Le funzioni SQL Gateway supportano le connessioni protette su TLS (Transport Layer Security) / SSL (Secure Socket Layer) tra i database SQL Gateway e MySQL o i database Microsoft SQL Server. Se queste connessioni vengono configurate in modo appropriato, i database possono essere posti all'esterno della propria rete industriale.
Le funzioni SQL Gateway supportano inoltre le connessioni protette tra i controller e il SQL Gateway. Se il controller in uso non supporta la comunicazione protetta, è possibile configurare una comunicazione non protetta tra il controller e il SQL Gateway. In questo caso, la comunicazione deve avvenire solo all'interno della rete industriale, isolata da altre reti all'interno dell'azienda e da Internet.
NOTA: Schneider Electric aderisce alle migliori pratiche del settore nello sviluppo e nell'implementazione dei sistemi di controllo. Ciò include un approccio "Defense-in-Depth" per la protezione di un sistema di controllo industriale. Secondo questo tipo di approccio, i controller sono protetti da uno o più firewall per limitare l'accesso al personale e ai protocolli autorizzati.
|
|
|
ACCESSO NON AUTENTICATO E CONSEGUENTE FUNZIONAMENTO NON AUTORIZZATO DELLA MACCHINA |
|
oValutare se l'ambiente o le macchine sono collegati all'infrastruttura critica e, in caso positivo, adottare le misure appropriate in termini di prevenzione, secondo l'approccio "Defense-in-Depth", prima di collegare il sistema di automazione a una rete. oLimitare al minimo necessario il numero di dispositivi collegati alla rete. oIsolare la rete industriale dalle altre reti nell'ambito dell'azienda. oProteggere le reti dall'accesso non autorizzato mediante l'uso di firewall, VPN, o altre procedure di sicurezza di comprovata efficacia. oMonitorare tutte le attività del sistema. oImpedire l'accesso diretto o il collegamento diretto ai dispositivi da parte di persone non autorizzate o con azioni non autenticate. oRedigere un piano di ripristino che includa il backup del sistema e delle informazioni di processo. |
|
Il mancato rispetto di queste istruzioni può provocare morte, gravi infortuni o danni alle apparecchiature. |
SQL Gateway utilizza una porta TCP specifica per la comunicazione protetta e un'altra porta TCP per la comunicazione non protetta tramite cui i controller inviano query SQL. Impostare la struttura della rete e configurare il firewall in modo che le porte utilizzate siano accessibili ai controller.
Durante l'avvio iniziale del SQL Gateway, viene richiesto di stabilire se si desidera assegnare una password per proteggere il software dall'accesso non autorizzato.
|
|
|
ACCESSO NON AUTENTICATO |
|
Utilizzare la protezione da password se il PC del SQL Gateway è accessibile a personale non autorizzato. |
|
Il mancato rispetto di queste istruzioni può provocare morte, gravi infortuni o danni alle apparecchiature. |
Se la protezione da password è attiva, occorre inserire la password ogni volta che si apre la Console Gateway SQL.
Dopo aver avviato il SQL Gateway, è possibile attivare/disattivare la protezione da password nella scheda Impostazioni selezionando il nodo Protezione da password:
oSelezionare l'opzione Protezione da password attiva per attivare/disattivare la password per la Console Gateway SQL.
oFare clic sul pulsante Modifica password per modificare la password per la Console Gateway SQL.
Con ogni connessione crittografata SSL vengono verificati i certificati SSL. Questo permette di assicurare che il client SSL sia collegato al server SSL desiderato e viceversa.
Per la crittografia SSL, sono disponibili due tipi di certificati:
oCertificati server:
Certificati per i server SSL. Questi certificati hanno un duplice scopo:
oFornire chiavi pubbliche e private da utilizzare per la crittografia dei dati inviati dal client SSL al server SSL.
oFornire informazioni che consentono al client di verificare che è collegato al server SSL corretto.
oCertificati Client:
Certificati per i client SSL. Essi non sono necessari per la crittografia dei dati ma solo per l'autenticazione client. L'uso dei certificati client è opzionale, ma possono essere richiesti dal server per verificare se il client SSL ha diritto di collegarsi al server SSL.
È possibile creare dei certificati autofirmati o utilizzare certificati firmati da un'autorità di certificazione (CA). Una breve descrizione della creazione di certificati autofirmati è contenuta nel capitolo Configurazione delle connessioni crittografate SSL per ogni tipo di database SQL.
Convalida dei certificati server
È buona prassi che il client SSL convalidi il certificato server in modo da garantire che sia associato al server corretto quando viene stabilita una connessione.
Esistono due diverse procedure di convalida che possono essere eseguite dal client:
oValidate Certificate: questa procedura verifica se il certificato server o uno dei suoi certificati radice è un certificato sicuro. Questo significa che è disponibile nella cartella Autorità di certificazione radice attendibili dell'Archivio certificati.
oVerifica nome: questa procedura verifica se il nome soggetto nel certificato del server corrisponde al nome del server nella connessione TCP.
Gestione dei certificati nell'Archivio certificati
L'Archivio certificati è un componente Windows per la gestione dei certificati.
Per aprire l'Archivio certificati, procedere nel modo seguente:
|
Passo |
Azione |
Commento |
|---|---|---|
|
1 |
Su un PC Windows, eseguire il comando mmc. |
Risultato: si apre la Console di gestione Microsoft. |
|
2 |
Eseguire il comando File > Aggiungi o rimuovi snap-in. |
– |
|
3 |
Nella finestra di dialogo Aggiungi o rimuovi snap-in, selezionare Certificati e fare clic sul pulsante Aggiungi >. |
– |
|
4 |
Nella finestra di dialogo Snap-in certificati, selezionare l'opzione Account del computer e fare clic su Avanti, quindi fare clic su Fine. |
– |
|
5 |
Chiudere la finestra di dialogo Aggiungi o rimuovi snap-in facendo clic su OK. |
Risultato: la gestione Microsoft Console contiene due cartelle Certificati: oPersonale: contiene i certificati server e client. oAutorità di certificazione radice attendibili: contiene i certificati radice sicuri. |
Per importare un certificato, fare un clic con il pulsante destro sulla cartella Personale o su Autorità di certificazione radice attendibili ed eseguire il comando Attività > Importa. Seguire le istruzioni fornite dall'Importazione guidata certificati. Selezionare l'opzione Selezionare automaticamente l'Archivio certificati secondo il tipo di certificato.
Per assegnare i diritti di accesso a un certificato per un account server, procedere come segue:
|
Passo |
Azione |
|---|---|
|
1 |
Fare clic con il pulsante destro nell'Archivio certificati ed eseguire il comando Attività > Gestisci chiavi private. |
|
2 |
Nella successiva finestra di dialogo fare clic su Aggiungi. |
|
3 |
Selezionare l'opzione Tipi di oggetto > Account di servizio. |
|
4 |
Fare clic sul pulsante Percorsi, selezionare la voce del PC locale e fare clic su OK. |
|
5 |
Copiare il nome nella casella di testo. |
Per copiare le informazioni relative alle identificazioni personali di un certificato, procedere come segue:
|
Passo |
Azione |
|---|---|
|
1 |
Fare doppio clic su un certificato. |
|
2 |
Nella scheda Dettagli, selezionare la voce Identificazione personale e copiare il suo Valore. |
