3、非对称加密基础：RSA 密钥对在 OPC UA 中的角色
聊到 OPC UA 的安全，绕不开 RSA。很多人觉得 RSA 就是「公钥加密、私钥解密」那套，但在 OPC UA 里，它的角色其实更立体。我最早接触 OPC UA 时，也以为 RSA 只是用来加密会话密钥的，后来踩了坑才发现——它干的活远不止这些。
3.1 RSA 在 OPC UA 中的三个核心职责
说白了，RSA 密钥对在 OPC UA 里承担了三件大事：
- 身份认证——证明「你是你」
- 密钥协商——安全地交换对称密钥
- 数字签名——保证消息没被篡改
这三件事贯穿了整个会话建立过程。我习惯把 RSA 比作「安全握手阶段的万能工具」——一旦会话建立，它就退居二线，把加密任务交给 AES 这类对称算法。
关键认知：RSA 在 OPC UA 中主要用于握手阶段，而非数据传输阶段。用非对称加密去加密大量数据流，性能上扛不住。
3.2 密钥对的生成与证书绑定
每个 OPC UA 应用（无论是客户端还是服务器）都必须拥有一对 RSA 密钥。私钥自己保管，公钥则嵌入到 X.509 证书里。我在项目中见过不少新手直接把私钥放在可读目录下——嗯，这等于把家门钥匙挂在门外。
| 组件 | 存储位置 | 安全要求 |
|---|---|---|
| RSA 私钥 | 本地安全存储（如 HSM、文件系统加密） | 必须加密存储，访问权限最小化 |
| RSA 公钥 | X.509 证书中 | 可公开，但需防篡改 |
| 证书链 | 证书存储区 | 需验证到受信根 CA |
OPC UA 规范要求 RSA 密钥长度至少 2048 位。我个人建议直接用 4096 位——虽然握手时多耗几毫秒，但安全冗余更足。曾经有个客户为了省性能用了 1024 位，结果安全审计直接没过。
3.3 握手阶段：RSA 如何参与密钥协商
OPC UA 的会话建立流程里，RSA 主要出现在 OpenSecureChannel 请求/响应中。流程大致是这样：
- 客户端生成一个临时对称密钥（称为 Nonce）
- 客户端用服务器的 RSA 公钥加密这个 Nonce
- 服务器收到后，用自己的 RSA 私钥解密，得到 Nonce
- 双方基于 Nonce 推导出会话用的对称密钥
你想想看，这里 RSA 只加密了一个小数据块（Nonce），而不是整个会话数据。这就是非对称加密的典型用法——保护关键种子，后续靠对称加密提速。
我的经验：调试握手失败时，先检查客户端拿到的服务器证书是不是受信的。我曾经花了两天查一个「解密失败」的问题，最后发现是证书链没配全，中间 CA 证书丢了。
3.4 数字签名：RSA 的另一面
除了加密，RSA 还用来做数字签名。在 OPC UA 中，签名用于：
- 证书签名验证（CA 对证书的签名）
- 消息签名（部分安全模式下对消息摘要的签名）
签名过程是「私钥签名、公钥验签」。这和加密正好相反。我刚开始总搞混——加密用公钥，签名用私钥。记住一句话：谁持有私钥，谁就能证明身份。
避坑指南：我曾经遇到一个场景，客户端用私钥签名了请求，但服务器验签时发现证书里的公钥和签名对不上。排查下来，是客户端换了密钥对但没更新证书。记住：签名用的私钥必须和证书里的公钥配对。
3.5 RSA 在 OPC UA 安全模式中的映射
OPC UA 定义了三种安全模式，RSA 的参与程度不同：
| 安全模式 | RSA 用途 | 对称加密 |
|---|---|---|
| None | 不使用 | 无 |
| Sign | 仅用于签名 | 无 |
| SignAndEncrypt | 签名 + 密钥协商 | AES |
实际生产环境中，我几乎只用 SignAndEncrypt。Sign 模式虽然能防篡改，但数据明文传输，在工控网络里风险太大。
3.6 RSA 密钥对的生命周期管理
密钥对不是生成一次用一辈子的。OPC UA 规范建议定期轮换。我整理了一个典型的管理流程：
- 生成：使用 OpenSSL 或 HSM 生成 2048/4096 位 RSA 密钥对
- 证书签发：将公钥提交给 CA 签发 X.509 证书
- 部署：私钥安全存储，证书分发到信任列表
- 轮换：建议每 1-2 年更换一次密钥对
- 撤销：私钥泄露时立即吊销证书并生成新对
小技巧：自动化轮换脚本里，记得保留旧证书一段时间。我遇到过轮换后旧会话还在用旧密钥的情况，直接断开导致生产中断。保留一个「宽限期」能平滑过渡。
3.7 RSA 的局限性——为什么不能全靠它
RSA 虽强，但短板也很明显：
- 慢：2048 位 RSA 加密比 AES-256 慢上千倍
- 密文膨胀：加密后数据比原文大（填充开销）
- 不能加密大量数据：有最大输入长度限制（2048 位密钥最多加密 245 字节）
这就是为什么 OPC UA 只在握手阶段用 RSA，后续数据传输全交给对称加密。说白了，RSA 是「安全引路人」，不是「数据搬运工」。
这张图展示了 RSA 在密钥协商中的核心位置。注意看，客户端只持有公钥，服务器才持有私钥。这种非对称设计保证了即使公钥被截获，攻击者也无法解密 Nonce。
3.8 常见误区与避坑
最后聊几个我实际踩过的坑：
- 误区一：RSA 加密整个消息——OPC UA 里 RSA 只加密小数据块（如 Nonce），不是整个报文
- 误区二：证书过期不影响会话——证书过期后，新会话无法建立，旧会话可能被强制中断
- 误区三：私钥可以备份到不安全位置——私钥一旦泄露，整个信任体系崩塌
血的教训：我曾经把私钥备份到了共享网络驱动器上，结果被运维人员误删了。恢复起来极其麻烦，所有客户端都得重新部署证书。从那以后，我坚持用 HSM 或至少加密文件系统存储私钥。
RSA 在 OPC UA 里不是主角，但它是整个安全体系的基石。没有它，身份认证和密钥协商都无从谈起。理解清楚它的角色，后面看会话加密流程就会通透很多。