Modos y políticas de seguridad OPC UA: Una configuración segura para OEE

Puntos clave

• Use el modo SignAndEncrypt para cada conexión OEE y desactive None.
• Elija una política de seguridad actual y apague las antiguas que la OPC Foundation ha dejado de usar.
• Confíe en los certificados en ambos lados: el servidor confía en la pasarela, la pasarela confía en el servidor.
• Asigne a la pasarela OEE su propio usuario con permisos solo de lectura. Nada de acceso anónimo.
• Controle las fechas de caducidad de los certificados, porque un certificado caducado detiene los datos.

OPC UA puede ser muy seguro, pero solo si se configura así. Muchos servidores se entregan con un endpoint abierto para la puesta en marcha. Para OEE mantenga un endpoint: firmado y cifrado, con certificados de confianza y un usuario de solo lectura para la pasarela.

Fabrico, OEE y un software MES ligero con cámaras IA, leen datos de máquinas a través de PLC, dispositivos IoT o cámaras. Las configuraciones de seguridad para la conexión de cada planta se acuerdan con el equipo técnico de Fabrico. Esta guía cubre el lado OPC UA neutral respecto al proveedor.

¿Qué protege la seguridad de OPC UA?

OPC UA, también conocido como IEC 62541, incorpora seguridad en el protocolo. Cubre tres cosas:

• Autenticación: el servidor y el cliente demuestran quiénes son.
• Integridad: nadie puede cambiar un mensaje en tránsito sin que se note.
• Confidencialidad: nadie en la red puede leer el mensaje.

El servidor ofrece uno o más endpoints, y cada endpoint tiene un modo de seguridad y una política de seguridad. El cliente se conecta al endpoint que tiene permitido usar. Nuestra OPC UA guide cubre el estándar base.

¿Cuáles son los modos de seguridad OPC UA?

La política de seguridad define los algoritmos detrás del modo. Las políticas actuales incluyen Basic256Sha256, Aes128_Sha256_RsaOaep y Aes256_Sha256_RsaPss. Las políticas antiguas Basic128Rsa15 y Basic256 están obsoletas, por lo que también deben desactivarse.

¿Cómo funcionan los certificados en OPC UA?

Cada aplicación OPC UA, el servidor del PLC y el cliente de la pasarela OEE, tiene su propio certificado de aplicación. Una conexión segura solo funciona cuando cada lado confía en el certificado del otro lado.

1. La pasarela presenta su certificado al servidor.
2. El administrador del servidor lo mueve a la lista de confianza, una sola vez, tras verificarlo.
3. La pasarela confía en el certificado del servidor de la misma manera.
4. Ambos lados anotan la fecha de caducidad y renuevan antes de que expire.

Los certificados pueden ser autofirmados o firmados por la autoridad de certificación de la planta. Con muchas máquinas, una autoridad de planta ahorra trabajo, porque cada lado confía entonces en un emisor en lugar de en cada certificado individual.

¿Qué cuenta de usuario debe usar la pasarela OEE?

OPC UA también pregunta quién es el usuario. Los tipos comunes de token de usuario son anónimo, nombre de usuario con contraseña y certificado X.509.

• Desactive el acceso anónimo en los endpoints que usa la pasarela.
• Crear un usuario para la pasarela OEE, por ejemplo oee_reader, con una contraseña fuerte o un certificado de usuario.
• Déle permisos solo de lectura sobre los nodos que OEE necesita. Nunca necesita escribir.
• Manténgalo separado de las cuentas de ingeniería y HMI, para poder quitarlo sin efectos secundarios.

Ejemplo: asegurar seis servidores PLC

Línea de ejemplo (números ilustrativos, no un cliente). Una línea tiene seis PLC, cada uno con un servidor OPC UA. Cada servidor se entregó con tres endpoints.

Eso supone 6 x 2 = 12 endpoints desactivados y 12 entradas de confianza que configurar una sola vez. Con una autoridad de certificación de planta, el trabajo de confianza se reduce a un emisor en cada lado.

