3 提交 / 0 new
最新文章
物联网博士
OPC UA标准第二部分(Security Model)

1 Scope

这个规范描述了OPC统一架构(OPC UA)安全模型。它描述了OPC UA硬件和软件环境预计运行物理的安全威胁。它描述了OPC UA信任的其他安全标准。它提供了OPC UA在所有标准的共同安全条款相关术语。它概述了OPC UA规范中其他部分的安全特性。它引用服务、映射和配置文件中指定的普遍认同这一多部分规范的其他部分。它提供了实现安全或最佳实践指导方针建议。本规范的一部分信息,而不是规范。这部分之间的任何表面上的歧义和规范的部分不移除或减少需求规范中指定的部分。
请注意,有许多不同方面的安全,必须在开发应用程序时解决。然而由于OPC UA指定一个通信协议,重点是确保应用程序之间数据的交换。这并不意味着应用程序开发人员可以忽略其他方面对篡改等安全保护持久数据。重要的是,开发人员考虑安全的各个方面,并决定在应用程序中如何解决。
这一部分读者将开发OPC UA客户机或服务器应用程序或实现OPC UA服务层。它也为最终用户希望了解OPC UA提供安全的各种特性和功能。它还提供了一些建议,可以在部署系统时应用。这些建议是通用的,在OPC UA应用程序和网站开发过程中取决于细节的实际实现过程。
假设读者熟悉Web服务和XML / SOAP。这些技术的信息可以在SOAP第1部分和第2部分被找到。

