Szyfrowanie MQTT: TLS dla brokera Mosquitto w Home Assistant

Dzięki TLS numery kart i polecenia nie wędrują już przez twoją sieć otwartym tekstem. Potrzebujesz certyfikatu dla brokera, kilku ustawień w dodatku Mosquitto i portu 8883 w bridge.

Domyślnie MQTT działa bez szyfrowania na porcie 1883. W dobrze chronionej sieci domowej to często akceptowalne, ale każde urządzenie w tej samej sieci mogłoby podsłuchiwać. Przy kontroli dostępu szyfrowanie jest warte tych kilku minut.

Czego potrzebujesz

• Home Assistant z dodatkiem Mosquitto broker
• certyfikat i klucz dla brokera w folderze /ssl Home Assistant, np. z dodatku Let’s Encrypt lub samopodpisane
• KLOKL Bridge z firmware v1.0.2

Krok 1: włącz TLS w dodatku

Otwórz Ustawienia → Dodatki → Mosquitto broker → Konfiguracja. Wpisz nazwy plików certyfikatu i klucza tak, jak leżą w /ssl. Przy typowych nazwach konfiguracja wygląda tak:

1logins: []
2require_certificate: false
3certfile: fullchain.pem
4keyfile: privkey.pem
5customize:
6  active: false
7  folder: mosquitto
Copy

Zapisz i uruchom dodatek ponownie. W dzienniku powinno być widać, że nasłuchuje teraz także na porcie 8883. Port 1883 pozostaje otwarty dla urządzeń, które jeszcze nie obsługują TLS; gdy wszystko przełączysz, możesz go zamknąć w ustawieniach sieci dodatku.

Krok 2: przełącz bridge na MQTTS

1. Otwórz interfejs WWW bridge.
2. W ustawieniach MQTT ustaw port 8883 i włącz TLS (MQTTS).
3. Zapisz. Bridge sam połączy się ponownie.
4. W Home Assistant urządzenie powinno po kilku sekundach znów być online.

Przed czym chroni TLS, a przed czym nie

Z TLS ruch między bridge a brokerem jest szyfrowany; kto podsłuchuje sieć, nie widzi numerów kart. W firmware v1.0.2 bridge nie sprawdza jeszcze certyfikatu brokera względem urzędu certyfikacji. To upraszcza certyfikaty samopodpisane, ale nie chroni przed atakującym w twojej sieci, który aktywnie podszywa się pod brokera. Dlatego:

• używaj dla bridge osobnego użytkownika MQTT z silnym hasłem
• trzymaj urządzenia IoT we własnym segmencie sieci, jeśli router na to pozwala
• nie udostępniaj brokera z internetu

Wszystkie topiki MQTT bridge znajdziesz w dokumentacji.