TIA MQTT Client Zertifikat

[ocraom2911]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo,

ich arbeite an einer Anwendung, die Daten über MQTT austauscht. Die TLS-Verschlüsselung über Port 8883 mit einem Serverzertifikat habe ich bereits erfolgreich implementiert. Nun soll auch ein Client-Zertifikat hinzugefügt werden. Leider bin ich mir nicht ganz sicher, wie ich das umsetzen soll. Ich kann zwar ein Client-Zertifikat mit der Siemens-CA über den globalen Zertifikatsmanager erstellen, allerdings funktioniert das nicht, da laut Siemens sowohl das Server- als auch das Client-Zertifikat von derselben CA stammen müssen.

Wie kann ich ein Client-Zertifikat für meine SPS mit einer externen CA erstellen?

Vielen Dank im Voraus

 

[DCDCDC]

Hab ich bisher noch nicht gemacht.. aber.. schau mal hier..

SIMATIC S7-1200/1500 als secure MQTT Publisher (Teil 2 - SSL/TLS)

Simatic S7-1200/1500 als MQTT Client (Publisher) - TLS Verschlüsselung einrichten und aktivieren

siincos.com

SIMATIC Controller als MQTT-Client einsetzen​

SIOS

support.industry.siemens.com

Ab Kapitel 2.4 in der Doku

Bibliotheken für Kommunikation für SIMATIC Controller​

SIOS

support.industry.siemens.com

Für die neuesten Bausteine

​

 

[ocraom2911]

Zuviel Werbung?
-> Hier kostenlos registrieren

Danke für die schnelle Hilfe.

Die Links kenne ich und konnten mir leider bei meiner Frage nicht direkt helfen.

Sowie ich das verstanden habe, habe ich für die Erstellung eines Client Zertifikat mit einer externen CA zwei Möglichkeiten:

- ich benötige ich das Root CA der Zertifizierungsstelle. Damit könnte ich dann in TIA über den globalen Zertifikatsmanager -> Gerätezertifikat -> Erstellen -> eine neues Client Zertifikat anlegen.

oder

- ich erstelle über Open SSL einen private Key sowie eine Zertifikatsanforderung (CSR) und leite das an einen CA Aussteller weiter. Dabei muss der CA Aussteller derselbe sein, von dem auch das Serverzertifikat signiert wurde

Ist das prinzipiell so richtig? Hat das schon mal jemand gemacht?

 

[DCDCDC]

Ich nutze immer die unsichere Verbindung..

Ist denn tls Pflicht für deine Anwendung?

Welchen Broker verwendest du denn?

Falls Mosquitto: https://plantprogrammer.de/mqtt-auf-dem-raspberry-pi-mosquitto-part-ii/

Für mich klingt das im Handbuch von Siemens zu tls danach, als müsste nur das Zertifikat des Brokers in die Cpu importiert werden.

 

[ocraom2911]

Ja für diesen Anwendungsfall ist eine sichere Verbindung erforderlich.

Zum Testen verwende ich den Mosquitto. Damit hat sowohl die Verbindung ohne als auch mit Server Zertifikat funktioniert. Jetzt soll noch ein Client Zertifikat hinzugefügt werden.

Broker ist auf einer Azure Cloud, das Server Zertifikat ist von DigiCert ausgestellt.

 

[DCDCDC]

Zuviel Werbung?
-> Hier kostenlos registrieren

Ja für diesen Anwendungsfall ist eine sichere Verbindung erforderlich.

Zum Testen verwende ich den Mosquitto. Damit hat sowohl die Verbindung ohne als auch mit Server Zertifikat funktioniert. Jetzt soll noch ein Client Zertifikat hinzugefügt werden.

Broker ist auf einer Azure Cloud, das Server Zertifikat ist von DigiCert ausgestellt.

Falls du das exportiert bekommst, mal in den Zertifikatmanager der Cpu einbinden

 

[DCDCDC]

Ja für diesen Anwendungsfall ist eine sichere Verbindung erforderlich.

Zum Testen verwende ich den Mosquitto. Damit hat sowohl die Verbindung ohne als auch mit Server Zertifikat funktioniert. Jetzt soll noch ein Client Zertifikat hinzugefügt werden.

Broker ist auf einer Azure Cloud, das Server Zertifikat ist von DigiCert ausgestellt.

Das einzige wo wir glaube ich eine sichere Verbindung mal nutzen ist an einem Kuka Roboter mit der iiQoT Plattform.. das war ein Heckmeck den Roboter einzubinden. Alles andere, was mit Mosquitto abbildbar ist, läuft ohne tls, da alles getrennte Netze mit vlan und router+vpn

 

[ocraom2911]

Falls du das exportiert bekommst, mal in den Zertifikatmanager der Cpu einbinden

Hab ich gemacht. Wenn ich dann ein Gerätezertifikat erstellen möchte und wähle das Root CA von Digicert aus, dann ist der Button zum Anlegen ausgegraut, s. Foto.

 

[DCDCDC]

Zuviel Werbung?
-> Hier kostenlos registrieren

Vielleicht mal an Siemens wenden mit einem Service Request?