Wie verschlüsseln Sie die Verbindung zwischen SIMATIC Logon und einem Comfort Panel oder einer WinCC Runtime Advanced?

Transkript

1 FAQ 10/2015 Wie verschlüsseln Sie die Verbindung zwischen SIMATIC Logon und einem Comfort Panel oder einer WinCC Runtime Advanced? SIMATIC Logon V1.5 SP3, WinCC V13 SP1 Update 4, HMI-Bediengeräte

2 Dieser Beitrag stammt aus dem Siemens Industry Online Support. Es gelten die dort genannten Nutzungsbedingungen ( Securityhinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Lösungen, Maschinen, Geräten und/oder Netzwerken unterstützen. Sie sind wichtige Komponenten in einem ganzheitlichen Industrial Security-Konzept. Die Produkte und Lösungen von Siemens werden unter diesem Gesichtspunkt ständig weiterentwickelt. Siemens empfiehlt, sich unbedingt regelmäßig über Produkt-Updates zu informieren. Für den sicheren Betrieb von Produkten und Lösungen von Siemens ist es erforderlich, geeignete Schutzmaßnahmen (z. B. Zellenschutzkonzept) zu ergreifen und jede Komponente in ein ganzheitliches Industrial Security-Konzept zu integrieren, das dem aktuellen Stand der Technik entspricht. Dabei sind auch eingesetzte Produkte von anderen Herstellern zu berücksichtigen. Weitergehende Informationen über Industrial Security finden Sie unter Um stets über Produkt-Updates informiert zu sein, melden Sie sich für unseren produktspezifischen Newsletter an. Weitere Informationen hierzu finden Sie unter Inhaltsverzeichnis 1 Einleitung Voraussetzung Installation und Konfiguration von SIMATIC Logon Softwareinstallation Konfigurieren von SIMATIC Logon Voraussetzung Konfiguration der Verschlüsselung Authentifizierung und Umgang mit Zertifikaten Einstellungen der HMI Runtime Generierung von Zertifikaten und Schlüsseln Zertifikate und private Schlüssel Zertifikate erstellen Fehlersuche Beitrags-ID: , V1.0, 10/2015 2

3 1 Einleitung 1 Einleitung SIMATIC Logon SIMATIC Logon ermöglicht anlagenweit eine zentrale Benutzerverwaltung. Die Benutzerdaten werden auf einem zentralen Anmeldeserver über die Benutzerverwaltung des Windows-Betriebssystems angelegt und verwaltet. Mit dem SIMATIC Logon ab V1.5 SP3 haben Sie u.a. folgende Möglichkeiten: Eine gesicherte Verbindung mit Hilfe von Transport Layer Security (TLS v1.2) aufzubauen. Mit TLS V1.2 wird die gesamte Kommunikation zwischen dem Server SIMATIC Logon Rechner und dem Client verschlüsselt. Zertifikate und private Schlüssel hinzufügen bzw. zu löschen. Handbuch Weitere Informationen über SIMATIC Logon finden Sie unter folgender Beitrags- ID Produktmitteilung Weitere Informationen über SIMATIC Logon V1.5 SP3 finden Sie unter folgender Beitrags-ID Voraussetzung Software-Voraussetzungen Die folgenden Softwareversionen müssen installiert sein: WinCC TIA V13 SP1 Update 4 oder höher zur Projektierung der HMI-Bediengeräte. SIMATIC Logon V1.5 SP3 (mit TLS V1.2) oder höher. HMI-Voraussetzungen Die HMI-Bediengeräte müssen mit WinCC V13 SP1 oder höher projektiert werden. Sichere und verschlüsselte Kommunikationsverbindungen zwischen SIMATIC Logon und HMI Bediengeräten werden unterstützt mit: Comfort Panels. KTP Mobile Panels. RT Advanced V13 SP1 Update 4 oder höher. Mit WinCC bis einschließlich V13 projektierte HMI Bediengeräte können nur eine unverschlüsselte Verbindung zu einem SIMATIC Logon Server V1.5 SP3 (mit TLS V1.2) herstellen. Beitrags-ID: , V1.0, 10/2015 3

4 2 Installation und Konfiguration von SIMATIC Logon 2 Installation und Konfiguration von SIMATIC Logon 2.1 Softwareinstallation Das Service Pack 3 für SIMATIC Logon V1.5 sowie weitere Informationen zum Service Pack finden Sie unter der folgenden Beitrags-ID Beachten Sie die e zur Installation. 2.2 Konfigurieren von SIMATIC Logon Voraussetzung Windows Gruppen-Mitgliedschaften Sie sind Mitglied der Windows-Gruppen: Standardbenutzer Logon_Administrator zum Betrieb in einer Windows Domänenumgebung Die Benutzer zur Installation und Konfiguration von SIMATIC Logon müssen direkte Mitglieder einer Windows-Gruppe sein. Sie dürfen nicht Mitglieder einer Untergruppe einer Windows-Gruppe sein. Zertifikate Sie haben bereits gültige Zertifikate für SIMATIC Logon und Ihr HMI-Bediengerät. Das Kapitel Zertifikate und private Schlüssel zeigt Ihnen die Möglichkeiten Zertifikate zu erwerben oder zu erstellen Konfiguration der Verschlüsselung Tabelle Klicken Sie im Windows-Start-Menü Start>Alle Programme>Siemens Automation>SIMATIC>SIMATIC Logon> SIMATIC Logon konfigurieren. 2. Tragen Sie in die Eingabefelder des Logon-Dialog-Fensters Ihre Anmeldedaten ein. 3. Wählen Sie das Register Zertifikat. Informationen zu Zertifikaten finden Sie im Kapitel Zertifikate und private Schlüssel. Beitrags-ID: , V1.0, 10/2015 4

