資料安全是物聯網應用的重中之重。各廠商常使用對稱加密、非對稱加密、數字簽名、數字證書等方法來對裝置進行認證，以防止非法裝置的接入。在證書的使用方式上，有一型一密、一機一密等不同的方案，其中一機一密方案預先為每一個裝置端設定唯一的裝置證書，裝置端與服務端通訊時能夠進行雙向驗證，驗證透過後，裝置端與服務端才進行正常的資料傳輸。相比於其他方案，一機一密能夠做到針對每個裝置的單獨驗證與授權，具有更高的安全性。

作為安全可靠的全託管 MQTT 訊息雲服務， [EMQX Cloud](https://www.emqx.com/zh/cloud) 支援多種認證方式，包括基礎認證（使用者名稱/密碼，客戶端 ID/密碼）及 JWT、PSK 和 X.509 證書認證，同時可配置外部資料庫作為資料來源驗證認證資訊。

本文將採用 Redis 作為認證資料來源儲存資料庫，講解如何透過裝置端證書中包含的 Common Name 為驗證資訊，連線到 EMQX Cloud，實現客戶端一機一密驗證。若客戶端證書中不帶有指定唯一的 Common Name，則無法透過認證。

透過本文，讀者可以為其物聯網裝置實現一機一密、裝置與伺服器雙向身份認證和建立安全通道的能力，有效防止偽造裝置攻擊、裝置金鑰被破解、偽造伺服器指令、監聽或篡改關鍵資訊、透過裝置產線安全漏洞竊取金鑰等攻擊手段。

## 操作流程

### 一、配置 TLS/SSL 雙向認證

#### 1、準備工作

1. 購買伺服器證書，並將其域名解析到部署連線地址。

[![購買伺服器證書](http://img.blog.itpub.net/blog/2022/06/30/a86a9343b6874933.png?x-oss-process=style/bb "購買伺服器證書")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "購買伺服器證書")

2. 生成客戶端 root ca 自簽名證書，使用自簽名 root ca 證書籤發客戶端證書需確保 Common Name 唯一。

```livescript
   # CA 證書生成 client-ca.crt，subj 依據實際使用情況調整。
   openssl req \
       -new \
       -newkey rsa:2048 \
       -days 365 \
       -nodes \
       -x509 \
       -subj "/C=Common Name/O=EMQ Technologies Co., Ltd/Common Name=EMQ CA" \
       -keyout client-ca.key \
       -out client-ca.crt
   
   # 客戶端秘鑰生成 client.key
   openssl genrsa -out client.key 2048
   
   # 生成客戶端證書請求檔案 client.csr，Common Name 為客戶端攜帶認證資訊
   openssl req -new -key client.key -out client.csr -subj "/Common Name=346a004d-1dab-4016-bb38-03cca7094415"
   
   # 用 CA 證書給客戶端證書籤名，生成 client.crt
   openssl x509 -req -days 365 -sha256 -in client.csr -CA client-ca.crt -CAkey client-ca.key -CAcreateserial -out client.crt
   
   # 檢視客戶端端證書資訊
   openssl x509 -noout -text -in client.crt
   
   # 驗證證書
   openssl verify -CAfile client-ca.crt client.crt
   ```

#### 2、配置流程

登入 [EMQX Cloud 控制檯](https://www.emqx.com/zh/signin?continue=https://cloud.emqx.com/console/) 。進入部署詳情，點選 +TLS/SSL 配置按鈕，配置證書內容，您可以上傳檔案或者直接填寫證書內容 TLS/SSL 認證型別：

① 單向認證：僅客戶端驗證服務端證書。

② 雙向認證：客戶端和服務端相互驗證證書。

在本示例文件中我們以**雙向認證**為例，在部署控制檯填入以下內容：

① 公鑰證書：服務端證書

② 證書鏈：證書鏈，通常第三方機構簽發證書時會提供

③ 私鑰：私有秘鑰

④ 客戶端 CA 證書：選擇雙向認證時，需要提供客戶端的 CA 證書

[![MQTT Cloud TLS SSL 雙向認證](http://img.blog.itpub.net/blog/2022/06/30/182f80856a04b57f.png?x-oss-process=style/bb "MQTT Cloud TLS SSL 雙向認證")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "MQTT Cloud TLS SSL 雙向認證")

