MQTT ağımda hangi basit güvenlik testlerini yapabilirim?

Evde bir MQTT ağı kurmak üzereyim. Pratik alıştırmalarla bilgi biriktirmek istiyorum. Dizüstü bilgisayarımda (Windows 7) ve bazı Raspberry Pi destekli istemcide barındırılan aracıyla küçük bir ağ olurdu. Ayrıca telefonumda bir müşteri yapmayı düşünüyorum (Android).

Amacım deneyebileceğim basit bir ağa sahip olmak ve önce denemek için bazı güvenlik testleri yapmak istiyorum.

Kötü amaçlı bir MQTT istemcisi olarak çalışmak üzere tasarlanmış bir MQTT Sunucu Test Paketi buldum . Başlamak oldukça umut verici.

Test aracının genel özellikleri

• Tam otomatik kara kutu negatif testi
• Hazır test çantaları
• Java dilinde yazıldı (tm)
• GUI, komut satırı, uzak arabirim modları
• Enstrümantasyon (sağlık kontrolü) yeteneği
• Destek ve bakım
• Kapsamlı kullanıcı belgeleri
• Sonuçların raporlanması ve analizi

Ancak MQTT güvenlik özelliklerini doğrulamak için kullanabileceğim bazı basit uygulamalarla da ilgileniyorum. Yeni başlayanlar için bir MQTT ağında bazı temel güvenlik doğrulamaları yapmanın en basit yolları nelerdir?

Bazı fikirler - Kullanıcı adı / TLS olan / olmayan tüm kombinasyonları kapsamadım, umarım nerede olduklarını görebilirsiniz.

İstemci anonim olarak bağlanabiliyor, TLS yok mu?

mosquitto_sub -t test/topic -h <broker address>

İstemci, kullanıcı adı sağlasa da şifre yoksa TLS sağlamıyorsa bağlanabilir mi?

mosquitto_sub -t test/topic -u <username> -h <broker address>

İstemci, kullanıcı adı ve parola (doğru ya da değil) sağlarsa TLS'ye bağlanamaz mı?

mosquitto_sub -t test/topic -u <username> -P <password> -h <broker address>

Bir müşteri $SYSkonuya abone olabilir ve komisyoncu hakkındaki bilgileri görebilir mi?

mosquitto_sub -t '$SYS/#' -v -h <broker address>

İstemci TLS kullanarak bağlanabilir mi?

mosquitto_sub -t test/topic -h <broker address> -p 8883 --capath /etc/ssl/certs

Bir müşteri tüm konulara abone olabilir mi? Ne görüyor?

mosquitto_sub -t '#' -v

Yayınlarken de yukarıdaki işlemleri tekrarlayın.

Belki bariz olanı belirtmekle birlikte, yeni başlayanların güvenli bir ağ kurmayı bekleyemeyeceğini vurgulamanın önemli olduğunu düşünüyorum. Yine de öğrenme ile ilgili yanlış bir şey yok.

MQTT'deki birincil güvenlik, taşıma katmanında uygulanmış gibi görünüyor, bu yüzden gerçek güvenlik için odaklanmanız gerekir.

Herhangi bir otomatik test paketi, bir uzmanın protokol uygulamanızda delik bulma yeteneğini çoğaltabilirse şaşırırdım.