Логин, пароль и ACL: доступ к брокеру

Пароль от моего брокера два года жил в одном месте — в скетче-шаблоне, из которого я копировал каждую новую плату. Восемь устройств, один логин, один пароль. Потом тем же паролем я открыл знакомому доступ к температуре теплицы: дал строку из шаблона и пообещал, что там только чтение. Проверять права никто не мог — их не существовало. Знакомый с тем же паролем мог включать насос, открывать ворота и вообще всё, что умеет мой дом; мы оба не заметили разницы, потому что её не было.

Точка невозврата наступила, когда пришлось менять пароль: тестовый макет с этой же строкой в коде уехал к племяннику вместе с учётными данными брокера, и в логах появлялись подключения из чужой Wi-Fi сети. Смена пароля обернулась экспедицией: восемь плат, три комнаты, теплица и улица — каждую снять, перепрошить, вернуть. Полтора вечера. За те же полтора вечера можно было один раз завести каждому устройству собственный логин — но я не знал, что брокер умеет это из коробки.

В этом уроке три этажа доступа. Первый — пароли: allow_anonymous false и password_file. Второй — ACL: правила, кто какой топик может читать и писать. Третий — дисциплина: логин на каждое устройство и шаблон прав, который не приходится переписывать при добавлении новой платы.

Базовый выключатель гостевого доступа — allow_anonymous false в конфиге брокера: после него без логина и пароля не пустят никого, включая ваши платы. Установка брокера и рабочий конфиг были в уроке про Mosquitto — сюда добавляются две строки: password_file и acl_file. Пользователей создаёт mosquitto_passwd: первый запуск с флагом -c создаёт файл, все следующие — без флага, просто добавляют строку. Внутри файла лежат не пароли, а хэши: утёкший password_file не отдаёт учётные данные, но права на файл всё равно держите минимальные — владельцем mosquitto и правами 600, читать его должен только сам брокер, подбор по хэшу ещё никто не отменял.

Со стороны платы всё умещается в один вызов: client.connect(clientId, логин, пароль) — или client.setCredentials() до connect, если учётные данные у вас в отдельной константе. Неправильные учётные данные брокер отвечает кодом 4 из таблицы кодов состояния — bad user name or password. Отказ вежливый: плата переподключится по своему расписанию, а вы увидите причину в client.state() за секунду.

Первый этаж закрывает вопрос «впускаем ли вообще». Второй — «что разрешено внутри»: пароль открывает дверь, ACL решает, куда за ней можно идти.

Отдельное слово про пароль внутри платы. Он лежит в прошивке открытым текстом — дамп памяти или разбор бинаря его достанут, и здесь надо трезво считать риски. Пароль от брокера в домашней плате защищает не сейф, а ветку топиков: с per-device логином утечка одного пароля отдаёт чужаку home/pump/# и ничего больше, а отзыв — одна строка в password_file. Один пароль на весь дом в тех же руках — ключи от всего дома сразу, и менять их придётся на всех платах.

Мой компромисс: пароли уникальные и длинные, логин совпадает с clientId, а в скетче пароль живёт в отдельной константе наверху файла — чтобы при выкладке кода на GitHub не пришлось чистить полдюжины строк. Для больших проектов есть чиповые секреты и Provisioning, но в самодельном доме честнее признать уровень угрозы: сосед с анализатором трафика — это про TLS, а школьник с распечаткой вашего бинаря — пока фантастика.

ACL-файл — это матрица прав: строка user и под ней строки topic с правом read — читать, то есть подписываться, write — писать, то есть публиковать, readwrite — и то и другое. Правило насоса: user pump, topic readwrite home/pump/# — устройство видит свою ветку и не видит чужих. Дашборд: read на весь home/# — он читает весь дом, а пишет только в home/dash/#. Гость: read на home/+/status — статусы видит, команды щёлкать не смог бы, даже если бы выучил все топики наизусть. Топики — это API дома, как мы договаривались ещё в уроке про устройство протокола, — и вот у этого API появились права на каждый адрес.

Дальше приём, который убирает девяносто процентов ручной работы: pattern readwrite home/%u/#. Строка с pattern применяется ко всем пользователям сразу, а %u подставляет логин. Условие из документации Mosquitto: подстановка занимает уровень топика целиком — склеить %u с чем-то ещё на том же уровне не выйдет, это отдельный уровень и есть. Логин pump получает home/pump/#, логин veranda — home/veranda/#: новая плата получает права одной строкой в password_file, ACL трогать не нужно. Право write без read удобно устройствам-публикаторам: датчик пишет в свою ветку, но чужих сообщений не слышит — меньше трафика и меньше поверхности для подстроенных команд. Мой шаблон — логин совпадает с clientId, правила имён были в уроке про паспорт устройства, — тогда логи брокера читаются как журнал: кто подключился и что опубликовал.

Проверяйте права руками, а не верой: mosquitto_pub с учётными данными платы в чужой топик должен ответить Not authorized — это и есть тест ACL в одну строку. Из скетча subscribe при отказе возвращает false: брокер шлёт SUBACK с кодом 0x80, и библиотека честно об этом говорит. Проверяйте возврат, иначе плата будет жить с подпиской, которой нет, — тем же белым списком, что и валидация команд в callback, только на стороне брокера.

Теперь формально — почему один пароль на всех, это не упрямство, а арифметика инцидентов. Первый счёт: смена пароля оборачивается перепрошивкой всего парка — моя экспедиция по восьми платам подтверждает. Второй: в логах брокера клиенты с одним логином неразличимы, и после инцидента вы не ответите на вопрос «кто это был». Третий и главный: права выдаются логину, значит у всех плат они одинаковые — макет племянника с тем же паролем мог щёлкать отоплением, хотя ему нужна была температура. Три счёта, один вывод: на каждую плату свой логин.

Моя граница применимости: две-три платы, все ваши руки, брокер в локалке за NAT — общий пароль терпим, учёт каждой платы себя не окупит. От пятого устройства, при любом госте и тем более при выносе брокера в интернет — per-device логин, права по pattern, пароли уникальные. Затраты — одна строка в password_file на устройство, а отзывается скомпрометированная плата удалением одной строки. И держите рядом текстовый файл паспортов: логин, плата, место установки, дата прошивки — тот же список, что вы заводите для clientId, просто с паролем в колонке больше.

Соберите стену из трёх этажей: TLS из прошлого урока прячет пароль в дороге, ACL ограничивает последствия кражи, per-device логин делает отзыв дешёвым. Каждый этаж по отдельности пробивается, вместе — уже нет. А чтобы почувствовать ACL без брокера, разберите модель ниже: монитор порта играет брокера с паролями и правами, а разбор строки работает как командный парсер из Serial — четыре слова через пробел, и видно, кто проходит, а кто упирается в матрицу прав.