Day-345-IoT 通信协议安全

# Day 362: IoT 通信协议安全 - MQTT/CoAP/ZigBee/蓝牙/5G 安全

> 物联网工控安全系列第 2 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [协议安全概述](#协议安全概述)
2. [MQTT 安全](#mqtt-安全)
3. [CoAP 安全](#coap-安全)
4. [ZigBee 安全](#zigbee-安全)
5. [蓝牙安全](#蓝牙安全)
6. [5G 安全](#5g-安全)
7. [安全最佳实践](#安全最佳实践)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 协议安全概述

### 协议分类

**应用层协议**：
```
MQTT:
- 发布/订阅模式
- 轻量级
- IoT 常用

CoAP:
- RESTful 风格
- UDP 传输
- 低功耗

HTTP/HTTPS:
- Web 标准
- 广泛支持
- 高开销
```

**网络层协议**：
```
6LoWPAN:
- IPv6 over LoWPAN
- 适配层
- 低功耗

RPL:
- 路由协议
- 低功耗
- 有损网络
```

**物理层协议**：
```
ZigBee:
- IEEE 802.15.4
- 网状网络
- 低功耗

蓝牙:
- 短距离
- 低功耗 BLE
- 广泛支持

LoRaWAN:
- 长距离
- 低功耗
- 广域网
```

### 安全威胁

**通用威胁**：
```
窃听攻击:
- 流量窃听
- 数据窃取
- 凭证泄露

篡改攻击:
- 数据篡改
- 消息篡改
- 协议篡改

重放攻击:
- 消息重放
- 会话重放
- 认证重放
```

**协议特有威胁**：
```
MQTT 威胁:
- 未授权发布
- 未授权订阅
- 主题注入

CoAP 威胁:
- DDoS 放大
- 资源耗尽
- 未授权访问

ZigBee 威胁:
- 密钥提取
- 网络入侵
- 设备克隆
```

---

## MQTT 安全

### MQTT 协议

**协议特点**：
```
发布/订阅:
- 解耦发布者和订阅者
- 一对多通信
- 主题过滤

轻量级:
- 小报文头
- 低带宽
- 低功耗

QoS 级别:
- QoS 0: 最多一次
- QoS 1: 至少一次
- QoS 2: 恰好一次
```

**架构组件**：
```
Broker:
- 消息代理
- 主题管理
- 客户端管理

Client:
- Publisher: 发布者
- Subscriber: 订阅者

Topic:
- 主题层次
- 通配符
- 权限控制
```

### MQTT 安全

**认证机制**：
```
用户名密码:
- 基本认证
- 明文传输
- 需要 TLS

客户端证书:
- X.509 证书
- 双向认证
- 高安全性

令牌认证:
- JWT 令牌
- OAuth 2.0
- 临时凭证
```

**授权机制**：
```
主题权限:
- 发布权限
- 订阅权限
- 通配符权限

ACL 配置:
- 访问控制列表
- 用户权限
- 角色权限
```

**传输安全**：
```
TLS/SSL:
- 加密传输
- 证书验证
- 端口 8883

安全配置:
- TLS 1.2+
- 强加密套件
- 证书验证
```

### MQTT 安全配置

**Broker 安全配置**：
```yaml
# Mosquitto 配置
listener 8883
cafile /etc/mosquitto/ca_certificates/ca.crt
certfile /etc/mosquitto/certs/server.crt
keyfile /etc/mosquitto/certs/server.key
require_certificate true

# ACL 配置
topic readwrite clients/%u/#
topic read public/#
```

**客户端安全配置**：
```python
# Python Paho MQTT 安全连接
import paho.mqtt.client as mqtt

client = mqtt.Client()
client.tls_set(
    ca_certs="ca.crt",
    certfile="client.crt",
    keyfile="client.key",
    tls_version=ssl.PROTOCOL_TLSv1_2
)
client.username_pw_set("username", "password")
client.connect("broker.example.com", 8883)
```

