CN115412282A

CN115412282A - 一种基于mqtt协议的报文安全校验方法

Info

Publication number: CN115412282A
Application number: CN202210740395.3A
Authority: CN
Inventors: 郭安瑞; 高美容; 安晓博
Original assignee: Inspur Cloud Information Technology Co Ltd
Current assignee: Inspur Cloud Information Technology Co Ltd
Priority date: 2022-06-28
Filing date: 2022-06-28
Publication date: 2022-11-29

Abstract

本发明公开了一种基于MQTT协议的报文安全校验方法，所述方法通过对称加密，使用可变头与有效载荷配合加密，由客户端对要发送的报文做加密发送，由MQTT服务端对收到的报文解密对比，识别重复发送的报文、伪造篡改的报文。本发明通过使用可变头与有效载荷相互配合的机制，完成校验，让计算资源受限的物联网设备，通过本发明方法能让物联网设备减小对于计算资源的消耗，提升传输速度与安全；让服务端快速识别异常数据，使服务端有效运行；给用户提供了物联网设备多种安全接入物联网平台的接入方式。

Description

一种基于MQTT协议的报文安全校验方法

技术领域

本发明涉及通讯安全技术领域，具体提供一种基于MQTT协议的报文安全校验方法。

背景技术

随着物联网行业的发展，随着万物互联发展趋势的逐步形成，针对各种联网设备的消息推送需求将呈现爆发性增长，由于物联网中的设备计算性能，内存存储性能和网络带宽资源都有限，因此提出MQTT的轻量级数据传输协议。

MQTT协议是由IBM专门给物联网开发的协议，并被大量应用在物联网领域。

MQTT协议的数据包格式由三个部分组成：固定头(Fixed header)，存在于所有的MQTT 数据包中，用于表示数据包类型及对应标识，表明数据包大小；可变头(Variableheader)，存在于部分类型的MQTT数据包中，具体内容由相应类型的数据包决定；有效载荷(Payload)，存在于部分MQTT数据包中，存储消息的具体数据。

PUBLISH是一种MQTT协议数据传输的一种数据包，该数据包发布消息数据包，可变头中包含数据包标识、主题名称，有效载荷内是该消息要发送的具体数据。

MQTT协议在应用层提供用户名密码的验证，在传输层强烈建议使用SSL/TLS协议进行安全通信。但是，物联网中存在很多设备不具备、不方便使用SSL/TLS协议通信，而物联网设备又经常受到来自感知层、传输层的安全威胁，例如：设备使用弱密码被僵尸病毒攻破，短时间快速上传数据攻击服务端、数据上报传输过程中数据内容被截取，内容被篡改等情况。

发明内容

常用的加密方式一般只是对MQTT的有效载荷进行加密，本发明使用可变头与有效载荷相互配合的机制，完成校验。

针对以上问题，本发明通过对称加密，客户端对要发送的报文做加密发送，对称加密消耗资源小，计算速度快；MQTT服务端可以对收到的报文解密对比，可以识别重复发送的报文、伪造篡改的报文，并踢客户端下线，保证数据安全，保证服务端正常运行。

为实现上述目的，本发明提供了如下技术方案：

一种基于MQTT协议的报文安全校验方法，所述方法通过对称加密，使用可变头与有效载荷配合加密，由客户端对要发送的报文做加密发送，对称加密消耗资源小，计算速度快；由 MQTT服务端对收到的报文解密对比，可以识别重复发送的报文、伪造篡改的报文，并踢客户端下线，保证数据安全，保证服务端正常运行。

