Legacy i Enhanced Security, ochrona OEM oraz OPC-UA – mechanizmy bezpieczeństwa wbudowane w kontrolery Emerson PACSystems

Współczesne systemy automatyki przemysłowej wymagają skutecznych mechanizmów zabezpieczających przed nieautoryzowanym dostępem i ingerencją w ich działanie. Systemy PACSystems firmy Emerson wyposażone są w szereg elementów, które znacząco podnoszą poziom bezpieczeństwa.

Jednym z kluczowych mechanizmów jest polityka haseł i dostępów realizowana w kontrolerach PACSystems w oparciu o Legacy Security (tryb starszy), Enhanced Security (tryb ulepszony), zaawansowane funkcje ochrony OEM oraz zabezpieczenia komunikacji OPC-UA.

Mechanizmy bezpieczeństwa w PACSystems

Bezpieczeństwo jest istotne w kontekście regulacji takich jak dyrektywa NIS2, która wymaga ochrony systemów informacyjnych i przemysłowych przed cyberzagrożeniami. Równie ważne są normy branżowe, takie jak IEC 62443 dotycząca cyberbezpieczeństwa systemów automatyki przemysłowej oraz standardy bezpieczeństwa funkcjonalnego IEC 61511 w sektorze procesowym. Zastosowanie zaawansowanych mechanizmów uwierzytelniania i kontroli dostępu pomaga spełnić te wymagania, minimalizując ryzyko ataków i nieautoryzowanych ingerencji. W rezultacie przedsiębiorstwa przemysłowe mogą zachować zgodność z przepisami prawnymi i zabezpieczyć ciągłość działania swoich instalacji.

Mechanizmy bezpieczeństwa, takie jak wielopoziomowe hasła, ochrona OEM, tryb Enhanced Security oraz szyfrowana komunikacja OPC-UA, wpisują się bezpośrednio w regulacje NIS2 i normy IEC 62443, zapewniając silną kontrolę dostępu do systemów sterowania przemysłowego. Uwierzytelnianie na różnych poziomach uprawnień minimalizuje ryzyko nieautoryzowanego dostępu, co jest kluczowe dla ochrony integralności i poufności danych oraz funkcji sterujących w kontrolerach PACSystems.

Dodatkowo mechanizmy te wspierają procedury dotyczące odpowiedzialności operatorów systemów, zarządzania uprawnieniami oraz audytów, co jest wymagane przez standardy i politykę bezpieczeństwa, obowiązującą w wielu przedsiębiorstwach. Wspierają tym samym zgodność systemów z wymogami prawnymi oraz zwiększają odporność infrastruktury krytycznej na cyberataki.

Poziomy uprawnień (Privilege Levels) w kontrolerach PACSystems

W kontrolerach Emerson system uprawnień opiera się na kilku poziomach dostępu, które precyzyjnie kontrolują, jakie operacje mogą wykonywać użytkownicy w zależności od ich uprawnień oraz trybu pracy. Najniższy poziom dostępu (Level 1) pozwala jedynie na podstawowe odczytywanie danych i monitorowanie stanu, co zapewnia minimalne ryzyko nieautoryzowanych zmian. Wyższe poziomy — od Level 2 do Level 4 — dają coraz większe możliwości, takie jak zapisywanie danych, kontrola stanu pracy, a na najwyższym poziomie także modyfikowanie i zarządzanie logiką programu czy konfiguracją urządzenia.

Dzięki takiemu podziałowi możliwe jest precyzyjne zabezpieczenie sterownika przed nieautoryzowanymi zmianami, jednocześnie umożliwiając uprawnionym użytkownikom elastyczną i bezpieczną pracę w różnych trybach działania systemu. Ten model uprawnień jest kluczowy dla zachowania bezpieczeństwa i stabilności procesów przemysłowych. Wszystkie aktualnie dostępne kontrolery PACSystems (m.in. CPE100/115, CPE205/210/215/220/240, CPE302/305/310, CPE330, CPE400/CPL410/CPS400) obsługują cztery różne poziomy uprawnień, a poniższa tabela pokazuje zakres uprawnień, jaki użytkownicy otrzymują na poszczególnych poziomach

Legacy Security i Enhanced Security w kontrolerach PACSystems

Mechanizmy Legacy i Enhanced w kontrolerach PACSystems służą do ochrony dostępu do programów i danych sterownika przed nieautoryzowanymi zmianami oraz odczytem, co zapobiega ingerencjom i potencjalnym awariom systemu. Tryb Enhanced Security w porównaniu do Legacy oferuje dodatkowo silniejsze zabezpieczenia, dłuższe hasła oraz zaawansowaną kontrolę dostępu na poziomie komunikacji sieciowej, co jest kluczowe w nowoczesnych i złożonych instalacjach przemysłowych.

Mechanizmy te zostały  zaprojektowane tak, aby wspierać jednoczesną obsługę obu trybów zabezpieczeń. Pozwala to na elastyczne zarządzanie hasłami i dostępem w różnych środowiskach, także tam, gdzie nie wszystkie systemy zostały jeszcze zaktualizowane do Enhanced Security. Ważnym aspektem jest to, że hasła ustawione w trybie Enhanced Security mogą mieć długość powyżej 7 znaków, co uniemożliwia ich weryfikację i zmianę przez mechanizmy Legacy Security. Z drugiej strony, hasła do 7 znaków można uwierzytelniać i zmieniać w obu trybach.

