0371-63319761
您的当前位置:主页 > 安全研究 > 安全研究 >

EMQ自建 IoT 物联网平台 - 设备身份认证

时间:2022-03-24

 
当我们基于EMQX 搭建企业自主的 IoT 物联网平台后,身份认证是首要配置的模块,启用身份认证能有效阻止非法客户端的连接。在MQTT 协议中,我们使用用户名/密码来做设备端身份的认证。
 
EMQ X 中的设备身份认证指的是当一个客户端连接到 EMQ X 的时候,通过服务器端的配置来控制客户端连接服务器的权限。
 
EMQX 身份认证
 
EMQ X 的认证支持包括两个层面:
2022世界杯买球投注

EMQX 支持的认证方式:
2022世界杯买球投注
 
EMQX 身份认证流程
 
我们以项目中最常用的 MySQL 认证为例,认证逻辑图如下:
2022世界杯买球投注
 
1. 根据配置的认证 SQL 结合客户端传入的username,查询出密文;查询无果时,认证将终止并返回 ignore
2. 根据配置的哈希方法计算得到密文
3. 将 MySQL 数据库中存储的密文与当前客户端参数计算出的密文进行比对,两者相同则认证通过,否则认证失败
 
启用 MySQL 认证
 
在EMQX启用 MySQL 认证,我们需要在 etc/plugins/emqx_auth_mysql.conf  中配置 MySQL 服务相关的连接地址,用户名/密码,数据库实例,password的哈希方法,如下:
 
  1  ## 服务器地址
  2  auth.mysql.server = 127.0.0.1:3306
  3  ## 连接池大小
  4  auth.mysql.pool = 8
  5  auth.mysql.username = emqx
  6  auth.mysql.password = public
  7  auth.mysql.database = mqtt
  8  auth.mysql.query_timeout = 5s
  9  ## 使用 sha256 加密
10  auth.mysql.password_hash = sha256
 
MySQL 认证默认配置下需要确保数据库中有下表:
 
  1  CREATE TABLE `mqtt_user` (
  2    `id` int(11) unsigned NOT NULL AUTO_INCREMENT,
  3    `username` varchar(100) DEFAULT NULL,
  4    `password` varchar(100) DEFAULT NULL,
  5    `salt` varchar(35) DEFAULT NULL,
  6    `is_superuser` tinyint(1) DEFAULT 0,
  7    `created` datetime DEFAULT NULL,
  8    PRIMARY KEY (`id`),
  9    UNIQUE KEY `mqtt_username` (`username`)
10 )  ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
 
默认配置如下示例数据:
 
1  INSERT INTO `mqtt_user` ( `username`, `password`)
2  VALUES
3    ('emqx', 'efa1f375d76194fa51a3556a97e641e61685f914d446979da50a551a4333ffd7');
 
启用 MySQL 认证后,你可以通过用户名:emqx,密码:public 连接。
 
启用 MySQL 认证
 
当设备端发起MQTT协议的CONNECT请求时,EMQX 将使用当前设备端信息填充并执行用户配置的认证 SQL,查询出该客户端在数据库中的认证数据。
 
  1  # etc/plugins/emqx_auth_mysql.conf
  2  auth.mysql.auth_query = select password from mqtt_user where username = '%u' limit 1
 
我们可以在认证 SQL 中使用以下占位符,执行时 EMQX 将自动填充为客户端信息:
 
  1  %u:用户名
  2  %c:Client ID
  3  %C:TLS 证书的域名或子域名,仅当 TLS 连接时有效
  4  %d:TLS 证书 subject,仅当 TLS 连接时有效
 
我们可以根据业务需要调整认证 SQL,如添加多个查询条件、使用数据库预处理函数,以实现更多业务相关的功能。但是任何情况下认证 SQL 需要满足以下条件:
 
1. 查询结果中必须包含 password 字段,EMQX 使用该字段与客户端密码比对 
2. 如果启用了加盐配置,查询结果中必须包含 salt 字段,EMQX 使用该字段作为 salt(盐)值 
3. 查询结果只能有一条,多条结果时只取第一条作为有效数据
 
默认表结构中,我们将 username 字段设为了唯一索引(UNIQUE),与默认的查询语句 select password from mqtt_user where username = '%u' limit 1  配合使用,从而获得非常不错的查询性能。

来源:IoT物联网技术

 

Copyright © 2017-2020 2022世界杯买球投注 版权所有 豫公网安备 41019702002746号

Baidu
sogou