Tryby i polityki bezpieczeństwa OPC UA: Bezpieczna konfiguracja dla OEE

Najważniejsze wnioski

• Używaj trybu SignAndEncrypt dla każdego połączenia OEE i wyłącz None.
• Wybierz aktualną politykę bezpieczeństwa i wyłącz stare, które OPC Foundation wycofała.
• Zaufaj certyfikatom po obu stronach: serwer ufa bramie, brama ufa serwerowi.
• Przydziel bramie OEE własnego użytkownika z prawami tylko do odczytu. Brak anonimowego dostępu.
• Śledź daty wygaśnięcia certyfikatów, bo wygasły certyfikat zatrzymuje dane.

OPC UA może być bardzo bezpieczny, ale tylko jeśli jest poprawnie skonfigurowany. Wiele serwerów jest dostarczanych z otwartym endpointem do uruchomienia. Dla OEE zachowaj jeden endpoint: podpisany i zaszyfrowany, z zaufanymi certyfikatami i użytkownikiem tylko do odczytu dla bramy.

Fabrico, OEE i lekki MES z kamerami AI czytają dane maszyn przez PLC, urządzenia IoT lub kamery. Ustawienia bezpieczeństwa dla połączenia każdej fabryki są ustalane z zespołem technicznym Fabrico. Ten przewodnik obejmuje stronę OPC UA neutralną względem dostawcy.

Co chroni bezpieczeństwo OPC UA?

OPC UA, znany też jako IEC 62541, wbudowuje bezpieczeństwo w protokół. Obejmuje trzy rzeczy:

• Uwierzytelnianie: serwer i klient potwierdzają swoją tożsamość.
• Integralność: nikt nie może zmienić wiadomości w tranzycie bez wykrycia.
• Poufność: nikt w sieci nie może odczytać treści wiadomości.

Serwer udostępnia jeden lub więcej endpointów, a każdy endpoint ma tryb bezpieczeństwa i politykę bezpieczeństwa. Klient łączy się z endpointem, do którego ma uprawnienia. Nasz OPC UA guide omawia standard bazowy.

Jakie są tryby bezpieczeństwa OPC UA?

Polityka bezpieczeństwa określa algorytmy stojące za trybem. Aktualne polityki to Basic256Sha256, Aes128_Sha256_RsaOaep i Aes256_Sha256_RsaPss. Starsze Basic128Rsa15 i Basic256 są przestarzałe i powinny być wyłączone.

Jak działają certyfikaty w OPC UA?

Każda aplikacja OPC UA, serwer PLC i klient bramy OEE, ma własny certyfikat aplikacji. Bezpieczne połączenie działa tylko wtedy, gdy każda strona ufa certyfikatowi drugiej strony.

1. Bramka przedstawia swój certyfikat serwerowi.
2. Administrator serwera przenosi go do listy zaufanych, raz, po weryfikacji.
3. Bramka ufa certyfikatowi serwera w ten sam sposób.
4. Obie strony zapisują datę wygaśnięcia i odnawiają przed nią.

Certyfikaty mogą być samo-podpisane lub podpisane przez wewnętrzny urząd certyfikacji zakładu. Przy wielu maszynach CA zakładowa oszczędza pracę, bo każda strona ufa wtedy jednemu wystawcy zamiast każdemu certyfikatowi osobno.

Konto użytkownika, którego powinna używać brama OEE?

OPC UA pyta też, kim jest użytkownik. Powszechne typy tokenów użytkownika to anonimowy, nazwa użytkownika z hasłem oraz certyfikat X.509.

• Wyłącz dostęp anonimowy na endpointach używanych przez bramę.
• Utwórz jednego użytkownika dla bramy OEE, np. oee_reader, z silnym hasłem lub certyfikatem użytkownika.
• Nadaj mu prawa tylko do odczytu na węzłach, których OEE potrzebuje. Nie musi nigdy zapisywać.
• Trzymaj go oddzielnie od kont inżynieryjnych i HMI, aby można go było usunąć bez skutków ubocznych.

Przykład: zabezpieczenie sześciu serwerów PLC

Przykładowa linia (liczby poglądowe, nie klient). Linia ma sześć PLC, każdy z serwerem OPC UA. Każdy serwer był dostarczony z trzema endpointami.

To 6 x 2 = 12 wyłączonych endpointów i 12 wpisów zaufania, które trzeba ustawić raz. Z zakładowym urzędem certyfikacji praca związana ze zaufaniem spada do jednego wystawcy po każdej stronie.

