Configuración y endurecimiento (hardening) de la autenticación y los certificados del servidor OPC UA de OpenPCS 7

El endurecimiento (hardening) del servidor OPC UA de OpenPCS 7 frente al acceso no autorizado a la red industrial requiere modificar el archivo de configuración OpcUaServerOpenPCS7.xml para deshabilitar el perfil no cifrado SecurityPolicy None y eliminar las políticas de tokens anónimos. Una vez deshabilitado el acceso sin autenticación, las conexiones de los clientes (como Siemens OPC Scout o clientes MES de terceros) deben autorizarse mediante el intercambio de certificados criptográficos X.509 en el directorio PKI y la autenticación de usuarios validada contra el grupo de seguridad de Windows local SIMATIC HMI.

Índice de contenidos

Arquitectura de la interfaz OPC UA de OpenPCS 7

En la automatización de procesos, OpenPCS 7 funciona como la pasarela de datos estandarizada que conecta la red de control OT en tiempo real con los sistemas de TI, MES y archivadores empresariales (historian).

El servidor OpenPCS 7 aloja un demonio de servidor de arquitectura unificada OPC (OPC UA):
* Punto de conexión predeterminado (Endpoint): Accesible a través de la red en la URL estándar opc.tcp://[HostName]:4863.
* Servicios de datos: Expone variables de proceso en tiempo real, tendencias de archivos históricos (HDA) y eventos de alarma (A&E) derivados de la base de datos central de la OS de PCS 7 WinCC.
* Modelo de seguridad: Cumple con los estándares de seguridad IEC 62541-2, proporcionando canales de comunicación cifrados (Sign & Encrypt) basados en claves públicas RSA asimétricas y certificados digitales X.509.

Vulnerabilidades de seguridad predeterminadas: política None y acceso anónimo

Tras la instalación inicial, OpenPCS 7 prioriza la comodidad en la puesta en marcha por encima de la seguridad de la red:
1. SecurityPolicy "None" habilitada: El servidor acepta conexiones sin cifrar en las que las credenciales y los datos de proceso se transmiten en texto plano a través de la red.
2. Acceso anónimo habilitado: Cualquier host de red que ejecute un cliente OPC UA genérico puede conectarse y explorar las variables de planta sin proporcionar credenciales de usuario ni autorización de dominio.
3. Riesgo de ciberseguridad: Conforme a los estándares modernos de ciberseguridad industrial (como IEC 62443), ejecutar interfaces OPC UA anónimas y sin cifrar en redes de control industrial viola las líneas base de seguridad fundamentales.

Procedimiento paso a paso: endurecimiento de OpcUaServerOpenPCS7.xml

Para asegurar el servidor OpenPCS 7 frente al acceso no autorizado:

Localizar el archivo de configuración:
* Abra el Explorador de archivos y navegue hasta:
C:\Program Files (x86)\Siemens\OPENPCS7\OPC\UAServer\
* Cree una copia de respaldo de OpcUaServerOpenPCS7.xml con el nombre OpcUaServerOpenPCS7_backup.xml.
Deshabilitar SecurityPolicy None:
* Abra OpcUaServerOpenPCS7.xml en un editor de texto como Administrador.
* Localice la sección <SecurityPolicies>.
* Busque la entrada de perfil para SecurityPolicy#None:
<ProfileUri>http://opcfoundation.org/UA/SecurityPolicy#None</ProfileUri>
* Cambie el indicador de habilitación de true a false:
<Enabled>false</Enabled>
Eliminar el acceso de usuarios anónimos:
* Localice el bloque <UserTokenPolicies>.
* Elimine o comente la política de tokens anónimos (Anonymous):

Guardar la configuración y reiniciar el servicio:
* Guarde el archivo XML modificado.
* Abra los Servicios de Windows (services.msc).
* Localice OpcUaServerOpenPCS7, haga clic derecho y seleccione Reiniciar (Restart). (Si aparece una advertencia inicial de tiempo de espera del servicio de Windows, acepte el cuadro de diálogo y verifique que el proceso vuelva al estado Running).

