設(shè)備和機(jī)器制造商必須確保數(shù)據(jù)完整性和保密數(shù)據(jù)。此外，他們必須保證數(shù)據(jù)的主權(quán)屬于數(shù)據(jù)所有者。目前，許多設(shè)備和機(jī)器制造商都在努力應(yīng)對(duì)這些安全挑戰(zhàn)。因此，他們放棄了安全使用數(shù)據(jù)以改進(jìn)或擴(kuò)展自己的產(chǎn)品和服務(wù)或以安全方式降低運(yùn)營(yíng)成本的能力。

為此并基于他們的專(zhuān)業(yè)知識(shí)，成立了 M2M 聯(lián)盟和 OPC 基金會(huì)安全用戶組。其目標(biāo)是記錄和告知基于設(shè)備和機(jī)器數(shù)據(jù)的安全通信解決方案和智能服務(wù)的佳實(shí)踐。本文件應(yīng)簡(jiǎn)要概述推薦的安全措施，這些措施用于“佳實(shí)踐”安裝。

請(qǐng)注意以下簡(jiǎn)短說(shuō)明：

• 概述 OPC UA 規(guī)范中可用的可能對(duì)策
• 關(guān)于典型安裝的報(bào)告，但不聲稱(chēng)是完整的
• 顯示本白皮書(shū)編寫(xiě)時(shí)的情況快照。出于顯而易見(jiàn)的原因，安全解決方案需要定期審查該領(lǐng)域的當(dāng)前發(fā)展。
•  

• 以下概念超出了 OPC UA 安全架構(gòu)的范圍：組織問(wèn)題，例如人員安全培訓(xùn)、安全生命周期和策略或如何處理物理訪問(wèn)。OPC UA 不會(huì)取代 ISO 27001 定義的信息安全管理系統(tǒng) (ISM)。應(yīng)使用 OPC UA 安全方面來(lái)實(shí)現(xiàn)深度防御/安全。

  范圍之外的其他問(wèn)題包括用戶和角色身份驗(yàn)證和授權(quán)管理。

  盡管如此，UA 可以通過(guò)使用基于聲明的授權(quán)與現(xiàn)有概念集成，例如 Kerberos、OAuth2 或 JSON Web Token。

  安全模型

  安全性是 OPC UA 的基本要求，因此它緊密集成到架構(gòu)中。UA 安全機(jī)制基于對(duì)安全威脅的詳細(xì)分析。UA 安全涉及用戶和 UA 應(yīng)用程序的身份驗(yàn)證、交換消息的完整性和機(jī)密性以及功能配置文件的驗(yàn)證。

  UA Security 補(bǔ)充了公司內(nèi)已有的安全基礎(chǔ)設(shè)施。一個(gè)可擴(kuò)展的 UA 安全概念包括三個(gè)層次：用戶安全、應(yīng)用安全和傳輸安全。UA 用戶級(jí)安全機(jī)制在建立新會(huì)話時(shí)授予特定用戶及其角色的訪問(wèn)權(quán)限。

  UA 應(yīng)用程序級(jí)安全性也是通信會(huì)話的一部分，包括數(shù)字簽名 X.509 證書(shū)的交換。在安全通道建立期間交換的應(yīng)用程序?qū)嵗C書(shū)用于對(duì)應(yīng)用程序進(jìn)行身份驗(yàn)證。可由 OPC 基金會(huì)認(rèn)證的受支持的 UA 安全配置文件定義了 UA 應(yīng)用程序支持的安全機(jī)制。

  傳輸級(jí)安全性可用于在通信會(huì)話期間對(duì)每條消息進(jìn)行簽名和加密。簽名可確保消息完整性，加密可防止竊聽(tīng)。

  UA安全機(jī)制是在UA棧中實(shí)現(xiàn)的，即包含在UA棧廠商分發(fā)的軟件包中，UA應(yīng)用程序只需要使用它即可。然而，UA 應(yīng)用程序開(kāi)發(fā)人員（即機(jī)器制造商等）有責(zé)任根據(jù)他必須遵守的要求配置 UA 服務(wù)器。

  
•  

• Global Discovery Server (GDS) 是一個(gè) OPC UA 服務(wù)器，它提供的服務(wù)允許服務(wù)器自己注冊(cè)，還允許客戶端搜索要連接的服務(wù)器。此外，它還為客戶端和服務(wù)器提供 X.509 安全證書(shū)管理服務(wù)。

  角色和基于聲明的安全性

  GDS 提供包含角色的主數(shù)據(jù)庫(kù)，例如安全管理員觀察者。角色管理與現(xiàn)有的用戶和角色管理系統(tǒng)集成。角色對(duì) OPC UA 信息模型中的節(jié)點(diǎn)具有訪問(wèn)權(quán)限。用戶提供憑據(jù)以進(jìn)行身份??驗(yàn)證并獲得授予的角色以及 UA 會(huì)話的相應(yīng)訪問(wèn)權(quán)限。身份信息和訪問(wèn)權(quán)限通過(guò)基于聲明的授權(quán)機(jī)制進(jìn)行處理，例如 Kerberos 或 OAuth2 提供的授權(quán)機(jī)制。

  自動(dòng)證書(shū)管理

  自動(dòng)證書(shū)管理意味著 OPC UA GDS 維護(hù) X.509 證書(shū)配置和可更新的 UA 應(yīng)用程序列表，這些應(yīng)用程序在管理域中可用。GDS 提供了一個(gè)證書(shū)管理器來(lái)請(qǐng)求和更新證書(shū)以及信任和撤銷(xiāo)列表。

  證書(shū)管理器支持基于拉取和推送的分發(fā)模型。應(yīng)用程序充當(dāng)客戶端并使用證書(shū)管理器的方法來(lái)提取證書(shū)和列表。或者應(yīng)用程序充當(dāng)服務(wù)器，并提供證書(shū)管理器可以用來(lái)推送新證書(shū)和列表的方法。使用證書(shū)管理器管理證書(shū)比手動(dòng)處理證書(shū)具有更好的擴(kuò)展性。