TOP Server OPC Server教程：探索OPC UA之分层安全模型的关键概念

---

TOP Server OPC Server采用业界领先的Kepware技术，是Software Toolbox's OPC和原生HMI设备的连接软件，也是一款多线程应用程序，能够利用最新的双核处理器和多处理器技术最大化您的性能。其灵活而强大的功能可最大程度降低项目的生命周期成本；模块化架构和通用用户界面可以降低您的培训成本，因为在不同的驱动程序中使用了100种常用方法，帮助您学习TOP Server，并快速应用与其他驱动程序相同的知识。

点击下载TOP Server OPC Server最新试用版

 到目前为止，在我们正在进行的“ 探索OPC UA”系列文章中，我们对OPC UA证书以及OPC UA客户端和OPC UA服务器如何使用它们来保护工业数据安全进行了基本的了解。

在本系列的第三篇文章中，我们将退后一步，从总体上看OPC UA安全性，该方法涉及覆盖身份验证，机密性和通信完整性等方面的分层方法。

OPC UA的核心支柱是对安全性的关注，这不仅出于数据完整性原因，而且还出于服务可用性。OPC UA规范总结了安全重点应放在三个领域：

1. 客户端和服务器应用程序之间的身份验证
2. 确定用户是否有权连接和/或执行请求的操作的能力
3. 通信的机密性和完整性。

这意味着严格分层的安全性方法对于OPC UA实施至关重要，其中每个层负责验证允许连接/操作，并且任何未批准的操作都可以迅速被拒绝。

OPC UA安全模型涉及哪些层？

OPC UA规范文档将OPC UA安全模型可视化为三层：

1、OPC UA传输层 –这是最低层，也是第一道防线。在这里，我们担心计算机的IP地址以及应用程序正在侦听的端口（在大多数情况下，仅依赖未知的IP地址或端口并不是真正的安全性，只是等待发生的安全事件）。

该层还可以包括OPC UA范围之外的任何防御措施（例如防火墙，访问控制列表等），这些防御措施可能会在建立连接之前拒绝该连接。

2、OPC UA通讯层 –这是本博客系列关注的大部分活动的发生地。当OPC UA客户端连接到OPC UA服务器时，将建立发生证书交换的安全通道。然后，该证书不仅用于对建立连接的应用程序和主机进行身份验证，而且还对发送的消息进行加密和签名（本文章系列的第1部分和第2部分对此进行了详细介绍）。

如果客户端和/或服务器使用的证书不受信任，则OPC UA应用程序可以在建立安全通道时拒绝连接尝试。这很重要，因为不安全的连接尝试应在协议栈中尽可能低的被拒绝-避免拒绝服务或资源耗尽类型的攻击；恶意应用只是打开连接以消耗服务器端资源并将服务器驱动到无法为合法连接尝试提供服务的地步。

3、OPC UA应用层 –在此进行用户身份验证和OPC UA调用/命令身份验证。当我们到达该层时，我们已经知道进行呼叫的主机和应用程序是受信任的，OPC UA客户端与OPC UA服务器之间的对话是安全的，因此，唯一需要验证的是与应用程序交互的用户有权访问所讨论的资源。

这通常的工作方式是在激活会话时提供用户凭据，如果授权用户激活会话（并连接到UA服务器），则UA服务器将返回一个安全“令牌”此用户将来进行的呼叫必须包括在内。通过在将来的呼叫中包含此“令牌”，服务器可以拒绝对特定资源的访问（即，并非每个用户都可以访问证书标签/节点，某些用户可能具有只读访问权，等等）。

设计自己的OPC UA安全模型时的注意事项

考虑到这三个安全层，在设计实现OPC UA客户端和服务器的系统时应牢记一些注意事项和建议。

• 不要通过模糊来依靠安全性。如果在系统上实施的唯一安全措施是希望攻击者无法弄清服务器IP和端口，则您将进行NMAP简短扫描，远离可能受到威胁的系统。不要做！特别是在公开的OPC UA服务器上。
• 注意您信任的证书。考虑到安全通道的重要性以及正确使用OPC UA应用程序证书的关键性质，简单地接受并信任每个证书有效地抵消了拥有该层的目的（即，如果防火墙仅允许每个连接，则防火墙无效） ）。信任证书之前，请小心谨慎并仔细阅读；寻找的东西是：

1. 是我信任并希望允许与我连接的主机吗？
2. 我信任并希望允许该应用程序连接到我吗？
3. 该证书的有效期为多长时间，并且遵守我的IT最佳实践以确保定期更新和更新证书？

• 如果未将OPC UA服务器端点配置为使用安全性，那么所有关于证书的讨论都变得毫无意义。尽管我不建议建议对每个OPC UA连接进行加密和保护，但是在设计系统时必须考虑这一点。

1. 系统是要公开公开还是只能在Intranet上访问？
2. 被授权在网络上但不能监视OPC UA通信的各方是否可以访问网络？
3. 该系统上将连接多少个客户端？
4. 我们是否还使用其他任何安全性（例如用户授权或防火墙）？

• 我的服务器允许我配置用户吗？

1. 如果是的话，我的OPC UA服务器支持什么级别的粒度以允许我配置用户访问权限（即，我可以限制读/写访问，对特定标签的访问等）？

• 我们是否只让用户访问用户需要访问的那些资源？还是每个用户都是具有完全管理权限的root用户？

规划安全OPC UA架构设计时要评估的注意事项列表比上面列出的要长得多，但是这些注意事项应该提供一个易于消化的起点，以推动有关组织需求的内部讨论。

---

要购买该产品正版授权，或了解更多产品信息请点击