OPC UA ist ein wichtiger Standard zur sicheren, herstellerübergreifenden Vernetzung für industrielle Anlagen und wird als ein Baustein auf dem Weg zu Industrie 4.0 angesehen. Er ermöglicht eine Integration zwischen den unterschiedlichen Schichten der Automatisierungspyramide vom Sensor bis hin zum Enterprise Resource Planning (ERP)-System und stellt für eine sichere Fabrik notwendige kryptographische Mechanismen bereit.

Zur Beurteilung der spezifizierten und realisierten Sicherheitsfunktionen hat das BSI eine umfassende und unabhängige Sicherheitsanalyse unter Federführung von TÜV SÜD Rail im Zeitraum von Januar bis Dezember 2015 durchgeführt. Unterstützt wurde TÜV SÜD Rail dabei durch ascolab und SIGNON. Durch die umfassende Analyse der Sicherheitsfunktionen in der Spezifikation von OPC UA konnte bestätigt werden, dass OPC UA unter der Berücksichtigung von Sicherheitsaspekten als ein zentrales Element entwickelt wurde und keine systematischen Sicherheitslücken enthält. Zusätzlich wurde eine ausgewählte Referenzimplementierung der OPC Foundation hinsichtlich der Umsetzung dieser Sicherheitsfunktionalitäten geprüft. In der Spezifikation selbst wurden keine systematischen Fehler gefunden, in der Referenzimplementierung wurde u.A. eine Schwachstelle gefunden, die bei ausgeschalteten Sicherheitsfunktionen ausgenutzt werden kann.

Die OPC Foundation hat das BSI bei der Sicherheitsuntersuchung jederzeit unterstützt. Die der OPC Foundation übermittelten Verbesserungsvorschläge wurden ausführlich diskutiert. Eine Übersicht über die Rückmeldungen der OPC Foundation zu dieser Studie ist nachfolgend zu finden: https://opcfoundation.org/security/

Die Studie besteht aus der Spezifikationsanalyse und der Analyse der Referenzimplementierung. Zusätzlich gibt es eine Übersicht über alle in der der Spezifikation vorgesehenen Sicherheitsmechanismen als LibreOffice und Excel-Datei zum download.

Download:

• Sicherheitsanalyse (2015) Open Platform Communications Unified Architecture (OPC UA)

  • Open Platform Communications Unified Architecture Security Analysis
• Detaillierte Analyse der Schutzmechanismen der OPC UA Spezifikation auf Parameterebene
• Detaillierte Analyse der Schutzmechanismen der OPC UA Spezifikation auf Parameterebene