Establecimiento Del Canal Seguro; Establecimiento De La Sesión - Siemens SIMATIC ET 200AL Manual De Sistema

Establecimiento del canal seguro

El canal seguro se establece del modo siguiente:
1. El servidor comienza a establecer el canal seguro cuando recibe una orden del cliente.
Esta petición está firmada o firmada y cifrada, o bien el mensaje se ha enviado en texto
explícito (modo de seguridad del punto final servidor seleccionado). Con "Firmar" y
"Firmar y cifrar", el cliente envía un "secreto" (un número aleatorio) junto con la petición
(request).
2. El servidor valida el certificado del cliente (incluido sin cifrar en la petición) y comprueba
la identidad del cliente. Si el servidor confía en el certificado del cliente,
– descifra el mensaje y comprueba la firma ("Firmar y cifrar")
– o comprueba tan solo la firma ("Firmar")
– o deja el mensaje sin modificar ("Ninguna seguridad").
3. Después el servidor envía una respuesta al cliente (protegida de igual forma que la
petición). En la respuesta se incluye el secreto del servidor. A partir del secreto de cliente
y servidor, ambos calculan una clave simétrica. De este modo se ha establecido el canal
seguro.
La clave simétrica se utiliza solo para firmar y cifrar mensajes (en lugar de las claves
privadas y públicas de cliente y servidor).
Establecimiento de la sesión
La sesión se establece del modo siguiente:
1. El cliente inicia el establecimiento de la sesión enviando una CreateSessionRequest al
servidor. Dicho mensaje incluye un Nonce, un número aleatorio utilizado una sola vez. El
servidor debe firmar este número aleatorio (Nonce) para demostrar que es el titular de la
clave privada. La clave privada corresponde al certificado utilizado por el servidor al
establecer el canal seguro. Este mensaje (al igual que todos los siguientes) está
protegido conforme a los ajustes de seguridad del punto final seleccionado del servidor
(Security Policies seleccionadas).
2. El servidor responde con la CreateSession Response. Este mensaje contiene la clave
pública del servidor y el Nonce firmado. El cliente comprueba el Nonce firmado.
3. Si el servidor ha superado la prueba, el cliente envía al servidor una
SessionActivateRequest. Este mensaje contiene los datos que son necesarios para la
autenticación del usuario:
– nombre de usuario y contraseña,
– el certificado X.509 del usuario (no soportado en STEP 7)
– o ningún dato (si se ha configurado un acceso anónimo).
4. Si el usuario dispone de los derechos necesarios, el servidor devuelve un mensaje al
cliente (ActivateSessionResponse). De este modo se activa la sesión.
La conexión segura entre el cliente y el servidor OPC UA está establecida.
Comunicación
Manual de funciones, 11/2019, A5E03735817-AH
Comunicación OPC UA
9.2 Seguridad en OPC UA
163