1. 安全策略概述：什么是OPC UA安全策略，为什么需要它，核心三要素

大家好，我是老周。在工业自动化这行摸爬滚打了十几年，今天咱们来聊聊OPC UA安全策略。

说实话，我刚接触OPC UA那会儿，也觉得安全这东西就是个「配置选项」。直到有一次，我在一个汽车焊装车间做项目，现场工程师图省事，把安全策略直接设成了None。结果呢？生产线上的机器人数据被隔壁工控机误写，差点造成撞枪事故。从那以后，我再也不敢小看安全策略了。

1.1 什么是OPC UA安全策略

简单说，安全策略就是一套规则。它告诉客户端和服务器：你们俩怎么握手、怎么证明身份、怎么加密聊天。

OPC UA规范里定义了好几种安全策略。比如Basic256Sha256、Aes128Sha256等等。每个策略都规定了三件事：

• 签名算法——用什么方法验证消息没被篡改
• 加密算法——用什么方法把数据变成密文
• 密钥长度——密钥有多长，决定了破解难度

你想想看，如果两台设备之间没有安全策略，那就像两个人在大街上喊银行卡密码。谁都能听，谁都能改。

1.2 为什么需要安全策略

我见过太多工厂，上了OPC UA之后觉得「反正内网，没事」。嗯，这种想法很危险。

工业网络早就不是封闭的了。MES系统要数据，ERP系统要数据，云端也要数据。数据流一多，攻击面就大了。安全策略要解决三个实际问题：

1. 防窃听——别人抓包也看不懂你的数据
2. 防篡改——数据在传输过程中不能被偷偷改掉
3. 防冒充——确保跟你通信的是真设备，不是冒牌货

我记得有个项目，客户说「我们PLC和上位机之间就一根网线，能有什么风险？」结果我给他们做了个演示：用Wireshark抓包，明文数据一目了然，连配方参数都能看到。客户当场就改了方案。

1.3 核心三要素：认证、授权、加密

OPC UA安全策略的骨架，就是这三个东西。我习惯把它们叫做「三道门」。

要素	作用	通俗理解
认证	验证你是谁	进门先刷身份证
授权	你能干什么	刷完证，保安告诉你哪些房间能进
加密	别人看不懂	你们在房间里说的话，外面听不到

1.3.1 认证

认证是第一步。OPC UA支持两种认证方式：

• 证书认证——每个设备有自己的数字证书，像电子护照
• 用户名/密码认证——传统方式，简单但安全性一般

我个人习惯用证书认证。为什么？因为密码容易被猜，容易被社工。证书是硬件绑定的，换设备就得换证书，安全得多。

曾经有个客户问我：「证书过期了怎么办？」我说：「跟驾照一样，到期换证。OPC UA规范里定义了证书生命周期管理，定期更新就行。」

1.3.2 授权

认证通过之后，授权决定你能做什么。OPC UA的授权粒度很细：

• 能不能读这个变量
• 能不能写那个参数
• 能不能调用某个方法
• 能不能订阅某个事件

举个例子：操作员只能看温度数据，工程师才能改PID参数。这就是授权在起作用。

1.3.3 加密

加密是最后一道防线。即使认证和授权都做好了，数据在网络上跑的时候还是可能被截获。加密让截获的人看不懂。

OPC UA支持对称加密和非对称加密两种：

• 非对称加密——用于握手阶段，交换密钥
• 对称加密——用于数据传输阶段，速度快

说白了，非对称加密是「见面打招呼」，对称加密是「正式聊天」。

我记得调试一个跨国项目时，发现中国工厂和美国总部的OPC UA通信特别慢。查了半天，发现是加密算法选错了。他们用了Aes256，但网络延迟大，握手时间太长。后来改成Aes128，速度就上来了。所以选加密算法也要考虑实际网络条件。

1.4 三要素的关系

这三者不是独立的，是层层递进的关系。我画了张图，帮你理解：

从图里能看出来，认证是基础。没有认证，授权和加密都是空谈。授权是细化，加密是保障。三者配合，才能构建一个完整的安全体系。

1.5 实际部署建议

说了这么多理论，来点实际的。我建议你按这个步骤来：

1. 先做风险评估——你的数据有多敏感？网络环境有多开放？
2. 选安全策略——根据风险等级，选Basic256还是Aes128
3. 配证书——生成、分发、安装证书
4. 设权限——按角色分配读写权限
5. 测试——用OPC UA客户端连一下，看能不能正常通信

好了，这一章就到这里。安全策略的概念搞清楚了，后面咱们再深入讲每种策略的具体配置和坑点。