OPC UA-Sicherheitsmodi und -richtlinien: Eine sichere Einrichtung für OEE

Wichtigste Erkenntnisse

• Verwenden Sie den Modus SignAndEncrypt für jede OEE-Verbindung und schalten Sie None aus.
• Wählen Sie eine aktuelle Sicherheitsrichtlinie und schalten Sie alte, von der OPC Foundation eingestellte Richtlinien ab.
• Vertrauen Sie Zertifikaten auf beiden Seiten: der Server vertraut dem Gateway, das Gateway vertraut dem Server.
• Geben Sie dem OEE-Gateway einen eigenen Benutzer mit Nur-Lese-Rechten. Kein anonymer Zugriff.
• Behalten Sie Ablaufdaten von Zertifikaten im Blick, denn ein abgelaufenes Zertifikat stoppt die Daten.

OPC UA kann sehr sicher sein, aber nur wenn es entsprechend eingerichtet ist. Viele Server werden mit einem offenen Endpunkt für die Inbetriebnahme ausgeliefert. Für OEE behalten Sie einen Endpunkt: signiert und verschlüsselt, mit vertrauenswürdigen Zertifikaten und einem Nur-Lese-Benutzer für das Gateway.

Fabrico, OEE und leichte MES-Software mit KI-Kameras liest Maschinendaten über SPS, IoT-Geräte oder Kameras. Die Sicherheitseinstellungen für die Verbindung jeder Anlage werden mit dem technischen Team von Fabrico vereinbart. Dieser Leitfaden behandelt die herstellerneutrale OPC UA-Seite.

Was schützt die OPC UA-Sicherheit?

OPC UA, auch bekannt als IEC 62541, integriert Sicherheit in das Protokoll. Sie deckt drei Dinge ab:

• Authentifizierung: Server und Client weisen ihre Identität nach.
• Integrität: Niemand kann eine Nachricht unterwegs ändern, ohne dass es bemerkt wird.
• Vertraulichkeit: Niemand im Netzwerk kann die Nachricht lesen.

Der Server bietet einen oder mehrere Endpunkte an, und jeder Endpunkt hat einen Sicherheitsmodus und eine Sicherheitsrichtlinie. Der Client verbindet sich mit dem Endpunkt, den er verwenden darf. Unser OPC UA guide behandelt den Basisstandard.

Welche OPC UA-Sicherheitsmodi gibt es?

Die Sicherheitsrichtlinie legt die Algorithmen hinter dem Modus fest. Aktuelle Richtlinien sind Basic256Sha256, Aes128_Sha256_RsaOaep und Aes256_Sha256_RsaPss. Die älteren Basic128Rsa15 und Basic256 Richtlinien sind veraltet und sollten ebenfalls abgeschaltet werden.

Wie funktionieren Zertifikate in OPC UA?

Jede OPC UA-Anwendung, der SPS-Server und der OEE-Gateway-Client, hat ein eigenes Anwendungscertifikat. Eine sichere Verbindung funktioniert nur, wenn jede Seite dem Zertifikat der anderen Seite vertraut.

1. Das Gateway legt sein Zertifikat vor beim Server.
2. Der Administrator des Servers verschiebt es nach Überprüfung in die Vertrauensliste, einmalig.
3. Das Gateway vertraut dem Zertifikat des Servers auf die gleiche Weise.
4. Beide Seiten notieren das Ablaufdatum und erneuern rechtzeitig.

Zertifikate können selbstsigniert sein oder von einer internen Zertifizierungsstelle der Anlage ausgestellt werden. Bei vielen Maschinen spart eine Anlagen-CA Arbeit, weil dann jede Seite einem Aussteller vertraut statt jedem einzelnen Zertifikat.

Welches Benutzerkonto sollte das OEE-Gateway verwenden?

OPC UA fragt auch, wer der Benutzer ist. Die gängigen Benutzer-Token-Typen sind anonym, Benutzername mit Passwort und ein X.509-Zertifikat.

• Deaktivieren Sie anonymen Zugang an den Endpunkten, die das Gateway verwendet.
• Erstellen Sie einen Benutzer für das OEE-Gateway, z. B. oee_reader, mit einem starken Passwort oder einem Benutzerzertifikat.
• Geben Sie ihm Nur-Lese-Rechte an den Knoten, die OEE benötigt. Schreiben ist nie erforderlich.
• Halten Sie ihn getrennt von Engineering- und HMI-Konten, damit er ohne Nebenwirkungen entfernt werden kann.

Beispiel: Absicherung von sechs SPS-Servern

Beispiellinie (illustrative Zahlen, kein Kunde). Eine Linie hat sechs SPSen, jede mit einem OPC UA-Server. Jeder Server wurde mit drei Endpunkten ausgeliefert.

Das sind 6 x 2 = 12 abgeschaltete Endpunkte und 12 Vertrauenseinträge, die einmal eingerichtet werden müssen. Mit einer Anlagen-CA reduziert sich der Vertrauensaufwand auf einen Aussteller pro Seite.