Aby hasła były zachowane po wyłączeniu zasilania, kontroler PACSystems musi mieć podtrzymanie pamięci – na przykład baterię lub Energy Pack – albo przechowywać konfigurację w pamięci flash i ładować ją przy starcie. W przypadku konieczności wyłączenia zabezpieczeń lub zmiany trybu bezpieczeństwa często wymagany jest restart sterownika i usunięcie podtrzymania zasilania, co uniemożliwia nieautoryzowane zmiany w trakcie pracy.

Funkcje te powinny wykorzystywać firmy produkcyjne, integratorzy systemów oraz producenci OEM, którzy chcą chronić swoje rozwiązania i zapewnić bezpieczeństwo procesów automatyki przed niezautoryzowanym dostępem i próbą manipulacji danych w rejestrach kontrolera na poziomie sieciowym.

Ochrona OEM – wyższy poziom zabezpieczeń dla producentów

Ochrona OEM jest funkcją zaprojektowaną dla producentów OEM, którzy chcą zabezpieczyć swoje programy sterujące przed nieautoryzowanym odczytem i modyfikacją przez użytkowników końcowych. Po włączeniu tego trybu, za pomocą hasła OEM (od 1 do 7 znaków w Legacy lub do 31 znaków w Enhanced Security), odczyt i zapis programu oraz konfiguracji sterownika są całkowicie zablokowane. Dla maksymalnej ochrony zaleca się przechowywanie programu w pamięci flash i ustawienie sterownika tak, aby program był zawsze ładowany z flash podczas uruchomienia. W nowszych wersjach firmware (od 7.80 wzwyż) ochrona OEM wymaga wyraźnego włączenia blokady, co dodatkowo podnosi poziom zabezpieczeń.

Dostęp do pamięci kontrolera po protokole sieciowym

Bardzo dużą zaletą zastosowania funkcji Enhanced Security jest zabezpieczenie dostępu do zasobów pamięci poprzez ograniczenie dostępu do określonych obszarów pamięci urządzenia. Funkcja ta jest dostępna na większości aktualnych modeli sterowników PACSystems (m.in. CPE100/115, CPE205/210/215/220/240, CPE302/305/310, CPE330, CPE400/CPL410/CPS400) i konfigurowana jest z poziomu ustawień ustawieniach sprzętowych CPU w oprogramowanie PAC Machine Edition.

Można ustawić 2 tryby dostępu:

• Tryb „Authenticated” (domyślny) – oznacza, że wszystkie operacje po protokole sieciowym dotyczące zasobów pamięci kontrolera oraz programowania wymagają odpowiednich poziomów uprawnień z hasłami.
• Tryb „Unauthenticated” – oznacza, że operacje programowania kontrolera będą wymagały zalogowania się co najmniej na poziomie 2 oraz pozwala urządzeniom „nieprogramistamiczym” (np. SCADA, HMI, PLC, DRV) dziedziczyć uprawnienia poziomu 2 bez konieczności podawania hasła i uzyskiwać dostęp do zasobów pamięci kontrolera. Dla tych urządzeń operacje Run/Stop kontrolera podnoszone są do poziomu 3.

W trybie „Unauthenticated” uprawnienia dziedziczone przez nieprogramistyczne urządzenia pozwalają m.in. na:

• zapis do pamięci danych PLC,
• zapisy za pomocą protokołów EGD (EGD Class II), Modbus, SNP, SRTP i DNP3 bez konieczności podawania hasła poziomu 2,
• nie zmieniają działania i zasad dostępu skonfigurowanych w OPC UA.

OPC-UA jako standard komunikacji w PACSystems

Wszystkie aktualnie dostępne kontrolery Emerson PACSystems oferują wbudowaną obsługę protokołu OPC-UA, umożliwiającą niezawodną i skalowalną wymianę danych w środowiskach przemysłowych. Wbudowany serwer OPC-UA może działać w trzech trybach bezpieczeństwa: anonimowym, z uwierzytelnieniem hasłem oraz z pełnym szyfrowaniem danych i certyfikatami. Rozwiązanie to wspiera nie tylko różne poziomy dostępu użytkowników, ale także automatyczne generowanie certyfikatów z pięcioletnim okresem ważności oraz zaawansowane mechanizmy zarządzania nimi – np. tryb Provision umożliwiający bezpieczną wymianę certyfikatów z klientem.

Oprócz wysokiego poziomu bezpieczeństwa rozwiązanie cechuje się także bardzo szybką wymianą danych na poziomie kilkudziesięciu milisekund (przeprowadzone testy pokazują około 70-80 ms na przesłanie 1000 zmiennych Integer), niezależnie od zastosowanego poziomu zabezpieczeń. Dzięki temu PACSystems stanowi solidną podstawę do budowy nowoczesnych, bezpiecznych i interoperacyjnych systemów automatyki.

Podsumowanie

Systemy zabezpieczeń w PACSystems łączą elastyczność i wysoki poziom ochrony, pozwalając na dopasowanie konfiguracji do potrzeb użytkownika – zabezpieczenia kryptograficzne, szczegółowa kontrola dostępu i duże możliwości zarządzania hasłami. Dzięki takim rozwiązaniom użytkownicy systemów PACSystems mogą skutecznie chronić swoje instalacje przed zagrożeniami i nieuprawnioną ingerencją, co jest kluczowe dla zapewnienia ciągłości i bezpieczeństwa procesów przemysłowych. Szczególnie ważne jest to w środowiskach o wysokich wymaganiach bezpieczeństwa, gdzie nieautoryzowany dostęp może prowadzić do poważnych strat lub zagrożeń.