MQTT 安全指南

从设备身份到主题，全面保护 MQTT

生产级 MQTT 部署需要分层控制：TLS、客户端认证、明确的 ACL 授权、受保护的密钥、网络边界，以及出现问题时可供追查的证据。

探索访问控制了解 MQTT 基础知识
威胁模型

从 MQTT 单独无法阻止的故障模式开始

该协议设计上是轻量级的。安全性来自于其周围的部署选择。

网络窃听

明文 MQTT 可能将凭据、主题名称和负载暴露给任何能观察到网络路径的人。

客户端冒充

共享的凭据和可预测的 Client ID 使区分真实设备和攻击者变得困难。

主题访问过于宽泛

即使是有效客户端，如果它可以在不相关的租户和设备组之间发布命令或订阅，仍然可能造成损害。

可用性滥用

连接洪水、通配符订阅、保留消息滥用和重连风暴可能会耗尽 Broker 资源。
安全边界
安全边界可信威胁主要控制剩余风险
设备攻击者提取密钥、克隆固件或利用失窃设备冒充客户端。每台设备使用一份受保护的凭据；条件允许时启用安全启动与安全存储，并支持单独吊销。已被攻陷但凭据仍有效的设备，依然可以执行当前策略允许的所有操作。
Broker凭据猜测、会话劫持、宽泛订阅与资源耗尽。启用 TLS 和身份认证，校验 Client ID，采用默认拒绝的 Topic 策略，并配置配额和审计事件。TLS 与 ACL 无法纠正不安全的载荷处理，也无法消除可用性攻击。
控制平面运维账户或自动化 Token 被利用后，可修改策略、签发凭据或压制证据。加强运维人员认证，采用最小权限角色、变更评审与不可篡改的审计导出。高权限账户仍是高影响目标，需要职责分离并准备恢复访问路径。
网络拦截、DNS 或路由篡改、扫描与连接洪水抵达服务端点。校验证书与主机名，限制入口范围，进行网络分段和速率限制。加密不会隐藏端点元数据，也不能保证上游网络始终可用。
纵深防御

按正确的顺序构建控制措施

  1. 01

    加密和验证传输层

    要求 TLS 1.2 或更高版本，验证 Broker 主机名和证书链，并从生产网络中移除明文监听器访问。

  2. 02

    为每个设备提供身份

    签发独立的凭据，这样即使一个设备被攻陷，也可以在不轮换整个设备群的情况下撤销其权限。

  3. 03

    授权每个主题操作

    分别评估发布和订阅，将过滤器绑定到设备角色，并拒绝未明确需要的访问。

轮换和撤销

跟踪签发情况，限制暴露范围，按计划或事件进行轮换，并使撤销足够快速以供使用。

限制网络范围

使用防火墙、私有路径、速率限制和分段，确保 Broker 访问范围不大于工作负载所需。

监控控制平面

记录认证失败、主题拒绝、凭据更改、重连突发和异常的订阅扇出。
客户端认证

根据设备限制选择身份强度

最强的方案是设备在其整个生命周期内都能安全存储、轮换、验证和恢复的方案。

认证方法
认证方法最佳适用强度操作要求
唯一的用户名和密码受限设备和简单设备群配合严格的 TLS 校验与高强度独立密钥安全存储、速率限制、轮换和吊销
客户端证书 (mTLS)受管硬件与高可信设备身份在 TLS 握手阶段提供强加密身份PKI 签发、私钥保护、续期与吊销
短期令牌具有身份提供者的网关和应用正确验证时，限定范围和有时限可信令牌签发、时钟处理、刷新与受众校验
可执行的 Mosquitto TLS 基线（请替换文件路径）
listener 8883
allow_anonymous false
password_file /etc/mosquitto/passwords
acl_file /etc/mosquitto/acl

cafile /etc/mosquitto/certs/ca.crt
certfile /etc/mosquitto/certs/broker.crt
keyfile /etc/mosquitto/certs/broker.key
tls_version tlsv1.2
可执行的客户端校验（合成端点）
mosquitto_sub \
  -h mqtt.example.invalid -p 8883 \
  --cafile ./ca.crt \
  -u sensor-042 -P 'REPLACE_ME' \
  -i sensor-042-check \
  -t 'factory/shanghai/line-1/sensor-042/command' \
  -d
最小权限

使主题策略可审查

将设备契约表达为狭窄的发布和订阅过滤器，然后在推广前测试允许和拒绝的主题。

传感器设备策略
# Mosquitto ACL: username is the unique device identity
pattern write factory/shanghai/line-1/%u/telemetry
pattern write factory/shanghai/line-1/%u/state

