Шифрование MQTT: TLS для брокера Mosquitto в Home Assistant

С TLS номера карт и команды больше не передаются по вашей сети открытым текстом. Нужны сертификат для брокера, несколько настроек в дополнении Mosquitto и порт 8883 в bridge.

По умолчанию MQTT работает без шифрования на порту 1883. В хорошо защищённой домашней сети это часто допустимо, но любое устройство в той же сети может подслушать. Для контроля доступа шифрование стоит тех нескольких минут, что оно занимает.

Что понадобится

• Home Assistant с дополнением Mosquitto broker
• сертификат и ключ для брокера в папке /ssl Home Assistant, например из дополнения Let’s Encrypt или самоподписанные
• KLOKL Bridge с прошивкой v1.0.2

Шаг 1: включите TLS в дополнении

Откройте Настройки → Дополнения → Mosquitto broker → Конфигурация. Укажите имена файлов сертификата и ключа так, как они лежат в /ssl. С обычными именами конфигурация выглядит так:

1logins: []
2require_certificate: false
3certfile: fullchain.pem
4keyfile: privkey.pem
5customize:
6  active: false
7  folder: mosquitto
Copy

Сохраните и перезапустите дополнение. В журнале должно появиться, что оно теперь слушает и порт 8883. Порт 1883 остаётся открытым для устройств, которые ещё не умеют TLS; когда всё переключите, его можно закрыть в сетевых настройках дополнения.

Шаг 2: переключите bridge на MQTTS

1. Откройте веб-интерфейс bridge.
2. В настройках MQTT укажите порт 8883 и включите TLS (MQTTS).
3. Сохраните. Bridge сам переподключится.
4. В Home Assistant устройство через несколько секунд снова должно быть в сети.

От чего защищает TLS, а от чего нет

С TLS трафик между bridge и брокером зашифрован: тот, кто подслушивает сеть, не видит номеров карт. В прошивке v1.0.2 bridge пока не проверяет сертификат брокера по удостоверяющему центру. Это упрощает работу с самоподписанными сертификатами, но не защищает от злоумышленника в вашей сети, который активно выдаёт себя за брокер. Поэтому:

• используйте для bridge отдельного пользователя MQTT с надёжным паролем
• держите IoT-устройства в отдельном сегменте сети, если роутер это позволяет
• не делайте брокер доступным из интернета

Все MQTT-топики bridge описаны в документации.