MQTT TLS 加密传输

MQTT TLS 加密传输

Mosquitto原生支持了TLS加密，TLS（传输层安全）是SSL（安全套接层）的新名称，生成证书后再配置一下MQTT代理，本文主要介绍Mqtt如何实现双向认证和单向认证方法。

单向认证：就是只有服务器提供证书，客户端不需要证书，双向认证：服务端和客户端都提供证书。

1.生成CA

首先我们需要生成证书权威（Certificate Authority，CA）的认证和密钥，生成过程中Common Name就是hostname，网上很多生成CA证书直接指令OpenSSl方法，没有对Common Name进行扩展，本文不是主要介绍CA生成方法，这里为方便直接采用github中的一个脚本，可以让hostname为localhost、本机ip或192.168.7.10，通过链接脚本地址运行脚本。

从OweTracks项目下载并运行generate-CA.sh脚本。该脚本创建CA文件，生成服务器证书，并使用CA来签名证书。

运行脚本

$ mkdir myca

$ cd myca

$ bash ./generate-CA.sh

generate-CA.sh会产生6个文件：ca.crt，ca.key，ca.srl，myhost.crt，myhost.csr和myhost.key。分别为: 证书（.CRT），钥匙（.KEY），请求（.csr文件），并在签名过程中的一系列记录文件（.slr），注意myhost是系统名字，也就是服务器端的文件。

其中将三个文件拷贝到/etc/mosquitto目录：

$ sudo cp ca.crt /etc/mosquitto/ca_certificates/
$ sudo cp myhost.crt myhost.key /etc/mosquitto/certs/

2.单向认证

1、配置文件/etc/mosquitto/mosquitto.conf:

# mosquitto.conf

pid_file /var/run/mosquitto.pid

persistence true

persistence_location /var/lib/mosquitto/

log_dest file /var/log/mosquitto/mosquitto.log

port 8883

cafile /etc/mosquitto/ca_certificates/ca.crt

certfile /etc/mosquitto/certs/myhost.crt

keyfile /etc/mosquitto/certs/myhost.key

在拷贝证书文件和修改mosiquitto.conf后, 重启服务:

$ sudo service mosquitto restart

2、单向认证时客户端不需要生成客户端证书、钥匙和请求，仅需要将CA证书ca.crt，ca.key，ca.srl，拷贝到客户端系统中

客户端接收mosquitto_sub:

$ mosquitto_sub -p 8883 -t /cnc/knd/# --cafile ca.crt

客户端发布mosquitto_pub

$ mosquitto_sub -p 8883 -t /cnc/knd/# --cafile ca.crt

3.双向认证

1、若为双向认证则需根据CA证书生成客户端证书，生成客户端证书、钥匙和请求的方法是在CA证书文件夹下执行OpenSSL

$ openssl genrsa -out client.key 2048
$ openssl req -new -out client.csr -key client.key -subj "/CN=client/O=example.com"
$ openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAserial ./ca.srl -out client.crt -days 3650 -addtrust clientAuth

2、配置文件/etc/mosquitto/mosquitto.conf多一行：

require_certificate true

3、双向认证时客户端需要写入自己的证书信息和密钥来进行验证，

客户端接收mosquitto_sub:

$ mosquitto_sub -p 8883 -t /cnc/knd/# --cafile ca.crt --cert client.crt --key client.key

客户端发布mosquitto_pub

$ mosquitto_sub -p 8883 -t /cnc/knd/# --cafile ca.crt --cert client.crt --key client.key

4. 总结

可以看出双向认证一个客户端有一个自己的证书信息，这样更为安全，但每个客户端都需要安装证书也很麻烦，具体采用什么方法，还要考虑实际场合，第一次接触TLS，如有错误，还请指教。