# It may receive only its own commands
pattern read factory/shanghai/line-1/%u/command

# Unlisted topics are denied by default
独立审查发布和订阅权限。
将主题过滤器绑定到经过身份验证的设备身份。
为同级设备、命令主题和广泛通配符添加负面测试。
为具有相同角色的设备重用已审查的模板。
审计策略编辑和凭据更改。
演练如何在不影响其他设备的情况下吊销单台设备。
发布门槛

轮换凭据，同时避免共享密钥导致的停机

不同 Broker 和身份提供方的 API 并不相同。请将这套厂商中立的顺序作为运维手册，再把每一步映射到你的平台。

  1. 01

    盘点身份与影响范围

    记录设备负责人、策略、最后使用时间、密钥类型、签发和到期时间，并准备经过验证的恢复路径。

  2. 02

    签发第二份凭据，并限制重叠窗口

    旧凭据只在短暂迁移窗口内保持有效。替代凭据应使用相同或更窄的 Topic 策略，绝不能扩大权限。

  3. 03

    切换前验证新路径

    使用完整 TLS 校验重新连接，确认允许的流量，执行负面 Topic 测试，并在日志中确认新身份。

  4. 04

    吊销旧凭据并终止会话

    在服务端禁用旧身份，断开现有会话，并验证重连和发布尝试均失败。

  5. 05

    闭合证据链

    从设备和密钥存储中删除旧凭据，记录完成状态，并对吊销后再次使用旧身份的行为告警。

泄露处置：先吊销，再调查

如果怀疑凭据被盗，请跳过计划轮换的重叠阶段：立即禁用身份、结束活跃会话、保全 Broker 与控制平面日志、收窄受影响策略；只向重新建立信任的设备签发替代凭据，并监控旧身份是否再次出现。

运维检查清单

生产级 MQTT 安全基线

先使用下面的发布门槛，再下载完整的可打印清单，检查传输、身份、授权、轮换、网络、监控与事件响应。

必须启用 TLS

拒绝无效证书，移除不安全的后备方案，并验证设备时钟和信任存储。

密钥是设备限定的

固件、电子表格、源代码或复制的配置包中不得包含全厂密码。

策略经过测试

预期的流量成功，而跨设备、跨租户和未经授权的命令路径失败。

事件处置可以落地

运维人员可按预案识别、吊销、调查并替换已泄露的身份。
下载生产安全清单
一手资料

标准与实现参考

本指南中的协议事实和配置示例以标准组织与实现方资料为依据；产品能力边界在下方单独说明。

RunMQTT 当前提供的能力

RunMQTT 私有 Broker 当前提供 TLS 与安全 WebSocket 端点、自动生成的单设备用户名密码凭据、可复用的发布/订阅 Topic 策略、策略测试，以及删除设备后立即移除访问能力。Dashboard 目前不提供客户自管 mTLS 身份、外部 Token 认证、网络允许列表或原地轮换凭据；如需替换凭据，应创建并验证新的设备身份，再删除旧身份。公共 Broker 是开放测试沙盒，不属于生产安全控制。

MQTT 安全常见问题

MQTT 是否默认包含加密？

不。MQTT 定义消息行为，而 TLS 保护传输层。在 1883 端口上的明文连接可能会将凭据、主题和负载暴露给网络。

TLS 是否足以保护 MQTT 部署？

TLS 保护传输中的数据并认证 Broker，但它不决定有效客户端可以使用哪些主题。请将 TLS 与唯一的身份、主题授权、安全的凭据存储和监控结合使用。

用户名和密码认证安全吗？

是的，当每个设备都接收到唯一的强密钥时，连接会验证 TLS，密钥会安全存储，失败尝试会被限制，并且轮换和撤销在运维上是可行的。

如何设计 MQTT 主题权限？

将发布和订阅权限分开，并只授予设备角色所需的狭窄主题过滤器。避免为现场设备使用广泛的 # 访问，并针对预期和拒绝的主题测试每项策略。

相关 MQTT 资源

先把安全模型应用到真实客户端，再了解 MQTT 如何与其他实时技术协作。

MQTT ACL Linter

在本地检查通配符范围、租户与设备边界、方向和重叠规则。

MQTT 教程

从基本原理出发完成连接、发布、订阅与 QoS 选择。

公共 Broker 测试

使用合成数据进行练习，并了解公共 Broker 的限制。

MQTT QoS 实验

测试重连状态、重复处理以及恰好一次投递的边界。

托管 Broker 实测

查看一轮有日期、可复现的 TLS/WSS、QoS、会话、ACL 与受控负载测试。

浏览器 MQTT over WSS

区分 TLS 传输、MQTT 身份、Topic 策略与浏览器恢复责任。

RunMQTT 访问控制

了解设备身份与可复用主题策略如何融入控制平面。