Modes et politiques de sécurité OPC UA : une configuration sûre pour l'OEE

Points clés

• Utilisez le mode SignAndEncrypt pour chaque connexion OEE et désactivez None.
• Choisissez une politique de sécurité à jour et désactivez celles plus anciennes que l'OPC Foundation a retirées.
• Faites confiance aux certificats des deux côtés : le serveur fait confiance à la passerelle, la passerelle fait confiance au serveur.
• Attribuez à la passerelle OEE son propre utilisateur avec des droits lecture seule. Pas d'accès anonyme.
• Suivez les dates d'expiration des certificats, car un certificat expiré coupe les données.

OPC UA peut être très sûr, mais uniquement si il est configuré ainsi. Beaucoup de serveurs sont livrés avec un endpoint ouvert pour la mise en service. Pour l'OEE conservez un seul endpoint : signé et chiffré, avec des certificats de confiance et un utilisateur en lecture seule pour la passerelle.

Fabrico, OEE et un logiciel MES léger avec caméras IA lisent les données machine via des automates (PLC), des appareils IoT ou des caméras. Les réglages de sécurité pour la connexion de chaque usine sont convenus avec l'équipe technique de Fabrico. Ce guide couvre l'aspect OPC UA indépendant du fournisseur.

Que protège la sécurité OPC UA ?

OPC UA, aussi connu sous la norme IEC 62541, intègre la sécurité dans le protocole. Elle couvre trois points :

• Authentification : le serveur et le client prouvent leur identité.
• Intégrité : personne ne peut modifier un message en route sans que cela soit détecté.
• Confidentialité : personne sur le réseau ne peut lire le message.

Le serveur propose un ou plusieurs endpoints, et chaque endpoint a un mode de sécurité et une politique de sécurité. Le client se connecte à l'endpoint qu'il est autorisé à utiliser. Notre OPC UA guide couvre la norme de base.

Quels sont les modes de sécurité OPC UA ?

La politique de sécurité définit les algorithmes utilisés par le mode. Les politiques actuelles incluent Basic256Sha256, Aes128_Sha256_RsaOaep et Aes256_Sha256_RsaPss. Les anciennes Basic128Rsa15 et Basic256 sont obsolètes et doivent être désactivées également.

Comment fonctionnent les certificats dans OPC UA ?

Chaque application OPC UA, le serveur du PLC et le client de la passerelle OEE, possède son propre certificat d'application. Une connexion sécurisée ne fonctionne que si chaque côté fait confiance au certificat de l'autre côté.

1. La passerelle présente son certificat au serveur.
2. L'administrateur du serveur le déplace dans la liste de confiance, une seule fois, après l'avoir vérifié.
3. La passerelle fait confiance au certificat du serveur de la même manière.
4. Les deux côtés notent la date d'expiration et renouvellent avant qu'elle n'arrive.

Les certificats peuvent être auto-signés ou signés par l'autorité de certification de l'usine. Avec de nombreuses machines, une autorité d'usine simplifie le travail, car chaque côté fait alors confiance à un émetteur au lieu de chaque certificat individuel.

Quel compte utilisateur la passerelle OEE doit-elle utiliser ?

OPC UA demande aussi qui est l'utilisateur. Les types courants de jetons utilisateurs sont anonyme, nom d'utilisateur avec mot de passe, et certificat X.509.

• Désactivez l'accès anonyme sur les endpoints utilisés par la passerelle.
• Créez un utilisateur pour la passerelle OEE, par exemple oee_reader, avec un mot de passe fort ou un certificat utilisateur.
• Donnez-lui des droits en lecture seule sur les nœuds dont l'OEE a besoin. Il n'aura jamais besoin d'écrire.
• Gardez-le séparé des comptes engineering et HMI, afin qu'il puisse être supprimé sans effets secondaires.

Exemple : sécuriser six serveurs PLC

Ligne d'exemple (chiffres illustratifs, pas un client). Une ligne a six PLC, chacun avec un serveur OPC UA. Chaque serveur était livré avec trois endpoints.

Ce sont 6 x 2 = 12 endpoints désactivés et 12 entrées de confiance à configurer une fois. Avec une autorité de certification d'usine, le travail de confiance tombe à un seul émetteur par côté.