Die Einstellungen brauchen eine kurze Sitzung pro SPS mit dem Steuerungsingenieur. Notieren Sie sie, zusammen mit dem Ablaufdatum jedes Zertifikats, damit die nächste Erneuerung keine Überraschung ist.

Was sollte die IT sonst noch prüfen?

• Netzwerkzonen. Nur das Gateway sollte Zugriff auf die SPS-Server haben. Unser Leitfaden zu IEC 62443 zones and conduits zeigt wie.
• Nur ausgehend. Das Gateway sendet Daten nach außen; nichts verbindet sich von außen über das Internet hinein.
• Der Prozess des Anbieters. Ein Softwareanbieter wird nach IEC 62443 Teil 4-1, sichere Entwicklung, und Teil 4-2, Komponentenanforderungen, bewertet.
• Logs. Fehlgeschlagene Verbindungsversuche am Server sollten für jemanden sichtbar sein.

Der cloud MES buyer's guide for IT fügt Fragen zu Verfügbarkeit und Datenhoheit hinzu.

Welche OPC UA-Sicherheitsfehler sind am häufigsten?

• Das None-Endpunkt nach der Inbetriebnahme aktiviert lassen.
• Jedem Zertifikat automatisch vertrauen, was den Sinn von Zertifikaten außer Kraft setzt.
• Anonyme Benutzer erlauben, weil ein Tool so leichter einzurichten war.
• Ein gemeinsames Passwort für jedes Gateway in jeder Anlage.
• Ablaufdaten vergessen, sodass die Daten eines Morgens ohne Vorwarnung ausfallen.

Wo passt Fabrico hinein?

Fabrico ist eine Manufacturing Performance Platform mit Computer Vision. OEE und leichte MES-Funktionen stehen im Vordergrund, ermittelt aus den Signalen, die jede Maschine liefert.

• Automatische Stillstandsprotokollierung aus SPS-Tags, IoT-Geräten oder Kameras.
• Der Bediener bestätigt den Grund mit einem Tipp, sodass Stillstände eine Ursache haben.
• OEE live nach Linie und Schicht, wobei jeder Verlust in Geld bewertet wird.
• Pilotversuch an einer Linie, der der IT zuerst einen kleinen Umfang zur Prüfung gibt.

Fabrico erhebt keinen Zertifizierungsanspruch; Sicherheitseinstellungen werden pro Anlage mit dem technischen Team vereinbart. Es gibt keinen kostenlosen Plan und keine Stufen: Jede Anlage erhält ein Angebot. Sehen Sie das Produkt auf der computer vision OEE page und die Datenseite in OPC UA for OEE.

Häufig gestellte Fragen

Was sind die OPC UA-Sicherheitsmodi?

Es gibt drei: None, Sign und SignAndEncrypt. None schützt nichts. Sign erkennt jede Änderung an einer Nachricht, verbirgt sie aber nicht. SignAndEncrypt erkennt Änderungen und verschleiert den Inhalt. Für eine OEE-Verbindung verwenden Sie SignAndEncrypt und schalten None aus.

Was ist eine OPC UA-Sicherheitsrichtlinie?

Das ist die Menge von Algorithmen, die ein Endpunkt zum Signieren und Verschlüsseln verwendet. Aktuelle Richtlinien sind Basic256Sha256, Aes128_Sha256_RsaOaep und Aes256_Sha256_RsaPss. Die älteren Basic128Rsa15 und Basic256 sind veraltet und sollten ausgeschaltet werden.

Sollte anonymer Zugriff für OEE erlaubt werden?

Nein. Geben Sie dem OEE-Gateway seinen eigenen Benutzer mit einem starken Passwort oder einem Benutzerzertifikat und Nur-Lese-Rechten für die benötigten Knoten. Dann weiß die Anlage genau, welches System die SPS liest, und kann diesen Zugriff entfernen, ohne etwas anderes zu verändern.

Wie werden OPC UA-Zertifikate vertraut?

Jede Seite führt eine Liste vertrauenswürdiger Zertifikate. Ein Administrator überprüft das Zertifikat der Gegenseite einmal und verschiebt es in diese Liste. Eine Anlagen-CA macht das einfacher, weil jede Anwendung dann einem Aussteller vertraut statt jedem einzelnen Zertifikat.

Verlangsamt Verschlüsselung OEE-Daten?

Nicht in einer Weise, die OEE bemerkt. OEE liest wenige Werte pro Maschine mit moderaten Raten, was auch mit Verschlüsselung leichte Arbeit ist. Wenn die SPS alt oder stark ausgelastet ist, lassen Sie Ihren Steuerungsingenieur die Last prüfen und lesen Sie nur die Werte, die Sie benötigen.

Überprüfen Sie Ihre OPC UA-Einrichtung mit uns

Bringen Sie die OPC UA-Servereinstellungen für eine Maschine mit. Wir zeigen, was eine sichere OEE-Verbindung benötigt und was deren Stillstände kosten.

Request a demo · Contact us