Los ajustes requieren una breve sesión por PLC con el ingeniero de control. Escríbalos, junto con la fecha de caducidad de cada certificado, para que la siguiente renovación no sea una sorpresa.

¿Qué más debe comprobar TI?

• Zonas de red. Solo la pasarela debería alcanzar los servidores PLC. Nuestra guía sobre IEC 62443 zones and conduits muestra cómo.
• Sólo salidas. La pasarela envía datos hacia fuera; nada se conecta desde Internet hacia dentro.
• El proceso del proveedor. Un proveedor de software se juzga por IEC 62443 parte 4-1, desarrollo seguro, y parte 4-2, requisitos de componentes.
• Registros (logs). Los intentos de conexión fallidos en el servidor deberían ser visibles para alguien.

La cloud MES buyer's guide for IT añade preguntas sobre disponibilidad y propiedad de los datos.

¿Cuáles son los errores de seguridad OPC UA más comunes?

• Dejar el endpoint None activado tras la puesta en marcha.
• Confiar automáticamente en cualquier certificado, lo que anula el propósito de los certificados.
• Permitir usuarios anónimos porque una herramienta fue más fácil de configurar así.
• Una contraseña compartida para cada pasarela en cada planta.
• Olvidar las fechas de caducidad, de modo que los datos se detienen una mañana sin aviso.

¿Dónde encaja Fabrico?

Fabrico es una plataforma de rendimiento de fabricación con visión por computador. OEE y un MES ligero vienen primero, leídos a partir de las señales que ofrece cada máquina.

• Registro automático de paradas desde etiquetas PLC, dispositivos IoT o cámaras.
• El operario confirma la razón con un toque, para que las paradas tengan una causa.
• OEE en vivo por línea y turno, con cada pérdida valorada en dinero.
• Un piloto en una línea, que da a TI un alcance pequeño para revisar primero.

Fabrico no hace ninguna afirmación de certificación; las configuraciones de seguridad se acuerdan por planta con su equipo técnico. No hay plan gratuito ni niveles: cada planta recibe una cotización. Vea el producto en la computer vision OEE page y la parte de datos en OPC UA for OEE.

Preguntas frecuentes

¿Cuáles son los modos de seguridad OPC UA?

Hay tres: None, Sign y SignAndEncrypt. None no protege nada. Sign detecta cualquier cambio en un mensaje pero no lo oculta. SignAndEncrypt detecta cambios y oculta el contenido. Para una conexión OEE, use SignAndEncrypt y desactive None.

¿Qué es una política de seguridad OPC UA?

Es el conjunto de algoritmos que un endpoint usa para firmar y cifrar. Las políticas actuales incluyen Basic256Sha256, Aes128_Sha256_RsaOaep y Aes256_Sha256_RsaPss. Las más antiguas Basic128Rsa15 y Basic256 están obsoletas y deben desactivarse.

¿Debe permitirse el acceso anónimo para OEE?

No. Dé a la pasarela OEE su propio usuario, con una contraseña fuerte o un certificado de usuario, y permisos solo de lectura sobre los nodos que necesita. Entonces la planta sabe exactamente qué sistema lee el PLC y puede eliminar ese acceso sin tocar nada más.

¿Cómo se confían los certificados OPC UA?

Cada lado mantiene una lista de certificados de confianza. Un administrador comprueba el certificado de la otra parte una vez y lo mueve a esa lista. Una autoridad de certificación de planta simplifica esto, porque cada aplicación entonces confía en un emisor en lugar de en cada certificado individual.

¿El cifrado ralentiza los datos OEE?

No de una manera que OEE note. OEE lee pocos valores por máquina a tasas moderadas, lo que es trabajo ligero incluso con cifrado. Si el PLC es antiguo o está ocupado, pida a su ingeniero de control que compruebe la carga y lea solo los valores que necesite.

Revise su configuración OPC UA con nosotros

Traiga las configuraciones del servidor OPC UA para una máquina. Le mostraremos qué necesita una conexión OEE segura y cuánto cuestan sus paradas.

Request a demo · Contact us