服務(wù)熱線
13313705507
設(shè)備和機(jī)器制造商必須確保數(shù)據(jù)完整性和保密數(shù)據(jù)。此外，他們必須保證數(shù)據(jù)的主權(quán)屬于數(shù)據(jù)所有者。目前，許多設(shè)備和機(jī)器制造商都在努力應(yīng)對(duì)這些安全挑戰(zhàn)。因此，他們放棄了安全使用數(shù)據(jù)以改進(jìn)或擴(kuò)展自己的產(chǎn)品和服務(wù)或以安全方式降低運(yùn)營(yíng)成本的能力。
為此并基于他們的專業(yè)知識(shí)，成立了 M2M 聯(lián)盟和 OPC 基金會(huì)安全用戶組。其目標(biāo)是記錄和告知基于設(shè)備和機(jī)器數(shù)據(jù)的安全通信解決方案和智能服務(wù)的佳實(shí)踐。本文件應(yīng)簡(jiǎn)要概述推薦的安全措施，這些措施用于“佳實(shí)踐”安裝。
請(qǐng)注意以下簡(jiǎn)短說(shuō)明：
- 概述 OPC UA 規(guī)范中可用的可能對(duì)策
- 關(guān)于典型安裝的報(bào)告，但不聲稱是完整的
- 顯示本白皮書編寫時(shí)的情況快照。出于顯而易見的原因，安全解決方案需要定期審查該領(lǐng)域的當(dāng)前發(fā)展。
以下概念超出了 OPC UA 安全架構(gòu)的范圍：組織問題，例如人員安全培訓(xùn)、安全生命周期和策略或如何處理物理訪問。OPC UA 不會(huì)取代 ISO 27001 定義的信息安全管理系統(tǒng) (ISM)。應(yīng)使用 OPC UA 安全方面來(lái)實(shí)現(xiàn)深度防御/安全。
范圍之外的其他問題包括用戶和角色身份驗(yàn)證和授權(quán)管理。
盡管如此，UA 可以通過使用基于聲明的授權(quán)與現(xiàn)有概念集成，例如 Kerberos、OAuth2 或 JSON Web Token。
安全模型
安全性是 OPC UA 的基本要求，因此它緊密集成到架構(gòu)中。UA 安全機(jī)制基于對(duì)安全威脅的詳細(xì)分析。UA 安全涉及用戶和 UA 應(yīng)用程序的身份驗(yàn)證、交換消息的完整性和機(jī)密性以及功能配置文件的驗(yàn)證。
UA Security 補(bǔ)充了公司內(nèi)已有的安全基礎(chǔ)設(shè)施。一個(gè)可擴(kuò)展的 UA 安全概念包括三個(gè)層次：用戶安全、應(yīng)用安全和傳輸安全。UA 用戶級(jí)安全機(jī)制在建立新會(huì)話時(shí)授予特定用戶及其角色的訪問權(quán)限。
UA 應(yīng)用程序級(jí)安全性也是通信會(huì)話的一部分，包括數(shù)字簽名 X.509 證書的交換。在安全通道建立期間交換的應(yīng)用程序?qū)嵗C書用于對(duì)應(yīng)用程序進(jìn)行身份驗(yàn)證。可由 OPC 基金會(huì)認(rèn)證的受支持的 UA 安全配置文件定義了 UA 應(yīng)用程序支持的安全機(jī)制。
傳輸級(jí)安全性可用于在通信會(huì)話期間對(duì)每條消息進(jìn)行簽名和加密。簽名可確保消息完整性，加密可防止竊聽。
UA安全機(jī)制是在UA棧中實(shí)現(xiàn)的，即包含在UA棧廠商分發(fā)的軟件包中，UA應(yīng)用程序只需要使用它即可。然而，UA 應(yīng)用程序開發(fā)人員（即機(jī)器制造商等）有責(zé)任根據(jù)他必須遵守的要求配置 UA 服務(wù)器。
Global Discovery Server (GDS) 是一個(gè) OPC UA 服務(wù)器，它提供的服務(wù)允許服務(wù)器自己注冊(cè)，還允許客戶端搜索要連接的服務(wù)器。此外，它還為客戶端和服務(wù)器提供 X.509 安全證書管理服務(wù)。
角色和基于聲明的安全性
GDS 提供包含角色的主數(shù)據(jù)庫(kù)，例如安全管理員觀察者。角色管理與現(xiàn)有的用戶和角色管理系統(tǒng)集成。角色對(duì) OPC UA 信息模型中的節(jié)點(diǎn)具有訪問權(quán)限。用戶提供憑據(jù)以進(jìn)行身份??驗(yàn)證并獲得授予的角色以及 UA 會(huì)話的相應(yīng)訪問權(quán)限。身份信息和訪問權(quán)限通過基于聲明的授權(quán)機(jī)制進(jìn)行處理，例如 Kerberos 或 OAuth2 提供的授權(quán)機(jī)制。
自動(dòng)證書管理
自動(dòng)證書管理意味著 OPC UA GDS 維護(hù) X.509 證書配置和可更新的 UA 應(yīng)用程序列表，這些應(yīng)用程序在管理域中可用。GDS 提供了一個(gè)證書管理器來(lái)請(qǐng)求和更新證書以及信任和撤銷列表。
證書管理器支持基于拉取和推送的分發(fā)模型。應(yīng)用程序充當(dāng)客戶端并使用證書管理器的方法來(lái)提取證書和列表。或者應(yīng)用程序充當(dāng)服務(wù)器，并提供證書管理器可以用來(lái)推送新證書和列表的方法。使用證書管理器管理證書比手動(dòng)處理證書具有更好的擴(kuò)展性。
我司產(chǎn)品廣泛應(yīng)用于數(shù)控機(jī)械 冶金,石油天然氣,石油化工，
化工,造紙印刷,紡織印染,機(jī)械,電子制造,汽車制造,
塑膠機(jī)械,電力,水利,水處理/環(huán)保,市政工程,鍋爐供暖,能源,輸配電。
A GDS provides the master database including roles, like security admin observer. The role management integrates with existing user and role management systems. Roles have access permission for nodes within the OPC UA Information Model. Users provide credentials to authenticate and to get a granted role and the corresponding access rights for a UA session. The identity information and access rights are handled via a claims-based authorization mechanism, which, e.g., Kerberos or OAuth2 provides.
Automatic certificate management
Automatic certificate management means that the OPC UA GDS maintains the X.509 certificate provisioning and renewable for a list of UA applications, which are available in an administrative domain. The GDS provides a certificate manager to request and update certificates and trust and revocation lists.
The certificate manager supports pull and push-based distribution models. Either the application acts as a client and uses methods of the certificate manager to pull certificates and lists. Or the application acts as a server, and provides methods that the certificate manager can use to push new certificates and lists. Managing certificates by using the certificate manager scales better than handling certificates manually.
