Securitate & certificate OPC UA
Securitatea este integrată în OPC UA, nu adăugată ulterior. O conexiune negociază o politică de securitate și un mod, apoi clientul și serverul se autentifică reciproc cu certificate X.509. Înțelegerea acestor două idei (moduri și încredere) rezolvă majoritatea întrebărilor de securitate și a eșecurilor de conexiune.
Cei patru piloni
| Pilon | Ce protejează |
|---|---|
| Criptare | Confidențialitate: nimeni nu poate citi traficul |
| Semnare | Integritate: mesajele nu pot fi modificate |
| Autentificare | Identitate, a aplicației (certificat) și a utilizatorului |
| Autorizare | Permisiuni: ce poate face un utilizator autentificat |
Moduri de securitate
- None: fără semnare/criptare. Doar pentru testare izolată.
- Sign: mesajele sunt semnate (integritate + autenticitate), dar nu sunt criptate.
- Sign & Encrypt: semnat și criptat. Folosiți-l în producție.
Fiecare mod se asociază cu o politică de securitate (suita de cifruri, de ex. Basic256Sha256 sau politicile mai noi Aes256). Preferați politicile moderne și dezactivați-le pe cele depreciate.
Cum funcționează încrederea în certificate
Fiecare aplicație OPC UA are propriul certificat de instanță. La conectare, clientul și serverul fac schimb de certificate; fiecare păstrează un mic magazin PKI:
pki/
├─ own/ # this application's own cert + private key
├─ trusted/certs # certificates we trust
├─ trusted/crl # certificate revocation lists
├─ issuer/ # CA certs (if using a CA)
└─ rejected/ # certs seen but not yet trustedrejected/. Mutați-l întrusted/certsla ambele capete, apoi reconectați. Acest singur pas repară majoritatea erorilor „BadSecurityChecksFailed”.Autosemnat față de semnat de CA
Certificatele auto-semnate sunt potrivite pentru instalări mici și statice: acordați încredere manual fiecăruia. Pentru parcuri de echipamente, o autoritate de certificare (sau GDS-ul OPC UA: Global Discovery Server) scalează încrederea: acordați încredere o singură dată autorității și orice certificat emis de ea devine automat de încredere.
Autentificarea utilizatorului
Identitatea aplicației (a certificatului) este separată de identitatea utilizatorului. Un server poate accepta token-uri anonime, nume de utilizator/parolă sau certificat de utilizator. Potriviți-vă cu ceea ce așteaptă serverul și preferați utilizatorii denumiți în locul celor anonimi în producție, astfel încât acțiunile să poată fi atribuite.
Listă de întărire a securității
- Folosiți Sign & Encrypt cu o politică modernă; dezactivați None și politicile depreciate.
- Înlocuiți certificatele implicite/autosemnate cu unele gestionate; setați o expirare rezonabilă și rotiți-le.
- Cereți utilizatori denumiți; dezactivați accesul anonim unde se poate.
- Aplicați autorizare cu privilegiu minim: doar citire, dacă scrierea nu este cu adevărat necesară.
- Mențineți CRL-urile la zi; eliminați certificatele învechite din
trusted/. - Puneți OPC UA într-o rețea segmentată; restricționați portul la clienți cunoscuți.
- Actualizați-vă stiva OPC UA: tratați-o ca pe orice alt serviciu din rețea.
Ultima actualizare: 4 septembrie 2026 · Resursă educațională.