設備和機器制造商必須確保數據完整性和保密數據。此外，他們必須保證數據的主權屬于數據所有者。目前，許多設備和機器制造商都在努力應對這些安全挑戰(zhàn)。因此，他們放棄了安全使用數據以改進或擴展自己的產品和服務或以安全方式降低運營成本的能力。

為此并基于他們的專業(yè)知識，成立了 M2M 聯盟和 OPC 基金會安全用戶組。其目標是記錄和告知基于設備和機器數據的安全通信解決方案和智能服務的佳實踐。本文件應簡要概述推薦的安全措施，這些措施用于“佳實踐”安裝。

請注意以下簡短說明：

• 概述 OPC UA 規(guī)范中可用的可能對策
• 關于典型安裝的報告，但不聲稱是完整的
• 顯示本白皮書編寫時的情況快照。出于顯而易見的原因，安全解決方案需要定期審查該領域的當前發(fā)展。
•  

• 以下概念超出了 OPC UA 安全架構的范圍：組織問題，例如人員安全培訓、安全生命周期和策略或如何處理物理訪問。OPC UA 不會取代 ISO 27001 定義的信息安全管理系統(tǒng) (ISM)。應使用 OPC UA 安全方面來實現深度防御/安全。

  范圍之外的其他問題包括用戶和角色身份驗證和授權管理。

  盡管如此，UA 可以通過使用基于聲明的授權與現有概念集成，例如 Kerberos、OAuth2 或 JSON Web Token。

  安全模型

  安全性是 OPC UA 的基本要求，因此它緊密集成到架構中。UA 安全機制基于對安全威脅的詳細分析。UA 安全涉及用戶和 UA 應用程序的身份驗證、交換消息的完整性和機密性以及功能配置文件的驗證。

  UA Security 補充了公司內已有的安全基礎設施。一個可擴展的 UA 安全概念包括三個層次：用戶安全、應用安全和傳輸安全。UA 用戶級安全機制在建立新會話時授予特定用戶及其角色的訪問權限。

  UA 應用程序級安全性也是通信會話的一部分，包括數字簽名 X.509 證書的交換。在安全通道建立期間交換的應用程序實例證書用于對應用程序進行身份驗證。可由 OPC 基金會認證的受支持的 UA 安全配置文件定義了 UA 應用程序支持的安全機制。

  傳輸級安全性可用于在通信會話期間對每條消息進行簽名和加密。簽名可確保消息完整性，加密可防止竊聽。

  UA安全機制是在UA棧中實現的，即包含在UA棧廠商分發(fā)的軟件包中，UA應用程序只需要使用它即可。然而，UA 應用程序開發(fā)人員（即機器制造商等）有責任根據他必須遵守的要求配置 UA 服務器。

  
•  

• Global Discovery Server (GDS) 是一個 OPC UA 服務器，它提供的服務允許服務器自己注冊，還允許客戶端搜索要連接的服務器。此外，它還為客戶端和服務器提供 X.509 安全證書管理服務。

  角色和基于聲明的安全性

  GDS 提供包含角色的主數據庫，例如安全管理員觀察者。角色管理與現有的用戶和角色管理系統(tǒng)集成。角色對 OPC UA 信息模型中的節(jié)點具有訪問權限。用戶提供憑據以進行身份??驗證并獲得授予的角色以及 UA 會話的相應訪問權限。身份信息和訪問權限通過基于聲明的授權機制進行處理，例如 Kerberos 或 OAuth2 提供的授權機制。

  自動證書管理

  自動證書管理意味著 OPC UA GDS 維護 X.509 證書配置和可更新的 UA 應用程序列表，這些應用程序在管理域中可用。GDS 提供了一個證書管理器來請求和更新證書以及信任和撤銷列表。

  證書管理器支持基于拉取和推送的分發(fā)模型。應用程序充當客戶端并使用證書管理器的方法來提取證書和列表。或者應用程序充當服務器，并提供證書管理器可以用來推送新證書和列表的方法。使用證書管理器管理證書比手動處理證書具有更好的擴展性。