西门子PLC模块授权总经销商 6ES7516-2GN00-0AB0 基本型 适用A0型基座单元

西门子PLC模块授权总经销商 6ES7516-2GN00-0AB0 基本型 适用A0型基座单元

在 STEP 7 中，可采用另一种方式：使用证书管理器，将项目的 CA 证书导出到 STEP 7 中的全局安全设置中。之后，再将 CA 证书导入浏览器中。 安全通信的过程 下图简要说明了通信的建立方式（“握手”），并着重介绍了通过HTTP over TLS 进行数据交换 时所用的密钥协商过程。 该过程可适用于基于 TLS的所有通信方式。即，也可适用于开放式用户安全通信（请参见“安 全通信的基本知识”）。 &$ &$ $OLFH֯⭘ĀKWWSVāॿ䇞䇯䰞㖁ㄉ $OLFHਁ䘱 ⭡ᴽ࣑ಘޜ䫕࣐ᇶⲴሩ〠ᇶ䫕 ⧠൘ˈ$OLFHо:HEᴽ࣑ಘਟ䘋 㹼ሩ〠࣐ᇶ઼䀓ᇶ:HEᴽ࣑ಘ䙊䗷⿱䫕䀓ᇶሩ 〠ᇶ䫕 :HEᴽ࣑ಘкᐢㆮ਽Ⲵޜ䫕 ઼⿱䫕 :HEᴽ࣑ಘ᧕ਇ䘎᧕ᒦਁ䘱ޜ䫕৺䇱Җ $OLFH䲿ᵪ䘹ᤙሩ〠ᇶ䫕 $OLFH 图 4-14  基于 HTTPS 的通信握手 在本示例图中并不涉及 Alice端（浏览器端）对 Web 服务器所发送证书的验证措施。Alice 是 否信任收到的 Web 服务器证书、信任该 Web服务器的身份并接受数据交换，具体取决于验证 结果。 验证 Web 服务器可靠性的操作步骤如下所示： 1. Alice必须获得所有相关颁发机构的公钥。即，必须拥有整个证书链，才能对该 Web 服务 器证书（即，Web 服务器的*终实体证书）进行验证。Alice 的证书存储器中通常包含所需的根证书。安装 Web 浏览器时，将自动安装所有可信 的 Root 证书。如果 Alice 没有Root 证书，则必须从证书颁发机构下载并安装到浏览器的证 书颁发机构中。证书颁发机构还可以是该 Web 服务器所处的设备。可通过以下几种方式获得中间证书： – 服务器以消息签名方式将所需的中间证书连同*低层实体证书一并发送给 Alice。这 样，Alice即可对证书链的完整性进行验证。 – 在这些证书中，通常包含证书签发者的 URL。Alice 可通过这些 URL 加载所需的中间证 书。在 STEP 7 中进行证书处理时，通常假设已将所需的中间证书和 Root 证书导入项目中，并 已分配给模块。 57 通信服务 4.6安全通信 通信 功能手册, 11/2022, A5E03735819-AK 2. Alice使用这些证书的公钥，对证书链中的签名进行验证。 3. 对称密钥需已经生成并传送到 Web 服务器中。 4. 如果采用域名寻址 Web服务器，则 Alice 还必须根据 RFC 2818 中定义的 Internet PKI 规范 验证该 Web 服务器的身份。由于该Web 服务器的 URL（此时，为“Fully Domain Name”(FQDN)）将保存到 Web服务器的*终实体证书中，因此 Alice 可对该 Web 服务器 的身份进行验证。如果字段“Subject AlternativeName”中的证书项与浏览器地址栏中的一 致，则通过验证。 之后，即可通过对称密钥进行数据交换，如上图所示。 4.6.3 安全通信要求4.6.3.1 保护机密的组态数据 基于证书的协议需要私钥才能正常发挥作用，并且私钥必须获得妥善保护，如有关安全通信的基本信息中所述。 在 STEP 7 V17 及以上版本中，可通过密码保护这些密钥和其它需保护的数据：保护机密 PLC 组态数据的密码。如果已采取相应措施保护 TIA Portal 项目和 CPU 组态防止未经授权的访问，则可以不使用密 码。 