4. MQTT数据加密与完整性：从Payload加密到端到端实战

MQTT协议本身只负责把消息从A点搬到B点，至于消息里装的是什么、有没有被人动过手脚，它一概不管。说白了，MQTT的传输层加密（TLS）只能保证数据在“路上”是安全的，但到了Broker那里，数据就是明文了。如果你连Broker都不信任，或者你的业务场景要求设备与设备之间直接保密通信，那就必须自己动手做端到端加密。

这一章，我们就来聊聊怎么给MQTT的Payload穿上铠甲，再贴上防拆封条。

4.1 Payload加密方案设计

先想一个问题：加密之后的消息，Broker还能不能路由？答案是：能。因为MQTT的Topic是明文传输的，Broker只看Topic，不看Payload。所以，我们只加密Payload，不动Topic，这样既保证了业务数据的机密性，又不破坏MQTT的发布/订阅模型。

4.1.1 对称加密 vs 非对称加密

我个人习惯在IoT场景下优先用对称加密。为什么？因为设备端的算力有限，非对称加密的握手和加解密开销太大了。你想想看，一个温度传感器每隔几秒发一条数据，每次都用RSA加密，电池很快就扛不住了。

特性	对称加密（AES）	非对称加密（RSA/ECC）
加解密速度	快（硬件加速友好）	慢（计算密集型）
密钥管理	共享密钥，分发困难	公钥公开，私钥自持
适用场景	大量数据加密	密钥交换、数字签名
典型算法	AES-256-GCM	ECDSA、Ed25519

实际项目中，我通常采用“混合方案”：用非对称加密来交换对称密钥，后续通信全部用AES-GCM。这样既解决了密钥分发的难题，又保证了加解密性能。

4.1.2 加密模式选择：GCM是首选

为什么推荐GCM（Galois/Counter Mode）？因为它同时提供了机密性和完整性校验。你不需要再额外算一个HMAC，GCM的认证标签（Authentication Tag）已经帮你做了这件事。

我曾经在一个项目中看到有人用AES-ECB模式加密MQTT消息，结果因为ECB模式对相同明文块会产生相同密文块，攻击者通过观察密文模式就能推断出设备的状态变化。嗯，这显然是不安全的。

4.1.3 Payload加密的典型流程

1. 密钥协商：设备与接收方通过预置密钥或密钥交换协议（如ECDH）协商出共享密钥。
2. 加密：发送方用共享密钥和随机IV对Payload进行AES-GCM加密，得到密文和认证标签。
3. 封装：将IV、密文、认证标签打包成一个新的Payload（通常用JSON或二进制格式）。
4. 发布：将封装后的数据通过MQTT发布到指定Topic。
5. 解密：接收方从Payload中解析出IV、密文和认证标签，用共享密钥解密并验证完整性。

4.2 消息签名与验签

加密解决了“别人看不懂”的问题，但没解决“消息是谁发的”这个问题。攻击者虽然看不懂密文，但他可以重放一段旧的密文，或者篡改Topic来误导接收方。这时候就需要数字签名了。

4.2.1 签名 vs MAC

这里有个容易混淆的概念：消息认证码（MAC）和数字签名。MAC用的是对称密钥，签名用的是非对称密钥。在MQTT场景下，我建议用数字签名，因为设备的私钥可以唯一标识设备身份，而MAC的共享密钥一旦泄露，所有设备都得跟着遭殃。

特性	HMAC（对称）	数字签名（非对称）
密钥类型	共享密钥	私钥签名，公钥验签
抗抵赖性	无（双方都能生成MAC）	有（只有私钥持有者能签名）
计算开销	低	较高
推荐算法	HMAC-SHA256	ECDSA with P-256

4.2.2 签名流程设计

我建议对“明文+时间戳”进行签名，而不是对密文签名。为什么？因为接收方可以先验签，确认消息来源和时效性，再解密。如果签名验证失败，直接丢弃，省去了解密开销。

// 伪代码：签名流程
payload = "{\"temp\":25.5,\"hum\":60}"
timestamp = 1712345678
message_to_sign = payload + "|" + timestamp
signature = ecdsa_sign(private_key, message_to_sign)

