Web-интерфейс в ПЛК ☕️
Идея заманчива: открыл браузер, зашёл на контроллер, настроил. Без среды разработки, без кабелей, без специального ПО. Вот , как на прикрепленном фото, - мы такие поднимаем для наших клиентов.
Инженеры-наладчики скажут спасибо.
Но вот реальность.
Защита web-интерфейса на ПЛК — это если не ад, то чистилище. TLS-сертификаты, аутентификация, управление сессиями, защита от CSRF/XSS, обновления безопасности... Всё это нужно делать правильно, регулярно и на платформе с ограниченными ресурсами. А если web торчит в промышленную сеть — вы только что подарили потенциальному злоумышленнику парадный вход.
IEC 62443 требует сегментации и контроля доступа. На практике — каждый открытый порт на контроллере это точка атаки и бесконечная головная боль для служб ИБ предприятия.
А обслуживание? Сертификат истёк — web недоступен. Забыли пароль — нужен сброс. Обнаружена уязвимость в embedded web-сервере — нужно обновлять firmware на всех контроллерах в поле. Для парка из сотен устройств это кошмар.
💡 Компромисс: USB-to-Ethernet
А что если web-интерфейс есть, но доступен только через выделенный USB-Ethernet-device на корпусе контроллера?
Физический доступ = авторизация. Подключиться можно только стоя у шкафа с отвёрткой и ноутбуком. Никакого доступа из сети.
Можно упростить защиту. Link-local адрес, самоподписанный сертификат, базовая аутентификация — для изолированного point-to-point соединения этого достаточно.
Нулевая поверхность атаки из промсети. Интерфейс не маршрутизируется, не виден сканерам, не нуждается в firewall-правилах.
Удобство сохраняется. Наладчик подключил кабель, открыл браузер — работает. Отключил — порт спит.
По сути, это цифровой аналог сервисного разъёма на передней панели. Просто, понятно, безопасно.
Вывод: web-интерфейс в ПЛК — нужная вещь, но пускать его в сеть — плохая идея. Выделенный USB-Ethernet порт даёт удобство конфигурации без рисков и без боли с PKI/IAM на каждом контроллере в поле.
Есть и другие мнения, идеи, решения, готовы сформулировать?
P.S. Полюбопытствуйте на содержание окна с версиями прошивки ( в комментарии). Это про A/B обновления контроллеров, о которых мы обещали порассуждать в скором времени.