Coupler PN/MQTT

Popis

Protokol MQTT se v posledních letech prosadil jako jednoduchý přenosový protokol pro zprávy ve světě internetu věcí. MQTT je zkratka pro „Message Queue Telemetry Transport Protocol“ a jedná se o standard OASIS. Protokol MQTT vždy využívá ke komunikaci mezi zařízeními broker, který přijímá zprávy například ze senzoru a předává je zainteresovaným zařízením, například řídicí jednotce. Odeslání dat snímačem brokeru se označuje jako „publish“. Pokud zařízení chce přijímat data, musí se přihlásit k odběru u brokera („Subscribe“). Jakmile od publishera dorazí nová data, broker je distribuuje všem subscriberům.

Pomocí PN/MQTT Coupler je možné přenášet hodnoty mezi PROFINET strojem (PLC) a MQTT brokerem. Je možné odesílat hodnoty z PLC přes PROFINET do brokeru („Publish“) a také odebírat hodnoty z MQTT brokeru a přijímat je v PLC přes PROFINET („Subscribe“).

Integrace do inženýrského nástroje PLC je umožněna pomocí souboru GSDML, další konfigurační software není nutný. Veškerá nastavení pro připojení MQTT lze provést na webové stránce zařízení. Zprostředkovatele MQTT lze připojit lokálně ve vlastní síti („On premise“) i přes internet v cloudu.

Přímá integrace do PLC poskytuje plnou kontrolu nad výměnou dat se světem IoT do rukou programátora.

Vlastnosti

• Podporuje standardy OASIS MQTT V3.1.1 a V5.
• Snadné přiřazení IO dat prostřednictvím souboru GSDML
• Pro přenos lze současně nakonfigurovat až 100 hodnot
• Flexibilní konfigurace prostřednictvím webového prohlížeče
• Oddělené sítě pro připojení PROFINET a MQTT
• Připojení k brokerům v lokální síti nebo přímo s „cloudem“
• Autentizace (heslo, certifikát) a šifrování (TLS)
• Podpora AWS IoT, Microsoft Azure, HiveMQ, Siemens Mindsphere (v přípravě).
• Kompaktní provedení pro montáž na lištu DIN
• Redundantní napájení
• Galvanické oddělení sítí

Často kladené dotazy

Bezpečnostní informace pro služby PROFINET DCP

Pozadí

Za určitých okolností může útočník s přímým (fyzickým) přístupem k síti PROFINET napadnout zařízení využívající služby DCP protokolu PROFINET. To může vést k trvalé ztrátě komunikační schopnosti mezi PROFINET kontrolérem a PROFINET zařízením. Důvodem je povaha DCP služby poskytované protokolem PROFINET. Tato služba může být využita ke změně nebo resetování parametrů zařízení. Příklady takových změn mohou být například DCP-Set (NameOfStation) nebo DCP-Set (Reset-to-Factory). Pro použití DCP v existující specifikaci PROFINET nejsou poskytovány žádné bezpečnostní funkce.

Dopad

Za určitých podmínek může útočník, který má přímý přístup do OT sítě, zabránit PROFINET kontroléru ve vytvoření spoejní s PROFINET zařízením a tím narušit provoz zařízení. V tomto případě je vyžadován manuální zásah uživatele. Zařízení není útokem zničeno, pouze není nadále přístupné pro CPU. Novým přiřazením jména nebo IP adresy lze obnovit provoz zařízení.

Opatření

Helmholz doporučuje svým zákazníkům zavést nebo přezkoumat přísnou přístupovou politiku sítě. Vzdálený přístup do sítě PROFINET musí být omezen, zejména DCP služby musí být blokovány. Toho lze dosáhnout použitím firewallu nebo vhodné VLAN konfigurace.

Novější verze specifikace PROFINET řeší tento problém zavedením třídy 1 PROFINET Security. Helmholz postupně implementuje bezpečnostní třídu pro všechny aktivní PROFINET komponenty a poskytuje nové verze firmwaru.

Další informace

Bezpečnostní doporučení: Nesprávné řízení přístupu pro služby DCP (PNO Identifikátor: PISA-001).