Siemens SIMATIC ET 200AL Manual De Sistema página 855

Comunicación OPC UA
9.2 Seguridad en OPC UA
Excurso: tipos de certificados
● Certificado autofirmado:
Cualquier dispositivo genera su propio certificado y lo firma. Ejemplos de aplicaciones:
configuración estática con número limitado de interlocutores de comunicación.
De un certificado autofirmado no pueden derivarse certificados nuevos. Sin embargo, es
necesario cargar en la CPU (debe estar en STOP) todos los certificados autofirmados de
los interlocutores.
● Certificado CA:
Todos los certificados son generados y firmados por una entidad emisora. Ejemplos de
aplicaciones: instalaciones que crecen dinámicamente
Solo es necesario cargar en la CPU el certificado de la entidad emisora. La entidad
emisora puede generar nuevos certificados (es posible agregar interlocutores sin que la
CPU esté en STOP).
Firma
La firma permite verificar la integridad y el origen de un mensaje, como se describe a
continuación.
En la firma, lo primero que hace el emisor es formar un valor hash a partir del texto explícito
(mensaje explícito). Después, el emisor cifra el valor hash con su clave privada y finalmente
transfiere al receptor el texto explícito junto con el valor hash cifrado. Para comprobar la
firma, el receptor necesita la clave pública del emisor (está incluida en el certificado X.509
del emisor). Con la clave pública del emisor, el receptor descifra el valor hash recibido.
Después, el receptor forma su propio valor hash a partir del texto explícito recibido (el
procedimiento hash está incluido en el certificado del emisor). A continuación, el receptor
compara ambos valores hash:
● Si los dos valores hash son idénticos, entonces el texto explícito ha llegado al
destinatario sin alteraciones y sin haber sido manipulado.
● Si los dos valores hash no se corresponden, entonces el texto explícito recibido por el
destinatario no es idéntico al enviado. El texto explícito ha sido manipulado o ha sido
falsificado durante la transferencia.
Cifrado
El cifrado de datos permite evitar que personas no autorizadas conozcan el contenido. Los
certificados X.509 no se cifran, son públicos y accesibles a cualquiera.
En el cifrado, el emisor cifra el mensaje explícito utilizando la clave pública del receptor.
Para ello, el emisor necesita el certificado X.509 del receptor, puesto que contiene la clave
pública del receptor. El receptor descifra el mensaje utilizando su clave privada. El receptor
es el único que puede descifrar el mensaje. Es el único que posee la clave privada. Por ello
no está permitido transmitir la clave privada.
156
Manual de funciones, 12/2017, A5E03735817-AF
Comunicación