Securitate și PKI
Majoritatea problemelor de securitate OPC UA sunt probleme de certificate, iar cele mai multe se rezolvă prin dezactivarea securității: motiv pentru care atât de multe fabrici rulează pe None. Acest curs configurează corect un PKI funcțional: politici și moduri, anatomia certificatelor, cele patru magazine, roluri și audit.
| Lecții | 12 |
|---|---|
| Timp | circa 96 de minute |
| Cerințe prealabile | A2 |
| Cost | Gratuit: lecțiile scrise sunt deschise, video și laboratoarele cer un cont gratuit |
Ce veți fi capabil să faceți
- Puteți alege o politică și un mod de securitate și le puteți justifica pe ambele.
- Puteți genera un certificat care chiar se validează, inclusiv intrările SAN.
- Puteți rula fluxul de la respins la de încredere pe ambele părți ale unei conexiuni.
- Puteți deosebi o eroare de validare suprimabilă de una fatală.
- Puteți explica securitatea OPC UA unui auditor IEC 62443.
Programă
-
1
Alegeți o politică de securitate8 min
Ce specifică de fapt politicile, care sunt depreciate și opțiunile ECC moderne din stiva de referință curentă.
Livrabil Lista de politici de la endpointurile a trei servere, cu cele depreciate marcate
-
2
Alegeți Sign sau SignAndEncrypt7 min
Integritate față de confidențialitate, cât costă fiecare și de ce None într-o rețea OT plată este o decizie pe care cineva ar trebui să o semneze.
Resursă Aceeași sesiune în None, Sign și SignAndEncrypt, capturată în Wireshark
-
3
Descompuneți un certificat de instanță de aplicație10 min
Subiect, valabilitate, utilizarea cheii și SAN: inclusiv intrarea URI care trebuie să corespundă exact cu ApplicationUri, care este cel mai frecvent eșec de certificat.
Livrabil Un dump openssl al unui certificat funcțional, cu fiecare câmp care contează adnotat
-
4
Generați un certificat care se validează9 min
Invocarea openssl cu extensiile corecte și același lucru făcut de asistentul fiecărui SDK.
Livrabil O configurație și o comandă openssl funcționale, cu certificatul rezultat acceptat de un server real
-
5
Învățați cele patru magazine PKI8 min
trusted, issuer, rejected și crl. Ce aparține fiecăruia și de ce există magazinul rejected.
Resursă Structura folderului PKI al unui client real, cu un certificat mutat din rejected în trusted
-
6
Rulați fluxul de încredere în ambele părți8 min
Pasul pe care aproape toată lumea îl face pe jumătate: serverul are încredere în client, iar clientul are încredere în server. Faptul că se face doar unul este motivul pentru care tot eșuează.
Resursă O primă conexiune care eșuează, apoi reușește după actualizarea ambelor liste de încredere
-
7
Tratați un certificat emis de o CA9 min
Lanțuri, certificate intermediare în magazinul issuer, CRL-uri și eșecul tipic de CA corporativă în care CA-ul nu are keyCertSign și cRLSign.
Resursă Un eșec de validare a lanțului urmărit până la o utilizare de cheie lipsă, cu dovada openssl
-
8
Separați erorile care pot fi suprimate de cele fatale8 min
Ce eșecuri de validare poate alege un client să accepte, care nu are voie să le accepte și de ce „acceptă toate certificatele” în producție nu este o configurație, ci decizia de a nu avea securitate deloc.
Livrabil O matrice de validare cu zece eșecuri de certificat, marcate ca suprimabile sau fatale
-
9
Autentificați utilizatorul, nu doar mașina7 min
Token-uri de identitate anonime, cu nume de utilizator și cu certificat, și diferența dintre autentificarea unei aplicații și cea a unei persoane.
Resursă Trei tokenuri de identitate față de serverul demo Milo, cu rezultatele acceptate și respinse
-
10
Aplicați rolurile din Part 188 min
Roluri, permisiuni de rol și rolul binecunoscut TrustedApplication. Restrângerea a ceea ce poate face efectiv un client autentificat.
Resursă Un server cu două roluri configurate și aceeași citire reușind și eșuând în funcție de rol
-
11
Gestionați certificatele la scară cu un GDS7 min
Gestionarea certificatelor prin push și prin pull și de ce listele de încredere manuale încetează să funcționeze pe undeva pe la a treizecea mașină.
Resursă Un certificat trimis către un server prin GDS, cu lista de încredere înainte și după
-
12
Răspundeți la o întrebare IEC 624437 min
Maparea mecanismelor OPC UA pe întrebările pe care le pune de fapt un audit de securitate și unde OPC UA tace.
Resursă Un extras de audit cu opt întrebări, cu mecanismul OPC UA care răspunde la fiecare și două la care nu poate
Laborator
Necesită cont gratuit
Generați-vă propriul certificat de client cu un SAN corect, conectați-vă la opc.tcp://milo.digitalpetri.com:62541/milo cu SignAndEncrypt după ce l-ați încărcat, apoi stricați intenționat SAN-ul și identificați codul de stare exact.
Deblocați laboratorul →Verificat ultima dată la 7 septembrie 2026 față de OPC UA 1.05.07. OPC UA Connect este o resursă educațională și nu este afiliată cu OPC Foundation.