5 2 Installation und Konfiguration von SIMATIC Logon 4. Wählen Sie im Feld Zertifikat die Zertifikat-Datei mit der Endung CERT.pem und im Feld Privater Schlüssel den Schlüssel mit der Endung KEY.pem aus. Zertifikat und privater Schlüssel können in einer bzw. in zwei PEM-Dateien enthalten sein. Beitrags-ID: , V1.0, 10/2015 5

6 2 Installation und Konfiguration von SIMATIC Logon 5. Aktivieren Sie das Optionskästchen TLS-gesicherte Verbindung. Klicken Sie anschließend auf Übernehmen und starten Sie den Rechner neu. Wenn Sie zusätzlich mit älteren Bediengeräten und SIMATIC Logon arbeiten, müssen Sie auch das Optionsfeld ungesicherte Verbindung setzen Authentifizierung und Umgang mit Zertifikaten Wenn Sie eine sichere verschlüsselte Verbindung verwenden, wird beim ersten Verbindungsaufbau das SIMATIC Logon Zertifikat mit dem lokalen Zertifikat des HMI Bediengerätes verglichen. Erst nach einem erfolgreichen Vergleich kann eine sichere verschlüsselte Verbindung erfolgreich hergestellt werden. - Beim ersten Verbindungsaufbau wird das verglichene Zertifikat unter: C:\ProgramData\Siemens\CoRtHmiRTm\SimaticLogon\rejected abgelegt. Beachten Sie hierbei, dass der Ordner ProgramData ein vom Betriebssystem versteckter Ordner ist! - Wenn Sie dem Zertifikat des Servers vertrauen, dann kopieren Sie das Zertifikat in das lokale Zertifikatspeicher-Verzeichnis unter folgendem Pfad: Am PC unter: C:\Programme\Siemens\CoRtHmiRtm\SimaticLogon\Certs An HMI Panels unter \flash\simatic\simaticlogon\certs Beitrags-ID: , V1.0, 10/2015 6

7 3 Einstellungen der HMI Runtime 3 Einstellungen der HMI Runtime Die folgende Tabelle zeigt die vorzunehmenden Runtime-Einstellungen einer verschlüsselten Verbindung für eine WinCC V13 SP1 am Beispiel eines Projekts für ein Comfort Panel TP900. Das Projekt muss auf das Comfort Panel TP900 übertragen worden sein und eine Verbindung zum SIMATIC Logon Server ist vorhanden. Wie Sie SIMATIC Logon verwenden, finden Sie unter der Beitrags-ID Tabelle Doppelklicken Sie in der Projektnavigation auf das bereits angelegte Comfort Panel HMI_1 (TP900 Comfort). (1) 2. Doppelklicken Sie auf den Editor Runtime-Einstellungen. (2) 3. Klicken Sie im Projektierungsbereich auf Benutzerverwaltung. (3) 4. Im Bereich SIMATIC Logon Aktivieren Sie die Option SIMATIC Logon aktivieren. (4) Wählen Sie die Option Windows Computer unter Benutzerverwaltung verwenden von. (5) Tragen Sie unter Daten des Servers im Feld Servername die IP-Adresse des SIMATIC Logon Servers und im Feld Portnummer die Nummer ein. (6) Aktivieren Sie die Option Verschlüsselte Übertragung. (7) Beitrags-ID: , V1.0, 10/2015 7

8 4 Generierung von Zertifikaten und Schlüsseln 4 Generierung von Zertifikaten und Schlüsseln 4.1 Zertifikate und private Schlüssel Für die Zugriffsverwaltung mit SIMATIC Logon Remote Access können Sie mit einem gültigen Zertifikat eine gesicherte Verbindung verwenden. Ohne gültiges Zertifikat können Sie nur ungesicherte Verbindungen verwenden. Grundsätzlich gibt es zwei Möglichkeiten an Zertifikate zu gelangen: Sie können selbst-signierte Zertifikate verwenden. Sie können Zertifikate einer Zertifizierungsstelle verwenden. Dieser Beitrag zeigt Ihnen, wie sie selbst-signierte Zertifikate erstellen und mit SIMATIC Logon verwenden Zertifikate erstellen Eigene Zertifikate und private Schlüssen können Sie z. B. mit der Software OpenSSL 1 erstellen. Für diesen Beitrag wurde die Version Win64 OpenSSL 1.0.2d und ein 64bit Betriebssystem verwendet. OpenSSL installieren Folgen Sie den Installationsschritten. Im Fenster zusätzliche Aufgaben Wählen wählen Sie die Option DLLs nach Windows-System-Ordner Kopieren aus. 1 Beitrags-ID: , V1.0, 10/2015 8