更进一步的，所述方法的实现包括：密钥获取、密钥的使用、上报数据安全检查；

所述方法通过使用可变头与有效载荷相互配合的机制，完成所述上报数据安全检查。

更进一步的，所述密钥获取过程包括内容如下：

所述客户端与物联网平台通过非对称算法加密(如RAS)，约定对称加密算法(如AES)，获取对应设备的对称加密密钥组；

所述密钥由key和secret组成，其中：

key用于识别发送主题的合法客户端，并确定使用的secret，

key在请求的数据包中传递，secret不能在数据包中传递；

所述key为物联网设备密钥；所述key在可变头中获取。

更进一步的，所述有效载荷数据格式如下：

params＝yyyyy

timestamp＝1636795270

iotRN＝4235234523

其中：

params为物联网设备使用secret对上报内容加密得到的密文；

timestamp为物联网设备上报数据时的时间戳；

iotRN为物联网设备随机生成的随机数。

更进一步的，所述客户端使用secret和数据包产生使用约定的加密方法，加密生成params，并将key和params发给所述物联网平台；

所述物联网平台根据key找到对应的secret，然后对params进行解密。

更进一步的，所述密钥的使用过程包括内容如下：

1)所述客户端使用用户密码，与所述MQTT服务器建立连接；

2)所述客户端从所述MQTT服务端获取的对称密钥组中，选择一组密钥对；

所述Key放在可变头clientid的末尾中，经过一次base64加密作为上传的clientid；

所述有效荷载params是由secret对数据加密得到的内容，其中：

{params＝yyyyy

timestamp＝1636795270

iotRN＝4235234523}

3)所述客户端使用特定的topic1，上报密文；

4)所述MQTT服务器解密可变头的clientid，获取key，确定secret，并进行有效荷载检验：

检验timestamp及iotRN，再使用secret解密params；

5)所述有效荷载校验通过后，进行正常的业务代理。

更进一步的，所述客户端物联网设备和MQTT服务端通讯过程如下：

步骤一、所述客户端(物联网设备)上报数据；

步骤二、所述MQTT服务端收到数据，进行重复数据检查，检查失败则将所述客户端踢下线；

步骤三、所述MQTT服务端解密密文，重复数据检查通过后，对所述params密文解密，解密失败将所述客户端踢下线。

更进一步的，所述上报数据，包括两部分：

1)在可变头中，clientId携带密钥的key，经过base64加密作为最终的clientId；

2)在所述有效载荷中：

所述params字段使用key对应的secret，对上报数据、时间戳、随机数进行加密，作为 params字段的值；

携带发起请求时间timestamp，用于所述MQTT服务端判断请求是否过期，物联网设备与服务端约定过期时间；所述过期时间参与params密文生成；

携带随机生成的随机数iotRN，用于服务端判断上报的数据是否是重复数据，所述随机数 iotRN参与params密文生成。

更进一步的，所述步骤二中的检查过程包括：

1)检查timestamp，timestamp是客户端发起请求的时间点；

Timestamp检查的具体做法是：比对服务器当前时间和客户端请求发起时间timestamp比较，如果两者在3分钟(该时间可由服务端确定具体过期时间)段内，继续进行iotRN检查，否则判定请求无效，踢客户端下线。

2)检查所述随机数iotRN，iotRN是客户端传递的随机数，客户端每次上报数据时要保证该参数要唯一一且不同。服务端将每次请求的所述随机数iotRN存储到一个“集合”中，持久化到数据库，设置随机数存储时间，最长7天，该存储时间可以根据需要由服务端设置；

所述随机数iotRN检查的具体做法是：每次处理来自设备的数据时，判断该请求的iotRN 的值是否在该“集合”中，如果不存在，是合法的数据上报，就将本次的iotRN参数登记到该 “集合”中，如果存在则认为是非法请求，踢客户端下线。

更进一步的，所述步骤三中解密过程包括内容如下：

经base64解密，取出MQTT可变头中携带的key，服务端查找该key对应的secret。

所述MQTT服务端，解密有效载荷params，解密成功，且解密得到的timestemp与iotRN 字段与报文中两个字段值相同的话，则为合法数据上报，进行后续处理；如果是非合法数据，则踢客户端下线。

与现有技术相比，本发明一种基于租户侧容器集群管理微服务引擎实例的方法具有以下突出的有益效果：

本发明通过使用可变头与有效载荷相互配合的机制，完成校验，让计算资源受限的物联网设备，通过本发明方法能让物联网设备减小对于计算资源的消耗，提升传输速度与安全；让服务端快速识别异常数据，使服务端有效运行；给用户提供了物联网设备多种安全接入物联网平台的接入方式。

附图说明

图1是本发明方法密钥使用示意图；

图2为本发明上报数据安全检查流程图；

图3为本发明方法流程示意图。

具体实施方式

下面将结合附图和实施例，对本发明作进一步详细说明。

实施例1

如图3所示，一种基于MQTT协议的报文安全校验方法，包括内容如下：密钥获取、密钥的使用、上报数据安全检查，其中:

1、密钥获取

客户端与平台通过非对称算法加密RAS，获取对应设备的对称加密密钥组，约定对称加密算法AES；

密钥由key和secret组成，其中：

key用于识别发送主题的合法客户端，并确定使用的secret，key在请求的数据包中传递， secret不能在数据包中传递；

客户端使用secret和数据包产生使用约定的加密方法，加密生成params，并将key和 params发给物联网平台；

平台根据key找到对应的secret，然后对params进行解密。

2、密钥使用

如图1所示，所述密钥的使用过程包括内容如下：

1)所述客户端使用用户密码，与所述MQTT服务器建立连接；

所述有效荷载params是由secret对数据加密得到的内容，其中：

{params＝yyyyy

timestamp＝1636795270

iotRN＝4235234523}

3)所述客户端使用特定的topic1，上报密文；

检验timestamp及iotRN，再使用secret解密params；

5)所述有效荷载校验通过后，进行正常的业务代理。

3、上报数据安全检查

如图2所示，为上报数据安全的流程，上报数据安全检查负责检查数据是否伪造、数据是否被篡改和数据是否重放等信息。

实施例2

所述物联网设备(客户端)和MQTT服务端通讯过程如下：

步骤一、物联网设备上报数据

上报数据时，分为两部分：

可变头中，clientId携带密钥的key，经过base64加密作为最终的clientId；

有效载荷中，

params字段，使用key对应的secret，对上报数据、时间戳、随机数进行加密，作为params字段的值

携带发起请求时间timestamp，用于服务端判断请求是否过期，物联网设备与服务端可约定过期时间；这个时间要参与params密文生成

携带随机生成的随机数iotRN，用于服务端判断上报的数据是否是重复数据，这个随机数要参与params密文生成。

步骤二、服务端重复数据检查：服务端收到数据，进行重复数据检查，检查失败则踢客户端下线，所述检查过程如下：

检查timestamp，timestamp是客户端发起请求的时间点。

Timestamp检查的具体做法是比对服务器当前时间和客户端请求发起时间timestamp比较，如果两者在3分钟(该时间可由服务端确定具体过期时间)段内，继续进行iotRN检查，否则判定请求无效，踢客户端下线。