// 发布到MQTT
mqtt_publish("sensor/temp", {
    "payload": base64(payload),
    "timestamp": timestamp,
    "signature": base64(signature)
})

// 伪代码：验签流程
received = mqtt_receive("sensor/temp")
payload = base64_decode(received.payload)
timestamp = received.timestamp
signature = base64_decode(received.signature)

message_to_verify = payload + "|" + timestamp
if ecdsa_verify(device_public_key, message_to_verify, signature):
    // 验签通过，处理数据
    process(payload)
else:
    // 验签失败，丢弃
    discard()

4.3 端到端加密实战

前面讲的都是单点加密和签名，但真正的端到端加密（E2EE）要解决一个更棘手的问题：密钥怎么安全地分发到每个设备上？

4.3.1 密钥分发方案

在MQTT场景下，我推荐两种方案：

• 预置密钥：设备出厂时烧录公钥/私钥对，公钥注册到密钥管理服务器。设备之间通信时，通过密钥服务器查询对方的公钥。
• 动态密钥交换：使用ECDH协议，设备之间通过MQTT交换临时公钥，协商出会话密钥。协商过程可以用签名来防止中间人攻击。

我个人更倾向于预置密钥方案，因为IoT设备通常没有良好的用户交互界面，动态密钥交换的流程太复杂，容易出错。

4.3.2 端到端加密的完整架构

下面这张图展示了端到端加密在MQTT中的完整数据流：

4.3.3 实战代码片段（Python示例）

下面是一个完整的端到端加密发布/订阅示例，使用paho-mqtt和cryptography库：

from cryptography.hazmat.primitives.ciphers.aead import AESGCM
from cryptography.hazmat.primitives import hashes, serialization
from cryptography.hazmat.primitives.asymmetric import ec
import paho.mqtt.client as mqtt
import json, os, time, base64

# 发送端：加密并发布
def publish_encrypted(client, topic, payload, peer_public_key, device_private_key):
    # 1. 生成随机IV
    iv = os.urandom(12)
    
    # 2. 用对端公钥加密对称密钥（这里简化，实际用ECDH协商）
    # 实际项目中，这里应该用ECDH协商出共享密钥
    shared_key = os.urandom(32)  # 简化演示
    
    # 3. AES-GCM加密
    aesgcm = AESGCM(shared_key)
    timestamp = int(time.time())
    plaintext = json.dumps(payload).encode() + str(timestamp).encode()
    ciphertext = aesgcm.encrypt(iv, plaintext, None)
    
    # 4. 签名
    signature = device_private_key.sign(
        ciphertext + iv,
        ec.ECDSA(hashes.SHA256())
    )
    
    # 5. 封装并发布
    msg = {
        "iv": base64.b64encode(iv).decode(),
        "cipher": base64.b64encode(ciphertext).decode(),
        "sig": base64.b64encode(signature).decode(),
        "ts": timestamp
    }
    client.publish(topic, json.dumps(msg))

# 接收端：接收并解密
def on_message(client, userdata, msg):
    data = json.loads(msg.payload)
    iv = base64.b64decode(data["iv"])
    ciphertext = base64.b64decode(data["cipher"])
    signature = base64.b64decode(data["sig"])
    timestamp = data["ts"]
    
    # 1. 验签
    try:
        peer_public_key.verify(
            signature,
            ciphertext + iv,
            ec.ECDSA(hashes.SHA256())
        )
    except:
        print("签名验证失败，丢弃消息")
        return
    
    # 2. 检查时间戳
    if abs(time.time() - timestamp) > 5:
        print("消息过期，丢弃")
        return
    
    # 3. 解密
    aesgcm = AESGCM(shared_key)
    plaintext = aesgcm.decrypt(iv, ciphertext, None)
    print("解密成功:", plaintext.decode())

4.4 本章小结

MQTT的Payload加密和完整性保护，说白了就是两件事：让不该看的人看不懂，让不该改的人改不了。AES-GCM一把梭，既加密又校验完整性，省心省力。数字签名用ECDSA，轻量且安全。端到端加密的关键在于密钥管理，预置密钥方案在IoT场景下最实用。

嗯，这一章的内容就到这里。记住，加密不是银弹，但不用加密，你的MQTT系统就像没锁门的房子——谁都能进来看一眼。