9 4 Generierung von Zertifikaten und Schlüsseln Konfigurationsdatei erstellen openssl.cnf OpenSSL benötigt bei der Generierung der Zertifikate und privater Schlüsseln die Konfigurationsdatei openssl.cnf. In diese Datei werden die Einstellungen der Zertifizierung geschrieben. Gehen Sie bei einer Standardinstallation von OpenSSL wie folgt vor: Kopieren Sie die Datei openssl.cfg aus dem Ordner C:\OpenSSL- Win64\bin\... nach C:\OpenSSL-Win64\.... Bennen Sie die kopierte Datei openssl.cfg in openssl.cnf um. In 32 Bit-Betriebssystemen heißt der Ordner OpenSSL-Win32. Eigene Zertifikate und private Schlüsseln generieren Die nachfolgenden Schritte zeigen die Generierung der Zertifikate und Schlüsseln in einem 64 Bit-Betriebssystem, bei der Verwendung eines 32 Bit- Betriebssystems ist 64 mit 32 zu ersetzen. Tabelle Fenster Eingabeaufforderung aufrufen Klicken Sie im Windows-Start-Menü auf Start > Eingabeaufforderung und geben Sie den Befehl cmd ein. Schließen Sie die Aktion mit Enter ab. 6. OpenSSL Verzeichnis öffnen Geben Sie den folgenden Befehl ein: cd c:\openssl-win64\bin\. Beitrags-ID: , V1.0, 10/2015 9

10 4 Generierung von Zertifikaten und Schlüsseln Schließen Sie den Befehl mit Enter ab. 7. Konfigurationspfad festlegen Geben Sie den folgenden Befehl ein: set OPENSSL_CONF=c:\OpenSSL-Win64\bin\openssl.cfg. Schließen Sie den Befehl mit Enter ab. 8. OpenSSL aufrufen Geben Sie den folgenden Befehl ein: openssl.exe. Schließen Sie den Befehl mit Enter ab. Beitrags-ID: , V1.0, 10/

11 4 Generierung von Zertifikaten und Schlüsseln 9. Eigene Zertifikate und private Schlüssel generieren Geben Sie folgenden Befehl ein: req x509 newkey rsa:1024 nodes config..\openssl.cnf keyout keynamekey.pem out certnamecert.pem.(1) Achten Sie hier darauf, dass Sie anstatt keyname den gewünschten Schlüssel z.b. TP900 und die richtige Endung KEY.pem und anstatt certname das gewünschte Zertifikat z.b. TP900 und die richtige Endung CERT.pem eingeben. Schließen Sie den Befehl mit Enter ab. Die danach folgenden Fragen können Sie überspringen, indem Sie jedes Mal Enter betätigen. (2) OpenSSL beenden Geben Sie den Befehl exit ein. Schließen Sie den Befehl mit Enter ab. Danach können sie Das Fenster Eingabeaufforderung schließen. 11. Zertifikate & Schlüssel nach SIMATIC Logon kopieren. Bei einer Standardinstallation des OpenSSL-Programms finden Sie sowohl die erstellten Zertifikate als auch die privaten Schlüsseln unter folgenden Pfad: C:\OpenSSL-Win64\bin\. (1) Beitrags-ID: , V1.0, 10/

12 4 Generierung von Zertifikaten und Schlüsseln 1 Legen Sie die kopierten Dateien unter folgendem Pfad ab: C:\Users\Public\Documents\Siemens\SIMATICLogon\certificates. (2) 2 Beitrags-ID: , V1.0, 10/

13 5 Fehlersuche 5 Fehlersuche Verhalten Sie können von Ihrem Bediengerät oder Ihre WinCC Runtime Advanced keine verschlüsselte Verbindung zu SIMATIC Logon herstellen. Ursachen Die Ursache kann an folgenden Punkten liegen: Ihre installierte SIMATIC Logon Version unterstützt keine TLS V1.2 verschlüsselten Verbindungen. (Version < V1.5 SP3) Ihre WinCC Installation unterstützt keine TLS V1.2 verschlüsselten Verbindungen. (Version < V13 SP1 Update 4) Sie haben keine Zertifikate im SIMATIC Logon Server hinterlegt. Sie haben keine passenden oder gültigen Zertifikate hinterlegt. Sie haben falsche Einstellungen für Ihre Runtime konfiguriert. (Z. B. das Optionsfeld Verschlüsselte Übertragung nicht aktiv oder falsche Adressierung.) Die Ethernet-Adresse vom SIMATIC Logon Server-Rechner und die vom Bediengerät müssen im selben Netz liegen. (Z. B xyz) Beitrags-ID: , V1.0, 10/