Ustawienia wymagają krótkiej sesji na każdy PLC z inżynierem sterowania. Zapisz je razem z datą wygaśnięcia każdego certyfikatu, aby następne odnowienie nie było zaskoczeniem.

Co jeszcze powinno sprawdzić IT?

• Strefy sieciowe. Tylko brama powinna mieć dostęp do serwerów PLC. Nasz przewodnik po IEC 62443 zones and conduits pokazuje jak.
• Tylko wychodzące. Brama wysyła dane na zewnątrz; nic nie łączy się z internetu do środka.
• Proces dostawcy. Dostawca oprogramowania oceniany jest według IEC 62443 część 4-1, bezpieczny rozwój, i część 4-2, wymagania dla komponentów.
• Logi. Nieudane próby połączenia z serwerem powinny być widoczne dla kogoś.

cloud MES buyer's guide for IT dodaje pytania o dostępność i własność danych.

Jakie błędy bezpieczeństwa OPC UA są najczęstsze?

• Pozostawienie endpointu None włączonego po uruchomieniu.
• Automatyczne zaufanie każdemu certyfikatowi, co niweczy sens certyfikatów.
• Pozwalanie na anonimowych użytkowników, ponieważ jakiś narzędzie łatwiej było w ten sposób skonfigurować.
• Jedno wspólne hasło dla każdej bramy w każdej fabryce.
• Zapominanie dat wygaśnięcia, przez co dane przestają przychodzić pewnego ranka bez ostrzeżenia.

Gdzie plasuje się Fabrico?

Fabrico to platforma poprawy wydajności produkcji z obsługą computer vision. OEE i lekki MES są na pierwszym miejscu, pobierane z sygnałów, które dostarcza każda maszyna.

• Automatyczne rejestrowanie przestojów z tagów PLC, urządzeń IoT lub kamer.
• Operator potwierdza przyczynę jednym dotknięciem, dzięki czemu przestoje mają powód.
• OEE na żywo według linii i zmiany, z każdą stratą wycenioną w pieniądzu.
• Pilot na jednej linii, co daje IT mały zakres do przejrzenia na początku.

Fabrico nie twierdzi o jakiejkolwiek certyfikacji; ustawienia bezpieczeństwa ustalane są per zakład z zespołem technicznym. Nie ma planu darmowego i nie ma poziomów: każdy zakład otrzymuje wycenę. Zobacz produkt na computer vision OEE page oraz stronę danych w OPC UA for OEE.

Często zadawane pytania

Jakie są tryby bezpieczeństwa OPC UA?

Są trzy: None, Sign i SignAndEncrypt. None nic nie chroni. Sign wykrywa każdą zmianę w wiadomości, ale jej nie ukrywa. SignAndEncrypt wykrywa zmiany i ukrywa zawartość. Dla połączenia OEE użyj SignAndEncrypt i wyłącz None.

Czym jest polityka bezpieczeństwa OPC UA?

To zestaw algorytmów, które endpoint używa do podpisywania i szyfrowania. Aktualne polityki to Basic256Sha256, Aes128_Sha256_RsaOaep i Aes256_Sha256_RsaPss. Starsze Basic128Rsa15 i Basic256 są przestarzałe i powinny być wyłączone.

Czy dostęp anonimowy powinien być dozwolony dla OEE?

Nie. Przydziel bramie OEE własnego użytkownika z silnym hasłem lub certyfikatem użytkownika oraz prawami tylko do odczytu na węzłach, których potrzebuje. Wtedy fabryka dokładnie wie, który system czyta PLC i może usunąć ten dostęp bez ingerencji w nic innego.

Jak zaufane są certyfikaty OPC UA?

Każda strona prowadzi listę zaufanych certyfikatów. Administrator sprawdza certyfikat drugiej strony raz i przenosi go na tę listę. Zakładowa CA to upraszcza, bo każda aplikacja ufa wtedy jednemu wystawcy zamiast każdemu certyfikatowi z osobna.

Czy szyfrowanie spowalnia dane OEE?

Nie w sposób zauważalny dla OEE. OEE odczytuje kilka wartości na maszynę przy umiarkowanych częstotliwościach, co jest lekką pracą nawet przy szyfrowaniu. Jeśli PLC jest stary lub obciążony, poproś inżyniera sterowania o sprawdzenie obciążenia i czytaj tylko potrzebne wartości.

Sprawdź swoją konfigurację OPC UA z nami

Przynieś ustawienia serwera OPC UA dla jednej maszyny. Pokażemy, co jest potrzebne do bezpiecznego połączenia OEE i ile kosztują jego przestoje.

Request a demo · Contact us