Privacy di pubblicazione sui canali di telemetria

La riservatezza delle pubblicazioni MQTT inviate in entrambe le direzioni attraverso i canali di telemetria è protetta utilizzando TLS per codificare le trasmissioni sulla connessione.

I client MQTT che si collegano ai canali di telemetria utilizzano il TLS per proteggere la riservatezza delle pubblicazioni trasmesse sul canale utilizzando la crittografia a chiave simmetrica. Poiché gli endpoint non sono autenticati, non puoi considerare attendibile la sola crittografia del canale. Combina la protezione della privacy con il server o l'autenticazione reciproca.

Come alternativa all'utilizzo di SSL, alcuni tipi di VPN (Virtual Private Network), ad esempio IPsec, autenticano gli endpoint di una connessione TCP/IP. VPN codifica ogni pacchetto IP che passa attraverso la rete. Una volta che tale connessione VPN è stabilita, è stata creata una rete attendibile. È possibile connettere i client MQTT ai canali di telemetria utilizzando TCP/IP sulla rete VPN.

Per una configurazione tipica, che crittografa il canale e autentica il server, consultare MQ Autenticazione del canale di telemetria tramite TLS.

La crittografia delle connessioni TLS senza autenticare il server espone la connessione agli attacchi man - in - the - middle. Anche se le informazioni scambiate sono protette contro le intercettazioni, non sai con chi le stai scambiando. A meno che tu non controlli la rete, sei esposto a qualcuno che intercetta le tue trasmissioni IP e si maschera come l'endpoint.

Puoi creare una connessione TLS crittografata, senza autenticare il server, utilizzando uno scambio di chiavi Diffie - Hellman CipherSpec che supporti TLS anonimo. Il segreto master, condiviso tra il client e il server e utilizzato per codificare le trasmissioni TLS, viene stabilito senza scambiare un certificato server firmato privatamente.

Poiché le connessioni anonime non sono sicure, la maggior parte delle implementazioni TLS non utilizzano per impostazione predefinita CipherSpecsanonime. Se una richiesta client per la connessione TLS viene accettata da un canale di telemetria, il canale deve avere un keystore protetto da una passphrase. Per impostazione predefinita, poiché le implementazioni TLS non utilizzano CipherSpecs, il keystore deve contenere un certificato firmato privatamente che il client può autenticare.

Se si usa anonymous CipherSpecs, il keystore del server deve esistere, ma non deve contenere certificati firmati privatamente.

Un altro modo per stabilire una connessione crittografata consiste nel sostituire il provider di attendibilità sul client con la propria implementazione. Il provider di attendibilità non autentica il certificato del server, ma la connessione viene codificata.

Attenzione: quando si utilizza TLS con MQTT è possibile utilizzare messaggi di grandi dimensioni, tuttavia, potrebbe verificarsi un possibile impatto sulle prestazioni. MQTT è ottimizzato per l'elaborazione di piccoli messaggi (in genere tra 1KB e 1MB di dimensione).