Siemens SIMATIC ET 200AL Manual página 1357

Comunicación OPC UA
10.2 Seguridad en OPC UA
Si, p. ej., en el "UA Sample Client" de la OPC Foundation se selecciona el punto final "None", el
programa emite una advertencia clara:
Al compilar el proyecto, STEP 7 comprueba además si se han tenido en cuenta las
posibilidades de ajuste para la protección y advierte sobre los posibles riesgos. Ello incluye
también una Security Policy OPC UA con el ajuste "Ninguna seguridad", lo que equivale al
punto final "None".
NOTA
Desactivar directivas de seguridad (Security Policies) no deseadas
Si en la configuración del canal de seguridad del servidor OPC UA del S7-1500 se han
activado todas las directivas de seguridad y, por tanto, también el punto final "None"
(Ninguna seguridad), también es posible un tráfico de datos no seguro entre el servidor y el
cliente (sin firmar ni cifrar). El servidor OPC UA de la CPU S7-1500 envía incluso con "None"
(Ninguna seguridad) su certificado público al cliente. Y algunos clientes verifican este
certificado. Sin embargo, el cliente no está obligado a enviar un certificado al servidor. Es
posible que la identidad del cliente permanezca desconocida. En tal caso todos los clientes
OPC UA pueden conectarse al servidor, con independencia de todos los ajustes de seguridad
que sigan.
En la configuración del servidor OPC UA tenga en cuenta que solo están activadas las
directivas de seguridad compatibles con el concepto de protección para la máquina o
instalación. Es necesario desactivar todas las demás directivas de seguridad.
Recomendación: Utilice el ajuste "Basic256Sha256 - firmar y cifrar", con el que el servidor solo
acepta certificados Sha256. Las directivas de seguridad "Basic128Rsa15" y "Basic256" están
desactivadas por defecto y no deben utilizarse como punto final. Seleccione los puntos finales
con una Security Policy superior.
Otras reglas de seguridad
• Utilice el punto final "None" solo en casos excepcionales.
• Utilice la "Autenticación de huésped" del usuario solo en casos excepcionales.
• Permita el acceso a variables PLC y componentes de DB a través de OPC UA solo si es
realmente necesario.
• En la configuración del cliente OPC US del S7-1500 utilice las listas de clientes de
confianza para permitir el acceso únicamente a determinados clientes.
10.2.2 Certificados según X.509 de la UIT
En OPC UA hay integrados mecanismos de seguridad en varias capas. Los certificados
digitales desempeñan un papel importante. Un cliente OPC UA solo puede establecer una
conexión segura con un servidor OPC UA si el servidor acepta el certificado digital del cliente y
lo clasifica como certificado de confianza.
Consulte el capítulo Manejo de certificados de cliente y de servidor (Página 233).
Además, el cliente también debe comprobar el certificado del servidor y confiar en él.
Servidor y cliente deben identificarse y demostrar que son realmente quienes afirman ser:
176
Manual de funciones, 11/2022, A5E03735817-AK
Comunicación