. OPC UA Connect is een educatieve bron en is niet gelieerd aan de OPC Foundation.