Signieren; Verschlüsseln - Siemens SIMATIC S7-1500 Funktionshandbuch

OPC UA-Kommunikation
9.2 Security bei OPC UA

Signieren

Durch die Signatur lässt sich die Integrität und Herkunft einer Nachricht nachweisen, wie im
Folgenden beschrieben ist.
Beim Signieren bildet der Sender zunächst aus dem Klartext (Klarnachricht) einen Hashwert.
Dann verschlüsselt der Sender den Hashwert mit seinem privaten Schlüssel und überträgt
schließlich den Klartext zusammen mit dem verschlüsselten Hashwert zum Empfänger. Der
Empfänger benötigt zur Überprüfung der Signatur den öffentlichen Schlüssel des Senders
(ist im X509-Zertifikat des Senders enthalten). Mit dem öffentlichen Schlüssel des Senders
entschlüsselt der Empfänger den erhaltenen Hashwert. Dann bildet der Empfänger selbst
aus dem empfangenen Klartext den Hashwert (das Hashverfahren ist im Zertifikat des
Senders enthalten). Anschließend vergleicht der Empfänger die beiden Hashwerte:
● Wenn die beiden Hashwerte gleich sind, dann ist die Klarnachricht unverändert beim
Empfänger angekommen und wurde nicht manipuliert.
● Wenn die beiden Hashwerte nicht gleich sind, dann ist die Klarnachricht nicht identisch
beim Empfänger angekommen. Die Klarnachricht wurde manipuliert oder bei der
Übertragung verfälscht.
Verschlüsseln
Durch Verschlüsseln von Daten verhindern Sie, dass Unbefugte Kenntnis vom Inhalt
erhalten. X509-Zertifikate werden nicht verschlüsselt; sie sind öffentlich und jedermann kann
sie einsehen.
Beim Verschlüsseln verschlüsselt der Sender die Klarnachricht mit dem öffentlichen
Schlüssel des Empfängers. Dazu benötigt der Sender das X509-Zertifikat des Empfängers,
weil darin der öffentliche Schlüssel des Empfängers enthalten ist. Der Empfänger
entschlüsselt die Nachricht mit seinem privaten Schlüssel. Nur der Empfänger kann die
Nachricht entschlüsseln. Er allein besitzt den privaten Schlüssel. Deshalb darf der private
Schlüssel nie weitergegeben werden.
Secure Channel
OPC UA verwendet die privaten und öffentlichen Schlüssel von Client und Server beim
Aufbau einer gesicherten Verbindung, des Secure Channels. Wenn die gesicherte
Verbindung aufgebaut ist, dann erzeugen Client und Server einen internen, nur ihnen
bekannten Schlüssel, den sie zum Signieren und Verschlüsseln von Nachrichten verwenden.
Dieses symmetrische Verfahren (ein gemeinsamer Schlüssel) ist sehr viel schneller als
unsymmetrische Verfahren (private und öffentliche Schlüssel).
Siehe auch
Selbst-signierte Zertifikate erzeugen (Seite 160)
Zertifikate bei OPC UA (Seite 159)
Secure Communication (Seite 36)
Verwendung von Zertifikaten mit TIA Portal
(https://support.industry.siemens.com/cs/ww/de/view/109769068)
158
Funktionshandbuch, 11/2019, A5E03735814-AH
Kommunikation