无论是否分配密码：TIAPortal 都会生成用于保护机密 PLC 组态数据的密钥信息。此密码对安 全通信过程没有影响。但是，用于保护机密 PLC组态数据的密码的复杂度决定了私钥受到保护 的程度。 提供密钥信息是进行安全通信（例如，基于 TLS 的 PG/HMI间安全通信）的先决条件：只有此 密钥信息可用时，CPU 才能处理安全通信所需的证书。 下图显示了描述的上下文。 ᇶ⸱ ޘᆹ᚟ؑޘᆹ᚟ؑ ᇶ⸱สҾᇶ䫕ؑ᚟ ᰐᇶ⸱ オᇶ⸱ 唈䇔ᇶ䫕ؑ᚟ ᆹޘ䙊ؑ 图 4-15  修改机密组态数据的上下文安全设置向导 将硬件目录中的 CPU 添加到 TIA Portal 中支持 PG/HMI 安全通信的项目时，该 CPU 的安全设置向导随即启动。 该向导将引导您逐步完成以下 CPU 设置： • 保护机密 PLC 组态数据的密码 • PG/PC 和 HMI 通信模式• 访问等级 在向导中，将这些设置逐一进行详细说明。*后，在总览中再次统一显示所有设置。 58 通信 功能手册, 11/2022,A5E03735819-AK 通信服务 4.6 安全通信 在 TIA Portal 的网络视图中更换模块，该向导也将启动。与替换下来的CPU 不同，新 CPU 支 持 PG/HMI 安全通信。 向导中的所有设置都将应用到巡视窗口（CPU 属性）中。 通过 CPU属性中“保护与安全”(Protection & Security) 区域内的“开始”(Start) 按钮，可随随时启 动该向导。 要求• TIA Portal 版本 V17 及以上版本 • CPU 支持 PG/HMI 间安全通信（S7-1500 CPU 固件版本V2.9 及以上版本） • CPU 尚未下载，或使用选项“删除用于保护机密 PLC 组态数据的密码”(Delete passwordfor protection of confidential PLC configuration data) 将 CPU复位为出厂设置 操作步骤 1. 在网络视图或设备视图中打开 CPU 属性。 2. 导航至区域“保护与安全 > 保护 PLC组态数据”(Protection & Security > Protection of the PLCconfiguration data)。 结果：首先启用“保护机密 PLC 组态数据”(Protect confidentialPLC configuration data) 选 项，然后用于输入密码的空白字段以红色突出显示。 3. 通过“设置”(Set)按钮组态密码（推荐）或禁用“保护机密 PLC 组态数据”(Protect confidential PLC configurationdata) 选项。 4. 完成组态并创建用户程序。 5. 下载到 CPU。 下载硬件配置时，系统将要求用户重新输入一次密码。 背景：在TIA Portal 中使用已组态的密码来生成密钥信息，以保护机密组态数据。出于安全原因，密码和密钥信息均未保存在项目中。为了将密钥信息传送到 CPU，在下载硬件配置时会重新生成密钥信息，因此，此时必须重新输入一次密码。 也可在 PG/HMI 与 CPU 之间建立基于证书的通信 由于 TIAPortal 版本 V17 及以上版本和 CPU 固件版本 V2.9 (S7-1500) 或 V4.5 (S7-1200) 中的PG/HMI 通信同样基于证书，因此在调试过程中，系统将提示用户接受服务器证书。 密码管理的提示和规则 • 在密码管理器中管理密码。• 要检查新输入的密码合规性，防止密码简单等问题，请使用 TIA Portal 的密码策略验证设 置。 –在项目树中，导航至区域“