[发明专利]一种云端MQTT访问权限控制方法

说明书

本发明公开了一种云端MQTT访问权限控制方法，包括：步骤S1，第一阶段，客户端与IOT设备分别接入云端申请服务资源和MQTT动态登录信息，以MQTT动态登录信息连接MQTT中介进行登录的校验；步骤S2，第二阶段，客户端通过登录云端的单点登录服务器获分配的动态登录Token，以MQTT动态登录信息连接MQTT中介，订阅和发布相关主题，由MQTT中介发布需经由API鉴权服务的MQTT主题到API鉴权服务，鉴权通过的API经由云端的设备影子服务做数据镜像和下发，由设备影子服务发布API对应的MQTT主题到MQTT中介；IOT设备以一阶段动态登录信息连接MQTT中介，订阅和发布相关主题。

技术领域

本发明涉及IOT(Internet of Things，物联网)设备技术领域，特别是涉及一种基于IOT设备和客户端用户登录的云端MQTT(Message Queuing Telemetry Transport，消息队列遥测传输协议)访问权限控制方法。

背景技术

物联网的核心是连接万物，通过交换并分析数据使得生活更舒适与便捷；不过，敏感数据泄露或者设备被非法控制的后果也将非常严重，实际情况当前业界也频发安全漏洞导致智能设备被非法控制的案例。究其本质，并不是物联网技术本身有缺陷，而是在物联网系统的设计中最基本的安全设计被工程师轻视了，才导致整个系统的崩塌。MQTT(MessageQueuing Telemetry Transport，消息队列遥测传输协议)作为物联网普遍使用的连接协议，已经有基础的安全特性来保证物联网项目的顺利实施。

当前普遍的MQTT安全设计方案如下：

1)网络层：有条件可以通过拉专线或者使用VPN来连接设备与MQTT代理；

2)传输层：传输层使用TLS加密是确保安全的一个好手段

3)应用层：使用客户标识(Client Identifier)以及用户名密码，在应用层验证设备。

其中，不涉及用户登录的应用层安全验证方案的当前典型的做法如下：

1)客户端使用初始的静态鉴权信息，从云端签发X.509证书

2)客户端使用X.509证书做传输层TLS安全加密和接入鉴权

3)通过数字证书鉴权的客户端则允许接入

然而，这种基于数字证书接入鉴权的方案，不适用于需要用户登录的业务场景；而且数字证书的签发流程一般比较复杂，需要集成类似于OpenSSL等证书签发服务，且性能消耗较大不适合与频繁更新。

目前，涉及用户登录的应用层安全验证方案的当前典型做法是(如图1所示)：

1)客户端通过安全协议比如HTTPS协议从鉴权服务器做用户登录，鉴权服务器会给登录成功的客户端分配MQTT登录信息，对应登录信息会存储在鉴权服务器；

2)客户端登录MQTT时携带分配的登录信息；

3)MQTT中介调用鉴权模块，对客户端接入携带登录信息与鉴权服务器存储的信息做匹配，如果通过则允许接入。

然而，上述方法仍存在如下缺点：

1)数据库存储客户端登录信息匹配的方案，在分布式系统中，如果客户端连接的MQTT中介与数字证书签发不在同一个区域，需要复杂的数据同步来保证在实际连接的MQTT中介中有对应的登录信息。

2)MQTT连接访问权限与业务权限分离，一旦单个客户端信息泄漏，即可能发生非法的业务主题发布到MQTT中介并传播到系统中其他客户端，造成系统信令风暴。

3)没有很好的适用于同时有无用户登录(物联网设备)和有用户登录(手机APP)场景的简单鉴权方案。

发明内容