OPC UA

Was ist OPC UA?

OPC UA, die OPC Unified Architecture, ist der Kommunikationsstandard, der Maschinen, Steuerungen, SCADA, MES und Cloud-Systeme in Industrieumgebungen verbindet. Die OPC Foundation spezifiziert ihn in der Reihe OPC 10000, genormt ist er als IEC 62541. Er ist serviceorientiert und plattformunabhängig: Server stellen einen Adressraum aus Knoten bereit, die die Maschine, ihre Variablen, Methoden und Ereignisse beschreiben, und Clients browsen, lesen, schreiben, abonnieren und rufen Methoden über definierte Services auf. Companion Specifications ergänzen Standard-Informationsmodelle für Werkzeugmaschinen, Roboter, Verpackung (PackML) und viele weitere Domänen, weshalb OPC UA das Rückgrat der meisten Industrie-4.0-Architekturen ist.

Transportiert wird über das Binärprotokoll opc.tcp auf Port 4840, über HTTPS oder, für Publish/Subscribe, über UDP-Multicast und MQTT (Teil 14, OPC UA PubSub).

Wo ist es definiert?

Teil 2 der Spezifikation definiert das Sicherheitsmodell. Jede Anwendung hat ein X.509-Anwendungszertifikat. Client und Server öffnen einen Secure Channel unter einer Security Policy, die die Algorithmen benennt (Basic256Sha256, Aes128_Sha256_RsaOaep und Aes256_Sha256_RsaPss sind aktuell; Basic128Rsa15 und Basic256 sind veraltet; None schaltet den Schutz ab), und einem Message Security Mode (None, Sign, SignAndEncrypt). Darüber authentifiziert eine Session den Benutzer anonym, mit Benutzername und Passwort, X.509-Zertifikat oder Issued Token. Teil 4 definiert die Services, Teil 6 die Mappings, Teil 7 die Profile, gegen die Produkte zertifiziert werden, Teil 12 Discovery und den Global Discovery Server für die Zertifikatsverwaltung und Teil 18 die rollenbasierte Sicherheit. Die Sicherheitsanalysen des BSI zu OPC UA (2016, aktualisiert 2022) haben Spezifikation und Referenzimplementierungen untersucht, das Design bestätigt und auf Implementierungs- und Konfigurationsrisiken hingewiesen.

Was es in der Praxis bedeutet

OPC UA gibt Integratoren jedes Werkzeug für eine sichere Installation, und die meisten Installationen nutzen wenige davon. Typische Findings:

• SecurityPolicy None in der Produktion. “Für die Inbetriebnahme” aktiviert und nie abgeschaltet, oft neben einer anonymen User Token Policy. Jeder im Netz kann den gesamten Adressraum browsen und beschreibbare Knoten schreiben.
• Allem vertrauen. Server, die jedes Client-Zertifikat automatisch akzeptieren, womit die Zertifikatsauthentifizierung zur Formalie wird. Die Trust List ist die eigentliche Zugriffsliste und wird selten gepflegt.
• Standard- und geteilte Zertifikate. Selbstsignierte Zertifikate mit dem Standard-Subject des Herstellers, identisch auf jedem Gerät einer Produktlinie, nie rotiert.
• Veraltete Policies. Basic128Rsa15 und Basic256 für alte Clients aktiv gelassen.
• Zugangsdaten im Klartext. Benutzername-Passwort-Tokens über einen unverschlüsselten Kanal, wenn die User Token Policy keine Verschlüsselung erzwingt.
• Keine Autorisierung pro Knoten. Jeder authentifizierte Benutzer darf jede beschreibbare Variable schreiben, Sollwerte eingeschlossen, weil keine Rollen konfiguriert sind.
• Implementierungsfehler. Chunk-Verarbeitung, Zertifikatsparsing und Session-Limits in Server-SDKs haben Abstürze und Umgehungen erzeugt; die SDK-Version im Produkt zählt.

Im Test enumerieren wir Endpunkte und ihre Policies, prüfen die Behandlung der Trust List mit eigenen Zertifikaten, kartieren den Adressraum und die Schreibrechte und fuzzen den Server-Stack an Laborgeräten. Zyberum testet OPC-UA-Server und die Produkte, die sie einbetten, für Komponentenhersteller gegen IEC 62443-4-2 und für Betreiber im Rahmen von OT-Penetrationstests.

Häufige Missverständnisse

OPC UA ist secure by design, nicht secure by default: Der Hersteller liefert jede Policy aus, der Integrator wählt. OPC UA PubSub über MQTT verlagert das Vertrauen auf den Broker; dessen Sicherheit muss dort konfiguriert werden. Und ein zertifizierter OPC-UA-Stack sagt, dass das Protokoll gemäß Profil korrekt implementiert ist, nicht, dass das Produkt drumherum sicher ist.