前言
安全保護幾乎對於所有的項目都是一個挑戰，對於物聯網項目更是如，自普及應用以來物聯網業內已經發生過多起安全事故。
作為物聯網通信協議事實標准，**MQTT 協議 ** 保持着較高的安全性，提供了多層次的安全設計：
- 傳輸層：MQTT 基於 TCP/IP 協議，可以在傳輸層上使用 SSL/TLS 進行加密傳輸：
- 使用 SSL/TLS 加密通信數據，防止中間人攻擊；
- 使用客戶端證書作為設備身份憑證，驗證設備合法性。
- 應用層：使用 MQTT 自身的安全特性進行防護：
- MQTT 協議支持用戶名和密碼實現客戶端的身份校驗；
- MQTT Broker 實現了 Topic 的讀寫權限控制（Topic ACL）。
EMQ X MQTT Broker 完整支持 MQTT 協議 各項安全規范，內置的安全功能無需編程開箱即用，可以快速排除項目中的安全隱患。EMQ X 認證鑒權系列將圍繞各個層次的安全規范，介紹如何通過配置 EMQ X 啟用相關功能最終實現相應的安全防護。
本文將圍繞 EMQ X 中 MQTT 連接認證相關的核心概念，介紹 EMQ X 支持的認證方式及其適用場景，並從工作機制和配置原則上闡述 EMQ X 認證相關的認證鏈、認證流程/原理以及相關的配置要點等信息，讓你快速掌握 EMQ X 認證配置方式。
認證方式
EMQ X 支持使用內置數據源（文件、內置數據庫）、JWT、外部主流數據庫和自定義 HTTP API 作為身份認證數據源。
連接數據源、進行認證是插件實現的，每個插件對應一種認證方式，使用前需要啟用相應的插件。
客戶端連接時插件通過檢查其 username/clientid 和 password 是否與指定數據源的信息一致來實現對客戶端的身份認證。
EMQ X 支持的認證方式：
內置數據源
- 用戶名認證
- Cliend ID 認證
使用配置文件與 EMQ X 內置數據庫提供認證數據源，通過 HTTP API 進行管理，足夠簡單輕量。
外部數據庫
- LDAP 認證
- MySQL 認證
- PostgreSQL 認證
- Redis 認證
- MongoDB 認證
外部數據庫可以存儲大量數據，同時方便與外部設備管理系統集成。
其他
- HTTP 認證
- JWT 認證
JWT 認證可以批量簽發認證信息，HTTP 認證能夠實現復雜的認證鑒權邏輯。
更改插件配置后需要重啟插件才能生效，部分認證鑒權插件包含 ACL 功能。
認證結果
任何一種認證方式最終都會返回一個結果：
- 認證成功：經過比對客戶端認證成功
- 認證失敗：經過比對客戶端認證失敗，數據源中密碼與當前密碼不一致
- 忽略認證（ignore）：當前認證方式中未查找到認證數據，無法顯式判斷結果是成功還是失敗，交由認證鏈下一認證方式或匿名認證來判斷
匿名認證
EMQ X 默認配置中啟用了匿名認證，任何客戶端都能接入 EMQ X。沒有啟用認證插件或認證插件沒有顯式允許/拒絕（ignore）連接請求時，EMQ X 將根據匿名認證啟用情況決定是否允許客戶端連接。
配置匿名認證開關：
# etc/emqx.conf
## Value: true | false
allow_anonymous = true
生產環境中請禁用匿名認證。
密碼加鹽規則與哈希方法
EMQ X 多數認證插件中可以啟用哈希方法，數據源中僅保存密碼密文，保證數據安全。
啟用哈希方法時，用戶可以為每個客戶端都指定一個 salt（鹽）並配置加鹽規則，數據庫中存儲的密碼是按照加鹽規則與哈希方法處理后的密文。
以 MySQL 認證為例：
加鹽規則與哈希方法配置：
# etc/plugins/emqx_auth_mysql.conf
## 不加鹽，僅做哈希處理
auth.mysql.password_hash = sha256
## salt 前綴：使用 sha256 加密 salt + 密碼 拼接的字符串
auth.mysql.password_hash = salt,sha256
## salt 后綴：使用 sha256 加密 密碼 + salt 拼接的字符串
auth.mysql.password_hash = sha256,salt
## pbkdf2 with macfun iterations dklen
## macfun: md4, md5, ripemd160, sha, sha224, sha256, sha384, sha512
## auth.mysql.password_hash = pbkdf2,sha256,1000,20
如何生成認證信息
- 為每個客戶端分用戶名、Client ID、密碼以及 salt（鹽）等信息
- 使用與 MySQL 認證相同加鹽規則與哈希方法處理客戶端信息得到密文
- 將客戶端信息寫入數據庫，客戶端的密碼應當為密文信息
EMQ X 身份認證流程
- 根據配置的認證 SQL 結合客戶端傳入的信息，查詢出密碼（密文）和 salt（鹽）等認證數據，沒有查詢結果時，認證將終止並返回 ignore 結果
