OPC UA режими и политики за сигурност: Безопасна конфигурация за OEE

Основни изводи

• Използвайте режим SignAndEncrypt за всяка OEE връзка и изключете None.
• Изберете актуална политика за сигурност и изключете старите, които OPC Foundation е оттеглил.
• Доверявайте сертификати и от двете страни: сървърът се доверява на шлюза, шлюзът се доверява на сървъра.
• Дайте на OEE шлюза собствен потребител с права само за четене. Никакъв анонимен достъп.
• Следете датите на изтичане на сертификатите, защото изтекъл сертификат спира данните.

OPC UA може да бъде много сигурен, но само ако е настроен правилно. Много сървъри се доставят с отворен край за въвеждане в експлоатация. За OEE запазете един край: подписан и криптиран, с доверени сертификати и потребител само за четене за шлюза.

Fabrico, OEE и лека MES софтуер с AI камери, чете данни от машини през PLC, IoT устройства или камери. Настройките за сигурност за връзката на всяко предприятие се договарят с техническия екип на Fabrico. Това ръководство обхваща неутралната към доставчици страна на OPC UA.

Какво защитава сигурността на OPC UA?

OPC UA, познат още като IEC 62541, вгражда сигурността в протокола. Тя покрива три неща:

• Автентикация: сървърът и клиентът доказват кой са.
• Интегритет: никой не може да промени съобщение по пътя без това да бъде забелязано.
• Поверителност: никой в мрежата не може да прочете съобщението.

Сървърът предлага един или повече крайни точки, като всяка крайна точка има режим на сигурност и политика за сигурност. Клиентът се свързва към крайната точка, която му е разрешено да използва. Нашият OPC UA guide разглежда основния стандарт.

Какви са режимите на сигурност на OPC UA?

Политиката за сигурност задава алгоритмите зад режима. Актуалните политики включват Basic256Sha256, Aes128_Sha256_RsaOaep и Aes256_Sha256_RsaPss. По-старите политики Basic128Rsa15 и Basic256 са остарели, така че ги изключете също.

Как работят сертификатите в OPC UA?

Всяко OPC UA приложение, сървърът на PLC и клиентът на OEE шлюза, има собствен сертификат на приложението. Сигурната връзка работи само когато всяка страна се доверява на сертификата на другата страна.

1. Шлюзът представя своя сертификат на сървъра.
2. Администраторът на сървъра го премества в списъка с доверени, веднъж, след проверка.
3. Шлюзът се доверява на сертификата на сървъра по същия начин.
4. И двете страни отбелязват датата на изтичане и подновяват преди това.

Сертификатите могат да бъдат самоподписани или подписани от вътрешна сертификатна служба на предприятието. При много машини вътрешна служба улеснява работата, защото всяка страна тогава се доверява на един издател, а не на всеки отделен сертификат.

Кой потребителски акаунт трябва да използва OEE шлюзът?

OPC UA също пита кой е потребителят. Общите типове токени за потребител са анонимен, потребителско име с парола и X.509 сертификат.

• Изключете анонимния достъп на крайните точки, които използва шлюзът.
• Създайте един потребител за OEE шлюза, като oee_reader, с силна парола или потребителски сертификат.
• Дайте му права само за четене на възлите, които OEE се нуждае. Никога не трябва да записва.
• Поддържайте го отделно от инженерните и HMI акаунти, за да може да бъде премахнат без странични ефекти.

Пример: защита на шест PLC сървъра

Примерна линия (илюстративни числа, не е клиент). Линията има шест PLC-та, всеки със свой OPC UA сървър. Всеки сървър беше доставен с три крайни точки.

Това са 6 x 2 = 12 деактивирани крайни точки и 12 доверени записи, които трябва да се настроят веднъж. С вътрешна сертификатна служба, работата по доверието намалява до един издател на всяка страна.

