Siemens SIMATIC S7-1500 Funktionshandbuch Seite 167

OPC UA-Kommunikation
9.2 Security bei OPC UA
Aufbau des Secure Channels
Der Aufbau des Secure Channels läuft folgendermaßen ab:
1. Der Server beginnt mit dem Aufbau des Secure Channels, wenn er eine Aufforderung
dazu vom Client erhält. Dieser Request ist entweder signiert, signiert und verschlüsselt,
oder die Nachricht wird im Klartext gesendet (Security-Modus des gewählten Server-
Endpunkts). Bei "Signieren" und "Signieren & Verschlüsseln" sendet der Client ein
"Geheimnis" (eine Zufallszahl) mit dem Request.
2. Der Server validiert das Client-Zertifikat (unverschlüsselt im Request enthalten) und
überprüft die Identität des Clients. Vertraut der Server dem Client-Zertifikat, dann
– entschlüsselt der Server die Nachricht und überprüft die Signatur ("Signieren &
– oder überprüft nur die Signatur ("Signieren")
– oder lässt die Nachricht unverändert ("Keine Security").
3. Danach sendet der Server eine Antwort zum Client (gleichermaßen gesichert wie der
Request). Im Response ist das Server-Geheimnis enthalten. Aus dem Client- und Server-
Geheimnis errechnen Client und Server einen symmetrischen Schlüssel. Damit ist der
Secure Channel aufgebaut.
Der symmetrische Schlüssel wird nun für das Signieren und Verschlüsseln von Nachrichten
verwendet (anstelle der privaten und öffentlichen Schlüssel von Client und Server).
Aufbau der Session
Der Aufbau der Session läuft folgendermaßen ab:
1. Der Client startet den Session-Aufbau, indem er einen CreateSessionRequest an den
Server schickt. Diese Nachricht enthält ein Nonce, eine nur einmal verwendete
Zufallszahl. Der Server muss diese Zufallszahl (Nonce) signieren, um zu beweisen, dass
er Inhaber des privaten Schlüssels ist. Der private Schlüssel gehört zu dem Zertifikat, den
der Server beim Aufbau des Secure Channels verwendet. Diese Nachricht (und alle
nachfolgenden) ist entsprechend den Sicherheitseinstellungen des gewählten Server-
Endpunkts (ausgewählte Security Policys) gesichert.
2. Der Server antwortet mit der CreateSession Response. Diese Nachricht enthält den
öffentlichen Schlüssel des Servers sowie das signierte Nonce. Der Client überprüft das
signierte Nonce.
3. Wenn der Server den Test bestanden hat, dann sendet der Client einen
SessionActivateRequest an den Server. Diese Nachricht enthält die Angaben, die für die
Authentifizierung des Benutzers erforderlich sind:
– entweder Benutzername und Passwort
– oder das X.509-Zertifikat des Benutzers (in STEP 7 nicht unterstützt)
– oder keine Daten (wenn ein anonymer Zugang konfiguriert ist).
4. Wenn der Benutzer über die notwendigen Rechte verfügt, sendet der Server eine
Nachricht an den Client zurück (ActivateSessionResponse). Damit ist die Session
aktiviert.
Die sichere Verbindung zwischen OPC UA-Client und -Server ist aufgebaut.
166
Verschlüsseln")
Funktionshandbuch, 11/2019, A5E03735814-AH
Kommunikation