Security Bei Opc Ua; Security-Einstellungen - Siemens SIMATIC S7-1500 Funktionshandbuch

OPC UA-Kommunikation

9.2 Security bei OPC UA

9.2 Security bei OPC UA
9.2.1

Security-Einstellungen

Gefahren begegnen
OPC UA erlaubt den Datenaustausch zwischen unterschiedlichen Systemen, sowohl
innerhalb der Prozess- und Produktionsebene, als auch zu Systemen der Leit- und
Unternehmensebene.
Diese Möglichkeit birgt auch Security-Risiken. Deshalb bietet OPC UA eine Reihe von
Sicherheitsmechanismen:
● Prüfung der Identität von OPC UA-Server und -Clients.
● Prüfung der Identität der Anwender.
● Signierter/verschlüsselter Datenaustausch zwischen OPC UA-Server und -Clients.
Die Sicherheitseinstellungen sollten nur in begründeten Fällen umgangen werden:
● Während der Inbetriebnahme
● Bei Inselprojekten ohne Ethernet-Verbindung nach außen
Wenn Sie z. B. beim "UA Sample Client" der OPC Foundation den Endpunkt "None"
auswählen, dann gibt das Programm eine deutliche Warnung aus:
Ebenso prüft STEP 7 beim Übersetzen Ihres Projekts, ob Sie die Einstellungsmöglichkeiten
für den Schutz berücksichtigt haben und warnt bei möglichen Risiken. Dazu gehört auch
eine OPC UA Security Policy mit der Einstellung "keine Security", was dem Endpunkt "None"
entspricht.
Hinweis
Nicht erwünschte Security Policys deaktivieren
Wenn Sie bei den Secure-Channel-Einstellungen des S7-1500 OPC UA-Servers alle
Security Policys aktiviert haben - also auch den Endpunkt "None" (Keine Security) - dann ist
der Datenverkehr zwischen Server und Client auch ungesichert möglich (weder signiert noch
verschlüsselt). Der OPC UA-Server der S7-1500 CPU sendet auch bei "None" (Keine
Security) sein öffentliches Zertifikat an den Client. Und manche Clients prüfen dieses
Zertifikat. Doch der Client ist nicht gezwungen, ein Zertifikat an den Server zu senden. Die
Identität des Clients bleibt möglicherweise unbekannt. Jeder OPC UA-Client kann sich dann
mit dem Server verbinden, unabhängig von sämtlichen noch folgenden Security-
Einstellungen.
Achten Sie bei der Projektierung des OPC UA-Servers darauf, dass nur Security Policys
aktiviert sind, die mit dem Schutzkonzept für Ihre Maschine oder Anlage vereinbar sind. Alle
anderen Security Policys sind zu deaktivieren.
Empfehlung: Verwenden Sie die Einstellung "Basic256Sha256 - Signieren & Verschlüsseln",
bei der der Server nur Sha256-Zertifikate akzeptiert. Die Security Policys "Basic128Rsa15"
und "Basic256" sind in der Voreinstellung deaktiviert und sollten nicht als Endpunkt
verwendet werden. Wählen Sie Endpunkte mit einer höheren Security-Policy.
154
Funktionshandbuch, 11/2019, A5E03735814-AH
Kommunikation