- 根據配置的加鹽規則與哈希方法計算得到密文，沒有啟用哈希方法則跳過此步
- 將數據庫中存儲的密文與當前客戶端計算的到的密文進行比對，比對成功則認證通過，否則認證失敗
以 PostgreSQL 認證為例，其功能邏輯如下圖：
寫入數據的加鹽規則、哈希方法與對應插件的配置一致時認證才能正常進行。更改哈希方法會造成現有認證數據失效。
認證鏈
當同時啟用多個認證方式時，EMQ X 將按照插件開啟先后順序進行鏈式認證：
-
一旦認證成功，終止認證鏈並允許客戶端接入
-
一旦認證失敗，終止認證鏈並禁止客戶端接入
-
直到最后一個認證方式仍未通過，根據匿名認證配置判定
- 匿名認證開啟時，允許客戶端接入
- 匿名認證關閉時，禁止客戶端接入
同時只啟用一個認證插件可以提高客戶端身份認證效率。
MQTT TLS 認證
MQTT TLS 的默認端口是 8883：
listener.ssl.external = 8883
配置證書和 CA：
listener.ssl.external.keyfile = etc/certs/key.pem
listener.ssl.external.certfile = etc/certs/cert.pem
listener.ssl.external.cacertfile = etc/certs/cacert.pem
注意，默認的 etc/certs 目錄下面的 key.pem、cert.pem 和 cacert.pem 是 EMQ X Broker 生成的自簽名證書，所以在使用支持 TLS 的客戶端測試的時候，需要將上面的 CA 證書 etc/certs/cacert.pem 配置到客戶端。
服務端支持的 cipher 列表需要顯式指定，默認的列表與 Mozilla 的服務端 cipher 列表一致：
listener.ssl.external.ciphers = ECDHE-ECDSA-AES256-GCM-SHA384,ECDHE-RSA-AES256-GCM-SHA384,ECDHE-ECDSA-AES256-SHA384,ECDHE-RSA-AES256-SHA384,ECDHE-ECDSA-DES-CBC3-SHA,ECDH-ECDSA-AES256-GCM-SHA384,ECDH-RSA-AES256-GCM-SHA384,ECDH-ECDSA-AES256-SHA384,ECDH-RSA-AES256-SHA384,DHE-DSS-AES256-GCM-SHA384,DHE-DSS-AES256-SHA256,AES256-GCM-SHA384,AES256-SHA256,ECDHE-ECDSA-AES128-GCM-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-ECDSA-AES128-SHA256,ECDHE-RSA-AES128-SHA256,ECDH-ECDSA-AES128-GCM-SHA256,ECDH-RSA-AES128-GCM-SHA256,ECDH-ECDSA-AES128-SHA256,ECDH-RSA-AES128-SHA256,DHE-DSS-AES128-GCM-SHA256,DHE-DSS-AES128-SHA256,AES128-GCM-SHA256,AES128-SHA256,ECDHE-ECDSA-AES256-SHA,ECDHE-RSA-AES256-SHA,DHE-DSS-AES256-SHA,ECDH-ECDSA-AES256-SHA,ECDH-RSA-AES256-SHA,AES256-SHA,ECDHE-ECDSA-AES128-SHA,ECDHE-RSA-AES128-SHA,DHE-DSS-AES128-SHA,ECDH-ECDSA-AES128-SHA,ECDH-RSA-AES128-SHA,AES128-SHA
PSK 認證
如果希望使用 PSK 認證，需要將 TLS 認證 中的 listener.ssl.external.ciphers 注釋掉，然后配置 listener.ssl.external.psk_ciphers：
#listener.ssl.external.ciphers = ECDHE-ECDSA-AES256-GCM-SHA384,...
listener.ssl.external.psk_ciphers = PSK-AES128-CBC-SHA,PSK-AES256-CBC-SHA,PSK-3DES-EDE-CBC-SHA,PSK-RC4-SHA
然后啟用 emqx_psk_file 插件：
$ emqx_ctl plugins load emqx_psk_file
PSK 的配置文件為 etc/psk.txt，使用冒號: 分隔 PSK ID 和 PSK：
client1:1234
client2:abcd