对于 public OPC UA 服务器，是否接受所有被认为不安全的客户端证书？

Question

我在验证客户端证书时知道证书链。尽管如此，这仍然会给服务器管理员带来很多负担或限制客户端，这在实施 public OPC UA 服务器时可能是不利的。

接受消息 encryption/signing 的所有证书的客户端证书验证器的实现当然是可能的。但是这样的实现会被认为是不安全的吗？

如果是，怎么样？

Answer 1

是的，它被认为是不安全的。

除了（希望）明显的用例，证书确保您确切知道允许哪些客户端应用程序连接到服务器，证书也是抵御恶意客户端的第一道防线，并且是“防御”的一部分深入”策略。

无法与服务器建立安全通道的恶意行为者没有多少工作可做。 可以 建立安全通道的恶意行为者可以，例如，打开许多连接，创建许多会话（不激活，可能导致 DoS 是您使用资源），尝试猜测凭据，re-use 应用程序可能附带的默认凭据等...

此外...面对最近的 CIS alert 回复：ICS/SCADA 设备 + OPC UA 服务器，您愿意为为了方便。