---

## CoAP 安全

### CoAP 协议

**协议特点**：
```
RESTful:
- GET/POST/PUT/DELETE
- 资源导向
- 状态码

UDP 传输:
- 低开销
- 快速传输
- 支持组播

低功耗:
- 小报文
- 低功耗
- 适合 IoT
```

**消息类型**：
```
Confirmable (CON):
- 需要确认
- 可靠传输

Non-confirmable (NON):
- 无需确认
- 不可靠传输

Acknowledgment (ACK):
- 确认消息
- 响应 CON

Reset (RST):
- 错误响应
- 拒绝消息
```

### CoAP 安全

**DTLS 安全**：
```
DTLS 模式:
- NoSec: 无安全
- PreSharedKey: 预共享密钥
- RawPublicKey: 原始公钥
- Certificate: 证书模式

安全配置:
- DTLS 1.2+
- 强加密套件
- 证书验证
```

**访问控制**：
```
ACE 框架:
- 认证授权
- 令牌管理
- 细粒度授权

OSCORE:
- 对象安全
- 端到端加密
- 代理友好
```

### CoAP 安全配置

**Libcoap 配置**：
```c
// DTLS 配置
coap_context_t *ctx = coap_new_context(NULL);
coap_dtls_set_context(ctx, dtls_context);

// 证书配置
coap_dtls_pki_t dtls_pki;
dtls_pki.verify_peer_cert = 1;
dtls_pki.client_sni = "coap.example.com";
```

**客户端安全**：
```python
# Python aiocoap 安全连接
import asyncio
from aiocoap import *

ctx = await Context.create_client_context(
    dtls=DTLSContext(
        client_side=True,
        certfile="client.crt",
        keyfile="client.key"
    )
)

request = Message(code=GET, uri="coaps://server.example.com/resource")
response = await ctx.request(request).response
```

---

## ZigBee 安全

### ZigBee 协议

**协议特点**：
```
网状网络:
- 自组网
- 自修复
- 多跳路由

低功耗:
- 电池供电
- 长寿命
- 休眠模式

安全机制:
- AES-128 加密
- 网络密钥
- 链路密钥
```

**网络架构**：
```
协调器:
- 网络创建
- 密钥管理
- 信任中心

路由器:
- 路由转发
- 设备接入
- 网络扩展

终端设备:
- 传感器
- 执行器
- 低功耗
```

### ZigBee 安全

**密钥管理**：
```
网络密钥:
- 网络加密
- 广播安全
- 定期更新

链路密钥:
- 设备间加密
- 单播安全
- 配对生成

主密钥:
- 密钥生成
- 安全存储
- 信任中心
```

**安全威胁**：
```
密钥攻击:
- 密钥提取
- 密钥破解
- 重放攻击

网络攻击:
- 网络入侵
- 设备克隆
- 路由攻击

物理攻击:
- 设备窃取
- 物理篡改
- 侧信道攻击
```

### ZigBee 安全配置

**网络配置**：
```python
# ZigBee 网络配置
network_config = {
    "network_key": generate_random_key(16),
    "pan_id": generate_pan_id(),
    "channel": 11,
    "security_level": 5  # 加密 + 完整性
}

# 设备配对
pairing_config = {
    "install_code": generate_install_code(),
    "link_key": derive_link_key(),
    "trust_center": "central"
}
```

---

## 蓝牙安全

### 蓝牙协议

**蓝牙版本**：
```
经典蓝牙:
- 蓝牙 2.0/3.0
- 高带宽
- 音频传输

低功耗蓝牙:
- 蓝牙 4.0/5.0
- BLE
- 低功耗
```

**架构组件**：
```
GATT:
- 服务
- 特征
- 描述符

ATT:
- 属性协议
- 读写操作
- 通知指示

SM:
- 安全管理
- 配对绑定
- 密钥分发
```

### 蓝牙安全

**配对安全**：
```
配对模式:
- Just Works: 无保护
- Passkey Entry: 密码输入
- OOB: 带外配对
- LE Secure Connections: 安全连接

密钥生成:
- LTK: 长期密钥
- IRK: 身份解析密钥
- CSRK: 签名密钥
```