填寫完成後，點選確定，直至狀態為執行中，即 TLS/SSL 雙向認證配置完成。

### 二、配置 Redis 認證/訪問控制

本文以 Redis 認證/訪問控制為例，當然您也可以使用其他外部認證資料來源，在本文所述場景中，比較推薦使用 Redis 認證/訪問控制。

#### 1、建立 VPC 對等連線

在 EMQX Cloud 部署詳情頁面，建立 [VPC 對等連線](https://docs.emqx.com/zh/cloud/latest/deployments/vpc_peering.html)，便於專業版部署內網訪問到您方 Redis 認證資料庫。

[![EMQX Cloud 建立 VPC 對等連線](http://img.blog.itpub.net/blog/2022/06/30/52931960e57634df.png?x-oss-process=style/bb "EMQX Cloud 建立 VPC 對等連線")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "EMQX Cloud 建立 VPC 對等連線")

#### 2、配置 Redis 認證/訪問控制

1. **redis 配置**

在你的雲伺服器中，建立一個 Redis 服務。為了方便演示，這裡使用 Docker 快速搭建。

```apache
   docker run -itd --name redis -p 6379:6379 redis:latest
   ```

本示例配置資料有如下兩種方式（二選一）：

```apache
   HMSET  tls_domain:346a004d-1dab-4016-bb38-03cca7094415 password pubic
   HMSET  tls_subject:346a004d-1dab-4016-bb38-03cca7094415 password pubic
   ```

[![redis 配置](http://img.blog.itpub.net/blog/2022/06/30/ea98d1039b30d06a.png?x-oss-process=style/bb "redis 配置")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "redis 配置")

2. **Redis 認證/訪問控制配置**

進行身份認證時，EMQX Cloud 將使用當前客戶端資訊填充並執行使用者配置的認證查詢命令，查詢出該客戶端在 Redis 中的認證資料。

可以在認證 SQL 中使用以下佔位符，執行時 EMQX Cloud 將自動填充為客戶端資訊：:

- %u：使用者名稱
   - %c：客戶端 ID
   - %C：TLS 證書公用名（證書的域名或子域名），僅當 TLS 連線時有效
   - %d：TLS 證書 subject，僅當 TLS 連線時有效

你可以根據業務需要調整認證查詢命令，使用任意 Redis 支援的命令 (opens new window)，但是任何情況下認證查詢命令需要滿足以下條件：

① 查詢結果中第一個資料必須為 password，EMQX 使用該欄位與客戶端密碼比對

② 如果啟用了加鹽配置，查詢結果中第二個資料必須是 salt 欄位，EMQX 使用該欄位作為 salt（鹽）值

在部署中點選認證鑑權 - 外部認證授權 - Redis 認證/訪問控制，點選配置認證，即可新建認證。

認證查詢命令有如下兩種方式：

```cos
   HMGET tls_domain:%C password
   HMGET tls_subject:%d password
   ```

即裝置需攜帶客戶端證書、客戶端秘鑰和其 Common Name 、password 的方式進行身份驗證。

[![Redis 認證](http://img.blog.itpub.net/blog/2022/06/30/079e0cfe3359fbde.png?x-oss-process=style/bb "Redis 認證")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "Redis 認證")

## 測試驗證

我們使用 [MQTT X](https://mqttx.app/zh) 模擬客戶端攜帶以下資訊連線到 EMQX Cloud。

① 服務端 CA

② Common Name 為 346a004d-1dab-4016-bb38-03cca7094415 的客戶端證書、客戶端秘鑰

③ password：public

[![MQTT X](http://img.blog.itpub.net/blog/2022/06/30/e2b55f6b36354d2a.png?x-oss-process=style/bb "MQTT X")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "MQTT X")

點選 右上角 connect，出現 connected 表示已連線成功。至此，帶有指定 common name 的裝置已成功連線至 EMQX Cloud，即一機一密裝置透過驗證並連線至 EMQX Cloud 已成功。

[![MQTT X1](http://img.blog.itpub.net/blog/2022/06/30/02d8a9c2b5c83937.png?x-oss-process=style/bb "MQTT X1")](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud "MQTT X1")

## **結語**

至此我們完成了 EMQX Cloud 的客戶端一機一證書驗證流程，成功連線到部署。相比於其他方案，一機一密能夠做到針對每個裝置的單獨驗證與授權，具有更高的安全性，若您也為您的每一個物聯網裝置設定了唯一的訪問憑證，可以參考本文進行配置。

>版權宣告： 本文為 EMQ 原創，轉載請註明出處。
>
>原文連結：[https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud](https://www.emqx.com/zh/blog/one-device-one-secret-authentication-for-iot-devices-with-emqx-cloud)

使用 EMQX Cloud 實現物聯網裝置一機一密驗證

相關文章