Inhaltsverzeichnis
Werbung
VIPA System SLIO
Digitale Signatur
Verschlüsseln
Secure Channel
HB300 | CPU | 015-CEFPR01 | de | 20-10
n
Selbst signiertes Zertifikat
–
Jeder Teilnehmer erzeugt sein eigenes Zertifikat und signiert es.
–
Selbst signierte Zertifikate sind in die CPU zu übertragen.
–
Aus einem selbst signierten Zertifikat können keine neuen Zertifikate abgeleitet
werden.
–
Beispielanwendungen: Statische Konfiguration mit begrenzter Anzahl von Kom-
munikationsteilnehmern.
CA-Zertifikat:
n
–
Alle Zertifikate werden von einer Zertifizierungsstelle erstellt und signiert.
–
Es ist nur das abgeleitete und signierte Zertifikat der Zertifizierungsstelle in die
CPU zu übertragen.
–
Die Zertifizierungsstelle kann neue Zertifikate erzeugen. Das Hinzufügen von
Partnergeräten ist jederzeit möglich.
–
Beispielanwendungen: Dynamisch wachsende Anlagen.
Durch die Signatur lässt sich die Integrität und Herkunft einer Nachricht nachweisen.
1.
Der Sender bildet aus der Klarnachricht einen Hashwert als Prüfwert.
2.
Aus dem Hashwert und einem privaten Schlüssel ergibt sich die digitale Signatur.
3.
Die Klarnachricht wird zusammen mit der digitalen Signatur an den Empfänger
gesendet.
4.
Der Empfänger entschlüsselt die empfangene Signatur mit dem öffentlichen
Schlüssel und erhält so wieder den ursprünglichen Hashwert.
5.
Der Empfänger bildet aus der Klarnachricht ebenfalls einen Hashwert und überprüft
diesen mit dem ursprünglichen Hashwert. Der Öffentlich Schlüssel und das Hash-
verfahren sind im X.509-Zertifikat enthalten.
Sind beide Hashwerte identisch, wurden Absender und Klarnachricht nicht
n
ð
manipuliert.
n
Sind beide Hashwerte nicht identisch, wurde die Klarnachricht manipuliert
bzw. bei der Übertragung verfälscht.
n
X.509-Zertifikate werden nicht verschlüsselt; sie sind öffentlich und jedermann kann
sie einsehen.
n
Durch Verschlüsseln von Daten verhindern Sie, dass Unbefugte Kenntnis vom Inhalt
erhalten.
n
Beim Verschlüsseln verschlüsselt der Sender die Klarnachricht mit dem öffentlichen
Schlüssel des Empfängers aus dem X.509-Zertifikat.
n
Der Empfänger entschlüsselt die Nachricht mit seinem privaten Schlüssel. Jeder
Besitzer des privaten Schlüssel kann eine empfangene Nachricht entschlüsseln.
n
OPC UA verwendet private und öffentliche Schlüssel für den Aufbau gesicherter Ver-
bindungen (Secure Channels) zwischen Client und Server.
Sobald eine gesicherte Verbindung aufgebaut ist, generieren Client und Server einen
n
gemeinsamen privaten Schlüssel zum Signieren und Verschlüsseln von Nachrichten.
Grundlagen OPC UA > Integriertes Sicherheitskonzept
Einsatz OPC UA
127
Werbung
Inhaltsverzeichnis
Fehlerbehebung
