SIEMENS張家口西門子（授權）中國總代理-西門子華北區一級總代理商

（一）以前的通訊加密方式

在TIA Portal V17之前，S7-1500 加密的通信方式有兩種：

1：S7-1500 PLC之間、PLC與PC使用TCP （TLS V1.2）通信，通信雙方使用公鑰與私鑰異步加密雙方的通信會話密鑰，得到密鑰后進行同步加密通信，通信雙方需要使用CA生成數字證書。這里的CA為PLC的編程軟件TIA 博途，如圖所示。

2：使用OPC UA 的通信方式。OPC UA 不依賴于操作系統，可以使用密鑰方式進行加密通信，與發送、接收數據不同的是，OPC UA 使用server-client方式，PLC作為服務器，PC作為客戶端，通信方式如圖所示。這種方式適合PLC與PC間的通信。有多種通信方式適合不同應用（讀寫、注冊讀寫、訂閱），通信變量使用符號名稱，與S7-1500符號編程方式匹配。OPC UA 是一個標準的通信協議，源代碼開放，網上可以下載不同操作系統的客戶端應用程序。

（二）基于TLS V1.3加密的S7通信

在很多項目的實際應用中，對于通信加密的需求日益增加，原來PLC間只能使用TCP方式，而與西門子HMI只能使用OPC UA方式進行通信，功能上略顯不足，因此增加S7加密方式很有必要。SIMATIC的進入TIA Portal V17可以實現端到端的加密通信，S7-1200/1500的控制器與控制器之間、S7-1200/1500控制器與TIA 博途工程師站之間和S7-1200/1500控制器與HMI系統之間的通信基于TLS加強保護。

（三）關于TLS V1.3的原理機制

TLS1.3（Transport Layer Security）使得整個通信過程的機密性和完整性保護更強，每個PLC都可以基于由TIA Portal生成的各自的證書進行唯一標識。敏感的PLC配置數據，例如各自證書，可以通過為每個PLC設置用戶自定義密碼的方式進行保護，以防止未經授權的訪問。
為了降低技術復雜性，確定通過設置向導的方式完成配置過程，降低使用過程復雜性和產生錯誤的風險，提高透明度，并Zui大限度地方便了用戶的處理。向導解釋各個選項和設置的優缺點，因此用戶更容易選擇正確的配置。如有必要，用戶也可以在確認后停用向導。 
（1）用戶管理和訪問控制 對于訪問保護一致性的要求，可以配置為不同用戶角色的工程師站和運行版配置不同功能權限。不同于先前的僅劃分只讀、可讀可寫兩種模式，Zui新功能支持根據責任劃分用戶角色，同一工作站登錄相同項目可以選擇不同的用戶角色，以此防止未授權的用戶入侵受保護的系統。另外，如果工程師暫時離開工作站，可以根據用戶配置時間自動鎖定項目，以防止對項目的任意更改。

 

（2）用戶管理組件 （User Management Component）可選組件允許建立中央用戶管理的。客戶可以實現跨軟件和設備定義并管理用戶和用戶組，也可以接收微軟的活動目錄(Active Directory)傳輸的用戶和用戶組。
（3）建議的對抗措施：

博途V17配合SIMATIC S7-1200V4.5.0和S7-1500 V2.9.2 控制器Zui新固件版本(S7-1200 CPU V4.5.0 / S7-1500 CPU V2.9.2)可以實現以上功能，西門子強烈建議客戶更新到Zui新版本。此外S7-1200 和S7-1500Zui新發布的版本固件解決了CVE-2020-15782內存保護繞過漏洞，未經認證攻擊者利用該漏洞可以將任意數據和代碼寫入受保護的內存區域或讀取敏感數據以發動進一步攻擊。針對該漏洞防護的特定方法，參考工業信息安全建議中提供的對抗措施：

采用密碼保護S7通信；通過S7-1200或S7-1500的ENDIS_PW 指令禁止客戶端連接（即使客戶端可以提供正確的密碼，也會阻止遠程客戶端連接）；使用S7-1500 CPU 的顯示屏配置附加訪問保護（這會阻止遠程客戶端連接，即使客戶端可以提供正確的密碼）；Zui后，將系統更新到TIA Portal V17并通過設備各自的證書實現PLC、HMI和PG/PC之間基于TLS的安全通信，增強工廠的信息安全保護等級。采用西門子工業信息安全指南[2]中描述的“縱深防御”解決方案，尤其是：

工廠安全：采用物理防護措施防止訪問關鍵組

網絡安全：確保PLC系統不連接到不受信的網絡

系統完整性：通過采用適當的補償控制和內置的安全功能配置、維護和保護設備