Gestión de certificados de cliente en el almacén del directorio PKI

Una vez eliminado el acceso anónimo, las conexiones de los clientes deben validarse mediante certificados digitales:

Intento de conexión inicial:
* Conecte un cliente OPC UA (como Siemens OPC Scout) apuntando a opc.tcp://[HostName]:4863 utilizando Basic256Sha256 - SignAndEncrypt.
* La conexión del cliente será rechazada inicialmente porque el servidor aún no confía en el certificado del cliente.
Aceptación del certificado:
* En la estación OpenPCS 7, navegue hasta:
C:\Program Files (x86)\Siemens\OPENPCS7\OPC\UAServer\PKI\CA\rejected\
* Identifique el archivo de certificado .der del cliente.
* Corte el certificado y péguelo en el almacén de confianza:
C:\Program Files (x86)\Siemens\OPENPCS7\OPC\UAServer\PKI\CA\certs\
Autenticación de usuario:
* En el cliente OPC UA, especifique las credenciales de un dominio de Windows válido o una cuenta de usuario local.
* Asegúrese de que la cuenta de usuario sea miembro activo del grupo de seguridad de Windows SIMATIC HMI en la estación host de OpenPCS 7.

Verificación

Inicie Siemens OPC Scout en una estación de trabajo remota.
Agregue la URL del servidor UA de OpenPCS 7 (opc.tcp://[HostName]:4863).
Seleccione el punto de conexión de seguridad Basic256Sha256 - SignAndEncrypt e introduzca las credenciales de usuario autorizadas.
Verifique el establecimiento exitoso de la conexión, examine el árbol de variables de la jerarquía de planta y confirme las actualizaciones de datos de variables en tiempo real.
Intente conectarse de forma anónima: confirme que el servidor rechaza la conexión inmediatamente con BadIdentityTokenRejected.

Limitaciones y precauciones operativas

Caducidad de certificados: Monitoree las fechas de expiración de los certificados X.509; los certificados vencidos interrumpirán inmediatamente las comunicaciones externas MES/ERP sin previo aviso de alarma.
Reglas de cortafuegos (Firewall): Asegúrese de que el puerto TCP entrante 4863 esté abierto en el Firewall de Windows Defender en la estación OpenPCS 7.
Pertenencia a grupos: A las cuentas de usuario que no pertenezcan al grupo local SIMATIC HMI se les negará el acceso independientemente de la precisión de su contraseña.

Preguntas frecuentes del ingeniero (Engineer FAQ)

¿Cuál es el puerto TCP predeterminado para OpenPCS 7 OPC UA?
El puerto de comunicación OPC UA predeterminado es TCP 4863.
¿Qué archivo XML controla las políticas de seguridad de OpenPCS 7 OPC UA?
Los ajustes de seguridad se definen en C:\Program Files (x86)\Siemens\OPENPCS7\OPC\UAServer\OpcUaServerOpenPCS7.xml.
¿Dónde coloca OpenPCS 7 los certificados de cliente que no son de confianza?
Los certificados de cliente rechazados se colocan en ...\OPENPCS7\OPC\UAServer\PKI\CA\rejected.
¿A qué grupo de Windows deben pertenecer las cuentas de usuario de los clientes?
Las cuentas de usuario deben pertenecer al grupo de seguridad SIMATIC HMI local o de dominio.
¿Puede OpenPCS 7 operar con canales cifrados y no cifrados simultáneamente?
Sí, si los perfiles None y cifrados están habilitados en la configuración XML, aunque se recomienda deshabilitar None.
¿La modificación de OpcUaServerOpenPCS7.xml requiere reiniciar el sistema operativo?
No, reiniciar el servicio de Windows OpcUaServerOpenPCS7 aplica los cambios de inmediato.
¿Qué algoritmo de cifrado se recomienda para OpenPCS 7?
Basic256Sha256 con SignAndEncrypt es el perfil criptográfico estándar recomendado.
¿Soporta OpenPCS 7 OPC DA clásico simultáneamente con OPC UA?
Sí, OpenPCS 7 admite OPC DA/HDA heredado basado en DCOM junto con OPC UA.
¿Puede OpenPCS 7 ejecutarse en una estación cliente OS (OS Client)?
Sí, OpenPCS 7 se puede instalar en una estación individual OS (OS Single Station), servidor OS (OS Server) o un cliente OS dedicado.
¿Dónde deben validarse las licencias de software de OpenPCS 7?
Las licencias de servidor y estación de OpenPCS 7 deben confirmarse en Siemens Industry Mall.

Referencias técnicas

Manual de Siemens: SIMATIC Process Control System PCS 7 OpenPCS 7 (A5E43360488-AA).
Siemens Industry Online Support Entry ID 109801081: Hardening OpenPCS 7 OPC UA Servers.
Especificación de la Fundación OPC: OPC Unified Architecture Part 2: Security Model (IEC 62541-2).