Cyberbezpieczeństwo OPC UA – gdy bezpieczny protokół staje się bramą dla intruzów
Co to jest OPC UA? OPC UA (Unified Architecture) to protokół komunikacyjny stosowany w automatyce przemysłowej, który teoretycznie zapewnia wyższy poziom bezpieczeństwa niż starszy OPC DA dzięki mechanizmom szyfrowania, certyfikatów i zarządzania użytkownikami.
Łukasz Krzesiński, założyciel RysujeSCADA.pl, opowiada historię rzeczywistego incydentu, który ujawnił poważne luki w zabezpieczeniach systemu przemysłowego – mimo stosowania "bezpiecznego" protokołu OPC UA.
Historia pana Marka – gdy ciekawość ujawnia zagrożenie
1. Szkolenie i pierwsze podejrzenia
- Pracownik automatyk (pan Marek) uczestniczył w szkoleniu o OPC UA
- Postanowił sprawdzić konfigurację w swojej firmie
- Pobrał darmowe narzędzie do skanowania serwerów OPC (OPC Expert)
2. Niepokojące odkrycie
- Podłączył komputer do sieci przemysłowej
- Zeskanował sieć i wykrył aktywne serwery OPC DA oraz OPC UA
- Próba połączenia z OPC DA: zablokowana (wymagana autoryzacja)
- Próba połączenia z OPC UA: sukces – bez żadnych zabezpieczeń
3. Skala problemu
- Tryb anonimowy – bez walidacji użytkownika
- Brak certyfikatów – połączenie niezaszyfrowane
- Pełne uprawnienia – odczyt i zapis do sterowników PLC
- Kilkanaście sterowników narażonych na atak
Dlaczego "bezpieczny" OPC UA okazał się niebezpieczny?
Źródło problemu
- Serwery OPC UA były aktywne domyślnie w sterownikach
- Konfiguracja z 5-10 lat temu, gdy nikt nie używał OPC UA
- Nikt nigdy nie zabezpieczył tych usług
- Założenie: "nie używamy = nie ma zagrożenia"
Paradoks bezpieczeństwa
- OPC DA (starszy): wymuszał autoryzację – bezpieczniejszy w tym przypadku
- OPC UA (nowszy): źle skonfigurowany = szeroko otwarte drzwi
- Nowocześniejszy protokół stał się większym zagrożeniem przez zaniedbanie
Obejrzyj cały odcinek na YouTube: Rysuje SCADA Podcast #7: Cyberbezpieczeństwo OPC →
FAQ
Co to jest OPC UA i czym różni się od OPC DA?
OPC UA to nowszy protokół komunikacyjny w automatyce, który w przeciwieństwie do starszego OPC DA oferuje zaawansowane mechanizmy bezpieczeństwa (certyfikaty, szyfrowanie, zarządzanie użytkownikami). Problem polega na tym, że wymaga właściwej konfiguracji – w przeciwnym razie jest mniej bezpieczny niż OPC DA.
Jak sprawdzić czy moja sieć OT jest zabezpieczona?
Użyj narzędzi do skanowania portów i serwerów OPC (np. OPC Expert w wersji darmowej). Sprawdź czy aktywne serwery OPC UA wymagają autoryzacji, certyfikatów i czy mają ograniczone uprawnienia do zapisu. Jeśli połączenie udaje się bez żadnych danych logowania – masz problem.
Czy nieużywane protokoły w sterownikach są zagrożeniem?
Tak. Pozostawienie aktywnych, ale nieużywanych protokołów (jak OPC UA w tej historii) to poważne zagrożenie cyberbezpieczeństwa. Jeśli protokół nie jest wykorzystywany, powinien być wyłączony lub odpowiednio zabezpieczony – nie można zakładać, że "nieużywany = bezpieczny".