**安全威胁**：
```
配对攻击:
- 中间人攻击
- 暴力破解
- 重放攻击

隐私攻击:
- 设备追踪
- 地址泄露
- 身份泄露

协议攻击:
- 蓝调攻击
- 蓝劫攻击
- 密钥协商攻击
```

### 蓝牙安全配置

**安全配置**：
```python
# BLE 安全配置
ble_config = {
    "io_capability": "KEYBOARD_DISPLAY",
    "mitm": True,
    "bonding": True,
    "secure_connections": True,
    "oob": False
}

# GATT 权限配置
gatt_permissions = {
    "read": "encrypted",
    "write": "authenticated",
    "notify": "encrypted"
}
```

---

## 5G 安全

### 5G 架构

**网络架构**：
```
核心网:
- 5GC (5G Core)
- 网络切片
- 边缘计算

接入网:
- gNB (5G 基站)
- 大规模 MIMO
- 毫米波

用户设备:
- 5G 终端
- IoT 设备
- CPE 设备
```

**网络切片**：
```
切片类型:
- eMBB: 增强移动宽带
- URLLC: 超可靠低延迟
- mMTC: 大规模机器通信

切片安全:
- 切片隔离
- 切片认证
- 切片授权
```

### 5G 安全

**认证安全**：
```
5G-AKA:
- 5G 认证密钥协商
- 双向认证
- 密钥派生

EAP-AKA':
- 可扩展认证
- 3GPP 标准
- 漫游支持

切片认证:
- 切片选择
- 切片认证
- 切片授权
```

**隐私保护**：
```
SUPI 保护:
- 用户永久标识符
- SUCI 加密
- 防止追踪

位置隐私:
- 位置隐藏
- 临时标识
- 防止追踪
```

### 5G 安全配置

**网络配置**：
```yaml
# 5G 安全配置
security_config:
  authentication:
    method: "5G-AKA"
    algorithm: "Milenage"
  
  encryption:
    algorithm: "128-NEA1"
    key_length: 128
  
  integrity:
    algorithm: "128-NIA1"
    key_length: 128
```

---

## 安全最佳实践

### 协议选择

**选择原则**：
```
安全优先:
- 选择安全协议
- 启用加密
- 启用认证

场景匹配:
- 低功耗场景
- 高带宽场景
- 长距离场景
```

**配置最佳实践**：
```
加密配置:
- TLS 1.2+
- 强加密套件
- 证书验证

认证配置:
- 双向认证
- 强密码
- 定期轮换
```

### 安全监控

**协议监控**：
```
流量监控:
- 协议分析
- 异常检测
- 威胁检测

安全监控:
- 认证失败
- 未授权访问
- 异常行为
```

**安全测试**：
```
渗透测试:
- 协议 fuzzing
- 漏洞扫描
- 安全评估

合规测试:
- 标准合规
- 安全合规
- 行业合规
```

---

## 总结与思考

### 核心要点回顾

1. **协议概述**：协议分类、安全威胁
2. **MQTT 安全**：认证授权、传输安全、配置
3. **CoAP 安全**：DTLS 安全、访问控制、配置
4. **ZigBee 安全**：密钥管理、安全威胁、配置
5. **蓝牙安全**：配对安全、安全威胁、配置
6. **5G 安全**：网络架构、认证安全、隐私保护

### 深入思考

**安全挑战**：
- 协议多样性
- 资源限制
- 标准缺失

**发展趋势**：
- 协议融合
- 安全增强
- 标准化

### 最佳实践

**设计**：
- 安全协议
- 加密认证
- 最小权限

**实施**：
- 安全配置
- 持续监控
- 持续改进

---

## 参考资料

### 学习资源

- **IoT Protocols**: https://www.oreilly.com/library/view/internet-of-things/9781492056492/
- **MQTT Security**: https://mqtt.org/documentation/
- **OWASP IoT**: https://owasp.org/www-project-internet-of-things/

### 工具资源

- **Mosquitto**: https://mosquitto.org
- **Libcoap**: https://libcoap.net
- **Wireshark**: https://www.wireshark.org

---

*Day 362 完成 | IoT 通信协议安全详解 | 字数：约 15,000 字*