物联网博士
3术语、定义和缩写

3术语、定义和缩写
3.1 术语和定义
对于本文档,在第1部分中给出的术语和定义,以及以下应用。
3.1.1应用程序实例
运行在一台计算机上的一个单独的安装程序。
注:可以有几个应用程序实例的相同的应用程序同时运行在多个计算机或可能在同一台计算机。
3.1.2 应用程序实例证明
安装在主机应用程序实例的一个数字证书
注:不同软件产品证书会有不同的应用程序实例。
3.1.3 Asymmetric Cryptography(不对称加密)
使用一对密钥的一个密码学方法,一个是私钥,一个是公共密钥。
NOTE: ‘Asymmetric Cryptography, also known as "public -key cryptography". In an Asymmetric Encryption algorithm when an entity “A” requires Confidentiality for data sent to entity “B”, then entity “A” encrypts the data with a Public Key provided by entity “B”. Only entity “B” has the matching Private Key that is needed to decrypt the data. In an asymmetric Digital Signature algorithm when an entity “A” requires message Integrity or to provide Authentication for data sent to entity “B”, entity A uses its Private Key to sign the data. To verify the signature, entity B uses the matching Public Key that entity A has provided. In an asymmetric key agreement algorithm, entity A and entity B each sen d their own Public Key to the other entity. Then each uses their own Private Key and the other's Public Key to compute the new key value.’ according to IS Glossary.
3.1.4 Asymmetric Encryption(非对称加密)
采用非对称加密技术用于一个实体的公开密钥和解密数据与相关的私钥加密数据的机制。
3.1.5 Asymmetric Signature(非对称签名)
采用非对称加密技术用于签名数据与实体的私有密钥和与相关公钥验证数据的签名机制。
3.1.6 可审核性
安全的客观保证,任何行动或活动在一个系统可以被记录下来。
3.1.7 审计
行为和活动的跟踪系统。包括安全相关活动的地方,记录可用于审查和验证系统的操作。
3.1.8 Authentication(身份验证)
保证一个安全目标等一个实体的身份 客户端 , 服务器 ,或者用户可以得到证实。
3.1.9 授权
授权访问系统资源的能力。
3.1.10 可用性
建立安全目标保证系统正常运行,意思是没有服务被损害,成为不可用或严重退化。
3.1.11 证书颁发机构
一个实体(实体)可以颁发数字证书,也称为CA。
3.1.12 CertificateStore(证书存储)
证书和证书撤销列表((CRLs))存储的位置
注:它也许一个磁盘驻留文件结构或Windows平台或许是一个Windows注册表位置。
3.1.13 保密
一种保证保护数据不被意外当事人阅读的安全目标。
3.1.14 密码学
将明确的,有意义的信息到一个加密的,难以理解的形式使用的算法和密钥。
3.1.15 网络安全管理系统(csms)
一个项目的组织设计,保持整个组织的资产安全的一个既定水平的保密性,完整性,可用性,无论他们是在业务方面或的工业自动化和控制系统方面。
3.1.16 数字证书
一个结构相关联的身份与一个实体,如一个用户,一个产品或应用实例那里有相关的非对称密钥对,可用于验证实体拥有私钥的证书。
3.1.17 数字签名
一个加密算法,并在这样的方式附加到数据的值,在这样的方式,任何收件人的数据可以使用签名验证的起源和完整性。
3.1.18 散列函数
算法如SHA-1,它是计算上是不可行的,找到一个数据对象映射到一个给定的哈希结果(“单向”属性)或两个数据对象地图相同的散列结果(“无碰撞”属性),看到的是词汇。
3.1.19 散列消息身份验证代码(HMAC)
一个已使用迭代哈希函数生成的MAC。
3.1.20 完整性
保证信息在未经授权的方式中未被修改或破坏的安全目标
3.1.21 密钥交换算法
协议用于在一个不安全的环境建立一个安全的两个实体之间的通信路径,两实体特定算法适用于安全地交换密钥和确保它们之间的通信。
注:一个密钥交换算法的一个典型的例子是SSL握手协议中指定的SSL / TLS。
3.1.22 消息身份验证代码(MAC)
a short piece of data that results from an algorithm that uses a secret key (see Symmetric Cryptography) to hash a Message whereby the receiver of the Message can check against alteration of the Message by computing a MAC that should be identical using the same Message and secret key.
3.1.23 消息的签名
一个用于确保两个实体之间发送消息完整性的数字签名。
注:有几种方法可以生成和验证消息属性。分为对称和非对称。
3.1.24 不可抵赖性
一个消息和消息签名者身份的完整性防止一方成功地否认原始提交或交付的消息。
3.1.25 Nonce 
一个随机数,通常被用来生成安全密钥的算法。
3.1.26 OPC UA应用程序
一个OPC UA 客户端 ——OPC UA服务,或者一个OPC UA 服务器 执行这些服务。
3.1.27 私钥
用于非对称加密的加密密钥的秘密组分。
3.1.28 公钥
用于非对称加密的加密密钥的一对公开的组分
3.1.29 公钥基础设施(PKI)
创建、管理、存储、分发和撤销基于非对称密码技术的数字证书的硬件、软件、人员、规则和程序。
NOTE: ‘The core PKI functions are to register users and issue their public-key Certificates, to revoke Certificates when required, and to archive data needed to validate Certificates at a much later time. Key pairs for data Confidentiality may be generated by a Certificate authority (CA); it is a good idea to require a Private Key owner to generate their own key pair as it improves security because the Private Key would never be transmitted according to IS Glossary. See PKI and X509 PKI for more details on Public Key Infrastructures.
3.1.30 Rivest-Shamir-Adleman(RSA)
一个算法
3.1.31 安全通道
在OPC UA,通信路径建立OPC UA客户端和服务器之间的相互认证,使用特定的OPC UA服务和安全参数进行协商和应用。
3.1.32 对称加密技术
涉及算法的一个分支,使用相同的密钥对算法的不同步骤(如加密和解密,或签名创建和签名验证)
3.1.33 对称加密
通过对称密钥用于加密和解密数据的两个实体共享密钥机制。
3.1.34 对称的签名
the mechanism used by Symmetric Cryptography for signing data with a cryptographic key shared by two entities.
注:签名然后再由生成的签名数据验证和比较这两个签名。 如果他们是相同的签名是有效的,否则键或数据是不同的两个实体。 条款3.1.19定义了一个算法,一个典型的例子生成对称的签名。
3.1.35 TrustList
已被配置为信任的证书列表。
3.1.36 传输层安全性(Transport Layer Security,TLS)
一种基于网络的安全通道创建标准协议。
3.1.37 X.509 Certificate
a Digital Certificate in one of the formats defined by X.509 v1, 2, or 3.
NOTE: An X.509 Certificate contains a sequence of data items and has a Digital Signature computed on that sequence.

物联网博士
3.2  缩略语

3.2  缩略语

AES       高级加密标准 
CA        证书颁发机构 
CRL       证书撤销列表 
CSMS      网络安全管理系统 
DNS       域名系统 
DSA       数字签名算法 

ECDH      ECDH是基于ECC(Elliptic Curve Cryptosystems,椭圆曲线密码体制,参看ECC)的DH( Diffie-Hellman)密钥交换算法。交换双方可以在不共享任何秘密的情况下协商出一个密钥。

ECDA      Elliptic Curve Diffie-Hellman
ECDSA     椭圆曲线数字签名算法
HMAC      基于散列的消息验证码
PKI       公钥构架
RSA       公钥签名或加密的算法,Rivest, Shamir, Adleman
SHA       安全散列算法(Multiple versions exist SHA1, SHA256,…)
SOAP      简单对象访问协议 
SSL       安全套接字层TLS传输层安全性UA统一的架构 
TLS       传输层安全
UA        统一架构
URI       统一资源标识符 
XML       可扩展的标记语言