Настройките отнемат кратка сесия за всеки PLC с инженера по управление. Запишете ги, заедно с датата на изтичане на всеки сертификат, за да не бъде подновяването изненада.

Какво още трябва да провери ИТ?

• Мрежови зони. Само шлюзът трябва да достига PLC сървърите. Нашето ръководство за IEC 62443 zones and conduits показва как.
• Само изходящ трафик. Шлюзът изпраща данни навън; нищо не се свързва отвън от интернет.
• Процесът на доставчика. Софтуерен доставчик се оценява по IEC 62443 част 4-1, сигурна разработка, и част 4-2, изисквания за компоненти.
• Логове. Неуспешните опити за свързване към сървъра трябва да са видими за някого.

Ръководството за cloud MES buyer's guide for IT добавя въпроси за наличност и собственост на данните.

Кои грешки в сигурността на OPC UA са най-чести?

• Оставяне на None крайната точка включена след въвеждане в експлоатация.
• Автоматично доверяване на всеки сертификат, което обезсмисля целта на сертификатите.
• Позволяване на анонимни потребители, защото инструмент е бил по-лесен за настройка така.
• Една споделена парола за всеки шлюз във всяко предприятие.
• Забравяне на датите на изтичане, така че данните спират една сутрин без предупреждение.

Къде се вписва Fabrico?

Fabrico е платформа за подобряване на производителността, с поддръжка на компютърно зрение. OEE и лека MES идват първи, четени от сигналите, които всяка машина предлага.

• Автоматично записване на престои от PLC тагове, IoT устройства или камери.
• Операторът потвърждава причината с едно докосване, така че спиранията имат причина.
• OEE в реално време по линия и смяна, с всяка загуба оценена в пари.
• Пилот на една линия, което дава на ИТ малък обхват за преглед първо.

Fabrico не прави претенции за сертифициране; настройките за сигурност се договарят за всяко предприятие с неговия технически екип. Няма безплатен план и няма нива: всяко предприятие получава оферта. Вижте продукта на computer vision OEE page и страната с данни в OPC UA for OEE.

Често задавани въпроси

Какви са режимите на сигурност на OPC UA?

Има три: None, Sign и SignAndEncrypt. None не защитава нищо. Sign открива всяка промяна в съобщение, но не го скрива. SignAndEncrypt както открива промени, така и скрива съдържанието. За OEE връзка използвайте SignAndEncrypt и изключете None.

Какво е политика за сигурност на OPC UA?

Това е наборът от алгоритми, които една крайна точка използва за подписване и криптиране. Актуалните политики включват Basic256Sha256, Aes128_Sha256_RsaOaep и Aes256_Sha256_RsaPss. По-старите Basic128Rsa15 и Basic256 са остарели и трябва да бъдат изключени.

Трябва ли да се позволява анонимен достъп за OEE?

Не. Дайте на OEE шлюза собствен потребител, със силна парола или потребителски сертификат, и права само за четене на възлите, от които се нуждае. Така предприятието знае точно коя система чете PLC и може да премахне този достъп без да пипа нищо друго.

Как се доверяват сертификатите в OPC UA?

Всяка страна поддържа списък с доверени сертификати. Администраторът проверява сертификата на другата страна веднъж и го премества в този списък. Вътрешна сертификатна служба опростява това, защото всяко приложение след това се доверява на един издател, а не на всеки отделен сертификат.

Забавя ли криптирането данните за OEE?

Не по начин, който да бъде забелязан от OEE. OEE чете няколко стойности на машина с умерени честоти, което е лека работа дори с криптиране. Ако PLC е стар или натоварен, помолете вашия инженер по управление да провери натоварването и чете само необходимите стойности.

Прегледайте вашата OPC UA конфигурация с нас

Донесете настройките на OPC UA сървъра за една машина. Ще покажем какво е необходимо за сигурна OEE връзка и колко струват нейните спирания.

Request a demo · Contact us