Les réglages nécessitent une courte session par PLC avec l'ingénieur contrôle. Notez-les, ainsi que la date d'expiration de chaque certificat, afin que le prochain renouvellement ne soit pas une surprise.

Que devrait vérifier l'IT d'autre ?

• Zones réseau. Seule la passerelle devrait atteindre les serveurs PLC. Notre guide sur IEC 62443 zones and conduits montre comment.
• Sortant uniquement. La passerelle envoie des données vers l'extérieur ; rien ne se connecte depuis Internet vers l'intérieur.
• Le processus du fournisseur. Un éditeur logiciel est évalué selon IEC 62443 partie 4-1, développement sécurisé, et partie 4-2, exigences pour les composants.
• Logs. Les tentatives de connexion échouées sur le serveur devraient être visibles par quelqu'un.

Le cloud MES buyer's guide for IT ajoute des questions sur la disponibilité et la propriété des données.

Quelles erreurs de sécurité OPC UA sont les plus courantes ?

• Laisser l'endpoint None activé après la mise en service.
• Faire confiance automatiquement à chaque certificat, ce qui annule l'intérêt des certificats.
• Permettre des utilisateurs anonymes parce qu'un outil était plus facile à configurer ainsi.
• Un mot de passe partagé pour chaque passerelle dans chaque usine.
• Oublier les dates d'expiration, si bien que les données s'arrêtent un matin sans avertissement.

Où se situe Fabrico ?

Fabrico est une Manufacturing Performance Platform avec vision par ordinateur. OEE et un MES léger viennent en premier, lus à partir des signaux que chaque machine offre.

• Enregistrement automatique des temps d'arrêt à partir des balises PLC, des appareils IoT ou des caméras.
• L'opérateur confirme la raison en une touche, de sorte que les arrêts ont une cause.
• OEE en direct par ligne et par poste, chaque perte étant valorisée en euros.
• Un pilote sur une ligne, ce qui donne à l'IT un champ d'examen réduit au départ.

Fabrico ne fait aucune prétention de certification ; les paramètres de sécurité sont convenus par usine avec son équipe technique. Il n'existe pas de plan gratuit et il n'y a pas de paliers : chaque usine reçoit un devis. Voyez le produit sur la computer vision OEE page et la partie données dans OPC UA for OEE.

Questions fréquentes

Quels sont les modes de sécurité OPC UA ?

Il y en a trois : None, Sign et SignAndEncrypt. None ne protège rien. Sign détecte toute modification d'un message mais ne le masque pas. SignAndEncrypt détecte les modifications et masque le contenu. Pour une connexion OEE, utilisez SignAndEncrypt et désactivez None.

Qu'est-ce qu'une politique de sécurité OPC UA ?

C'est l'ensemble des algorithmes qu'un endpoint utilise pour signer et chiffrer. Les politiques actuelles incluent Basic256Sha256, Aes128_Sha256_RsaOaep et Aes256_Sha256_RsaPss. Les plus anciennes Basic128Rsa15 et Basic256 sont obsolètes et doivent être désactivées.

Faut-il autoriser l'accès anonyme pour l'OEE ?

Non. Donnez à la passerelle OEE son propre utilisateur, avec un mot de passe fort ou un certificat utilisateur, et des droits lecture seule sur les nœuds dont elle a besoin. Ainsi l'usine sait exactement quel système lit le PLC et peut supprimer cet accès sans toucher au reste.

Comment les certificats OPC UA sont-ils approuvés ?

Chaque côté tient une liste de certificats approuvés. Un administrateur vérifie une fois le certificat de l'autre côté et le déplace dans cette liste. Une autorité de certification d'usine simplifie cela, car chaque application fait alors confiance à un émetteur plutôt qu'à chaque certificat individuel.

Le chiffrement ralentit-il les données OEE ?

Pas d'une manière perceptible pour l'OEE. L'OEE lit quelques valeurs par machine à des taux modestes, ce qui reste peu exigeant même avec chiffrement. Si le PLC est ancien ou très occupé, demandez à votre ingénieur de contrôle de vérifier la charge et ne lisez que les valeurs dont vous avez besoin.

Révisez votre configuration OPC UA avec nous

Apportez les paramètres du serveur OPC UA pour une machine. Nous montrerons ce qu'une connexion OEE sécurisée nécessite et combien coûtent ses arrêts.

Request a demo · Contact us