Hotové certifikáty pro internetový prohlížeč je CA_Temp a pro PLC je PLCnext. Dále z PLC vygenerovaný soubor request.csr pro software XCA.
Nejprve v XCA vytvoříme databázi, což není nic jiného než zašifrovaný soubor, kde se certifikáty ukládají.
Nastavíme heslo do databáze pro opětovné otevření v software XCA.
Databázi máme prázdnou, žádný certifikát, takže si vytvoříme nový certifikát, nejprve pro internetový prohlížeč.
Po nastavení NEPOUŽIJEME tlačítko OK, ale jen "Apply all" a pokračujeme další záložkou.
Zde nastavíme vlastní informace a vygenerujeme nový klíč - "Generate a new key".
Klikněte na obrázek pro zvětšení
Potvrdíme vytvoření klíče.
Klíč, certifikát "CA_Temp" byl vytvořen.
Exportujeme certifikát do souboru "CA_Temp.crt" pro internetový prohlížeč.
Dále vložíme certifikát do Edge prohlížeče, kam tak to najdeme nejrychleji přes vyhledávání v nastavení Edge.
Pokud chceme používat jiný prohlížeč, vložíme certifikát do jiného prohlížeče.
Certifikát vložíme přes tlačítko "Importovat".
Klikněte na obrázek pro zvětšení
Certifikát CA_Temp v prohlížeči Edge.
Tímto krokem označíme vlastní certifikační autoritu jako důvěryhodnou a prohlížeč nebude považovat certifikát PLC za nedůvěryhodný
Další krok připojíme se do WBM PLC AXC F 2152 a vygenerujeme požadavek na vložení dat v XCA do certifikátu pro PLC. Bude uložen ve "složce" HTTPS kterou vytvoříme přes tlačítko "+".
V příkazovém řádku je vidět, že připojeni k PLC ještě není zabezpečeno.
Pro vytvoření místa pro uložení certifikátu musíme dát volbu "Generovat". Pokud nám tento krok nejde, je nízká verze firmware v PLC, viz. předchozí článek.
A tlačítko "ADD".
A je to. Můžeme vygenerovat žádost o vydání certifikátu (Certificate Signing Request) přes ikonu tužky.
Zde vybereme "Generate CSR" v roletovém menu "Certificate source" a použijeme tlačítko generovat.
Tak vygenerovaný soubor nám Edge nabídne k uložení, uložíme si jej jako request.csr.
Další krok, vygenerovaný klíč request.csr vložíme do software XCA pro podepsání.
A přes pravé tlačítko myši spustíme volbu podepsat, tedy "Sign".
Vyplníme parametry podpisu a opět NEPOUŽIJEME "OK" ale "Apply all".
V další záložce vedle označeného řádku přes tlačítko "Edit" vyplníme v okně typ IP a adresu našeho PLC.
Tady ještě můžeme nastavit i dobu platnosti certifikátu, tedy "Time range".
Potvrdíme již "OK".
Klikněte na obrázek pro zvětšení
Hup a už je certifikát podepsán.
Už se nám objevil i v okně certifikátů, takže jej označíme a dáme exportovat přes "Export".
Vznikne soubor PLCnext.crt pro vložení do PLC.
Poslední krok, konečně. Opět se připojíme k PLC na WBM a na náš nedokončený certifikát ve "složce" HTTPS, který si upravíme přes ikonu tužky.
Na rozdíl od generování souboru "request" nyní musíme vložit soubor s certifikátem.
Vybereme si ten vygenerovaný soubor certifikátu PLCnext.
A už je certifikát kompletní s roční platností.
Tak a na závěr nezapomenout v menu "Web services" nastavit v roletovém menu cestu k HTTPS certifikátu což je ta naše "složka" HTTPS.
Připojeni k WBM PLC je již zabezpečené.
A na závěr zkusíme jednoduše omezit připojení z prohlížeče bez certifikátu.
Aktivujeme si firewall.
A ve vlastnostech upravíme odmítnout spojení HTTP.
Pak nám při připojení z Firefoxu dojde k k jednoduché blokaci komunikace nastaveným pravidlem firewallu.
V praxi ovšem bude nezbytné detailnější nastavení ochrany i s použitím třeba bezpečnostního směrovače mGuard.
V každém případě pro prohlížeč Edge zabezpečené spojení funguje.
Videoukázka certifikátů v XCA a PLC.
Závěr:
V článku jsme vytvořili vlastní certifikační autoritu, vydali certifikát pro PLC AXC F 2152 a zprovoznili zabezpečenou HTTPS komunikaci mezi PLC a webovým prohlížečem. Současně jsme si ukázali základní princip omezení přístupu pomocí firewallu.
Jaroslav Blažek
Doplňující odkazy k článku:
Všechny výrobky od Phoenix Contact najdete zde.
Phoenix Contact Česká Republika.
