OPCUA物联网安全解决方案

　　本文选自OPC UA 国际官方站，点击“阅读原文”可查看。

　　随着科技技术的不断演进，数字化成为自动化行业内一个非常重要且极具吸引力的市场，其目标是将IT技术与产品、系统、解决方案和服务进行融合，贯穿于从研发设计到生产到技术维护的整个产业链。同时，工业数字化的发展也带动了一些新兴的市场，如数字化产品和系统数字化、软件解决方案和新数字化服务的快速发展。

　　目前，物联正将一些传统行业与基于IP技术的行业进行整合，这是数字化发展的引擎，而标准化的核心是M2M通讯，多年来，诸多公司和行业协会如OPC基金会一直参与并推动这些标准化发展。

　　在当今复杂的经济社会环境下，信息对业务和盈利而言起着至关重要的作用。OPC技术发明的初衷就是为了让这些信息在不同的平台间实现畅通无阻的交换，让平台之间实现零成本零耗时的无缝对接。由此而节省的软件开发时间及释放的工程资源可以被用来做对业务更重要的工作。而随着时间的推移，OPC不仅仅起着对接作用，他更是保障您信息安全的不二选择。

　　今天，工控要为您讲的就是OPC UA提供的关于物联安全的解决方案。

　　将设备接入互联后会有哪些危险

　　物联(IoT)是一个全球自动化行业的愿景，即将数十亿台智能设备通过互联相互协作。然而，物联潜在的应用程序很多，风险也很大，因此暴露在互联上的设备也会面临被黑客攻击的风险。为了降低这些风险，许多工厂操作员转向支持MQTT或AMQP等协议的代理。这些协议允许设备被保持在防火墙后以保安全，但仍然能够与对等设备和基于云的应用程序通信。不幸的是，这些解决方案要求工厂运营商，通过第三方提供商管理的代理发送一些较为敏感的信息，这对于许多应用程序来说，是不可接受的。幸运的是，OPC UA有一个端到端的安全解决方案，可以确保通过代理发送数据的隐私性和完整性。

　　通过发布-订阅增强OPC UA

　　OPC UA PubSub是流行的OPC UA协议的扩展，该协议允许应用程序通过中间代理(如MQTT代理)向多个订阅者发布消息。OPC UAPubSub消息可以用XML、JSON或高效的OPC UA二进制格式进行格式化。当使用后一种方式时，发布者可以在将消息发送给代理之前对其进行加密和数字签名，以确保除了目标接收者之外没有其他人能够读取或修改消息。这将保护发布者的数据，即使代理在消息等待交付时存储在磁盘上。

　　通过共享密钥来实现这一切

　　发布者和订阅者需要共享密钥才能安全地进行通信。这是通过使用称为“安全密钥服务”（SKS）的特殊OPC UA服务器来实现的。需要密钥的应用程序使用OPC UA客户端-服务器协议安全地向SKS提供凭证。SKS决定它们是否有权访问请求的密钥，并返回一个或多个密钥。此过程需要多个键，因为它们经常变化，以此确保在必要时，应用程序可以在合理的时间内从系统中删除。

　　安全性已有所保证，那么元数据呢？

　　丰富的OPC UA信息模型，允许应用程序使用与应用程序域匹配的术语和构造来表示它们的系统，这个信息模型也是OPC UA PubSub的一个重要部分，因为它提供了描述将要发送给broker消息内容的总体框架。OPC UA PubSub规范并定义了通知订阅者消息结构已更改的机制，同时允许发布者将新的元数据发送到带内或带外。而其他解决方案则期望订阅者处理已知的消息内容，或者依赖特定的规则来解析JSON或XML。

　　未来的发展之路

　　任何希望利用物联的工厂运营商都将受益于OPC UA提供的安全工具箱，当数据流抛出由第三方管理的系统时，该工具箱有助于确保隐私的安全性和完整性。当与OPC UA信息建模框架结合，以及在许多现成的OPC产品中广泛采用时，工具箱将成为首屈一指的工具。

　　工控小盐编译

　　感谢OPC（中国）基金会支持