检查iotRN，iotRN是客户端传递的随机数，客户端每次上报数据时要保证该参数要唯一一且不同。服务端将每次请求的iotRN参数存储到一个“集合”中，持久化到数据库，设置随机数存储时间，最长7天，该存储时间可以根据需要由服务端设置。

iotRN检查的具体做法是每次处理来自设备的数据时，判断该请求的iotRN的值是否在该 “集合”中，如果不存在，是合法的数据上报，就将本次的iotRN参数登记到该“集合”中，如果存在则认为是非法请求，踢客户端下线。

步骤三、服务端密文解密，重复数据检查通过后，对params密文解密，解密失败踢客户端下线。

所述解密过程如下：

MQTT有效载荷，解密params，解密成功，且解密得到的timestemp与iotRN字段与报文中两个字段值相同的话，则为合法数据上报，可以进行后续处理；如果是非合法数据，则踢客户端下线。

以上所述的实施例，只是本发明较优选的具体实施方式，本领域的技术人员在本发明技术方案范围内进行的通常变化和替换都应包含在本发明的保护范围内。

Claims

1.一种基于MQTT协议的报文安全校验方法，其特征在于，所述方法通过对称加密，使用可变头与有效载荷配合加密，由客户端对要发送的报文做加密发送，由MQTT服务端对收到的报文解密对比，识别重复发送的报文、伪造篡改的报文。

2.根据权利要求1所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述方法的实现包括：密钥获取、密钥的使用、上报数据安全检查；

3.根据权利要求2所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述密钥获取过程包括内容如下：

所述客户端与物联网平台通过非对称算法加密，约定对称加密算法，获取对应设备的对称加密密钥组；

所述密钥由key和secret组成，其中：

key用于识别发送主题的合法客户端，并确定使用的secret，

key在请求的数据包中传递，secret不能在数据包中传递；

所述key为物联网设备密钥；所述key在可变头中获取。

4.根据权利要求3所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述有效载荷数据格式如下：

params＝yyyyy

timestamp＝1636795270

iotRN＝4235234523

其中：

params为物联网设备使用secret对上报内容加密得到的密文；

timestamp为物联网设备上报数据时的时间戳；

iotRN为物联网设备随机生成的随机数。

5.根据权利要求4所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述客户端使用secret和数据包产生使用约定的加密方法，加密生成params，并将key和params发给所述物联网平台；

6.根据权利要求5所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述密钥的使用过程包括内容如下：

1)所述客户端使用用户密码，与所述MQTT服务器建立连接；

3)所述客户端使用特定的topic1，上报密文；

检验timestamp及iotRN，再使用secret解密params；

5)所述有效荷载校验通过后，进行正常的业务代理。

7.根据权利要求6所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述客户端物联网设备和MQTT服务端通讯过程如下：

步骤一、所述客户端上报数据；

8.根据权利要求7所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述上报数据，包括两部分：

2)在所述有效载荷中：

所述params字段使用key对应的secret，对上报数据、时间戳、随机数进行加密，作为params字段的值；

携带随机生成的随机数iotRN，用于服务端判断上报的数据是否是重复数据，所述随机数iotRN参与params密文生成。

9.根据权利要求8所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述步骤二中的检查过程包括：

1)检查timestamp，具体操作包括：

比对服务器当前时间和客户端请求发起时间timestamp比较，如果两者在过期时间段内，继续进行iotRN检查，否则判定请求无效，踢客户端下线；

2)检查所述随机数iotRN，所述服务端将每次请求的所述随机数iotRN存储到一个“集合”中，持久化到数据库；

所述随机数iotRN检查的具体做法包括：

每次处理来自设备的数据时，判断该请求的iotRN的值是否在该“集合”中，如果不存在，是合法的数据上报，就将本次的iotRN参数登记到该“集合”中，如果存在则认为是非法请求，踢客户端下线。

10.根据权利要求9所述的一种基于MQTT协议的报文安全校验方法，其特征在于，所述步骤三中解密过程包括内容如下：

经base64解密，取出MQTT可变头中携带的key，服务端查找该key对应的secret；

所述MQTT服务端，解密有效载荷params，解密成功，且解密得到的timestemp与iotRN字段与报文中两个字段值相同的话，则为合法数据上报，进行后续处理；如果是非合法数据，则踢客户端下线。