保护OpenSecureChannel消息和X509IdentityToken？

Question

请澄清以下有关OPC UA规范第4部分服务的问题，

1. 据我所知，在GetEndpoints服务消息之后，客户端会向服务器发送一个OpenSecureChannel请求，这意味着该请求已签名或已签名

OpenSecureChannel请求和响应消息应使用发送方的证书签名。这些信息应始终加密。如果传输层不提供加密，则应使用接收方的证书对这些消息进行加密。

在本文中提到，信息应始终加密。它如何依赖于传输层？

我还看到Wolfgang Mahnke、Stefan Helmut Leitner和Matthias Damm在OPC统一体系结构书中的另一个描述如下：，

如果证书被认为是可信的，那么作为第二步，将根据安全策略和安全模式将OpenSecureChannel请求发送到服务器的选定会话endpoint。（第7章第213页）

在这里，它强调消息是根据安全策略和安全模式保护的，因此我要求澄清安全模式是否为签名的情况？

html" target="_blank">消息也会被加密吗？

一般来说，当MessageSecurityMode为无时，安全策略“必须”为无？“无效”MessageSecurityMode的确切用法是什么？

X509IdentityToken规范第4部分服务第7.35.4节

如果SecurityPolicy要求，此令牌应始终伴随ActivateSession的userTokenSignature参数中的签名。如果SecureChannel的SecurityPolicy为None，服务器应该为UserTokenPolicy指定SecurityPolicy。

在第一行中提到“如果安全策略要求”，当用户令牌签名是X509标识令牌的必填字段时，“如果需要”的上下文是什么？在第二行中提到，如果SecureChannel具有无的安全策略，则需要明确的安全策略，其中“无”表示不交换证书，因此不能使用X509IdtyToken，指的是同一规范中的以下行（第5.6.3节激活会话，pg.no： 40）？

如果令牌是X509IdentityToken，则证明是使用与证书关联的私钥生成的签名。要签名的数据是通过将最后一个serverNonce附加到CreateSession响应中指定的serverCertificate来创建的。

为了您的好意，我使用2015年11月发布的规范进行研究。请澄清。

Answer 1

对于第一个问题，规范继续写道“只有当securityPolicyUri不是无时，OpenSecureChannel的这些要求才适用”。因此，答案是SecureChannel将对任何MessageSecurityMode（MessageSecurityMode除外）的OpenSecureChannelRequest/Response进行签名和加密。没有一个

对于第二个问题，如果MessageSecurityMode为None，则安全策略为None。没有MessageSecurityMode的用法。据我所知是无效的。

对于第三个问题，如果securityPolicyUri为None，则不会交换任何申请证书。客户端可以通过X509IdentityToken提供用户身份。令牌由X509证书和签名组成。签名是通过将服务器nonce附加到服务器证书并使用用户证书的私钥进行签名而生成的。