Exkurs: Zertifikatstypen - Siemens SIMATIC S7-1500 Funktionshandbuch

Signieren und Verschlüsseln
Damit überprüft werden kann, ob ein Zertifikat manipuliert wurde, werden Zertifikate signiert.
Hier gibt es verschiedene Vorgehensweisen:
● Innerhalb des TIA Portals haben Sie die Möglichkeit, Zertifikate zu erzeugen und zu
signieren. Wenn Sie Ihr Projekt geschützt haben und als Benutzer angemeldet sind mit
dem Funktionsrecht, Security-Einstellung vornehmen zu dürfen, dann sind auch die
globalen Security-Einstellungen nutzbar. Die globalen Security-Einstellungen erlauben
Zugriff auf den Zertifikatsmanager und damit auch auf die Zertifizierungsstelle (CA) des
TIA Portals.
● Ihnen stehen weitere Möglichkeiten für die Erzeugung und Signierung von Zertifikaten zur
Verfügung. Im TIA Portal können Sie Zertifikate in den globalen Zertifikatsmanager
importieren.
– Sie wenden sich an eine Zertifizierungsstelle (CA) und lassen Ihr Zertifikat signieren.
– Sie erstellen selbst ein Zertifikat und signieren es.

Exkurs: Zertifikatstypen

● Selbst signiertes Zertifikat:
Jeder Teilnehmer erzeugt sein eigenes Zertifikat und signiert es. Beispielanwendungen:
Statische Konfiguration mit begrenzter Anzahl von Kommunikationsteilnehmern.
Aus einem selbst signierten Zertifikat können keine neuen Zertifikate abgeleitet werden.
Allerdings müssen Sie alle selbst signierten Zertifikate der Partnergeräte in die CPU
laden (STOP erforderlich).
● CA-Zertifikat:
Alle Zertifikate werden von einer Zertifizierungsstelle erstellt und signiert.
Beispielanwendungen: Dynamisch wachsende Anlagen.
Sie müssen nur das Zertifikat der Zertifizierungsstelle in die CPU laden. Die
Zertifizierungsstelle kann neue Zertifikate erzeugen (Hinzufügen von Partnergeräten
ohne STOP der CPU möglich).
Kommunikation
Funktionshandbuch, 11/2019, A5E03735814-AH
In diesem Fall überprüft die Zertifizierungsstelle Ihre Identität und signiert Ihr Zertifikat
mit dem privaten Schlüssel der Zertifizierungsstelle. Senden Sie dazu einen CSR
(Certificate Signing Request) an die Zertifizierungsstelle.
Dazu nutzen Sie zum Beispiel das Programm "Opc.Ua.CertificateGenerator" der OPC
Foundation. Oder Sie verwenden OpenSSL.
Weiterführende Informationen finden Sie unter PKI-Schlüsselpaare und Zertifikate
selbst erzeugen (Seite 161).
OPC UA-Kommunikation
9.2 Security bei OPC UA
157