android - MQTT 安全 - 如何防止滥用者订阅主题？

Question

我现在已经为 MQTT 做好了一切设置和工作。我正在使用 IBM wmqtt.jar 和 Mosquitto 代理..

我的 Java Servlet 创建到代理的 MQTTConnection 并在“AndroidDeviceID/myAppName”主题下发布。

Android 客户端订阅了相同的主题...

在我看来，如果有人知道我用户的设备名称，他们可以创建一个简单的 Android 应用程序并在我的 MQTT 代理上订阅该主题。然后他们从我的用户那里得到所有的通知（在这种情况下是即时消息）..

如何正确避免这种情况？

score 18 · Accepted Answer

Mosquitto 通过用户名和密码身份验证以及使用访问控制列表限制对主题的访问来提供安全性。mosquitto.conf 手册页中有详细信息：http: //mosquitto.org/man/mosquitto-conf-5.html

score 6 · Accepted Answer

ACL 是限制客户端订阅主题的原因，我正在使用 auth-plugin 这样做，这里是链接mosquitto auth plugin

score 4 · Accepted Answer

一般来说，MQTT 保持安全性非常“轻”，因为它最初是为与封闭的传感器网络一起使用而设计的。由代理实现提供例如 SSL 并决定如何处理用户名/密码后端。

消息数据的加密不太可能由协议本身提供，如果这很关键，通常会在应用层完成。

score 2 · Accepted Answer

如果您需要更自定义的方式来处理主题的访问控制和权限，请尝试使用 HiveMQ MQTT 代理。就像文档中解释的那样，您可以使用插件实现自己的行为。这种方法允许您完全决定如何处理客户端、发布和订阅的身份验证和授权 [1]。如果您有兴趣开始使用您自己的插件的最佳方式，请参阅此处 [2]。

顺便说一句，为 HiveMQ [3] 配置 TLS 也很容易。

克里斯蒂安（HiveMQ 团队）

4 回答 4