[MQTT] ドメイン名と異なるCNが設定されたサーバ証明書で、通信が可能かどうかを検証してみました

Client → Server: ClientHello (SNI: mqtt.example.com)
Server → Client: Certificate for mqtt.example.com

Client → Server: ClientHello (SNI: mqtt.local)
Server → Client: Certificate for mqtt.local

# ホスト名解決の設定
echo "127.0.0.1 mqtt.example.com" | sudo tee -a /etc/hosts

# 必要なソフトウェア
- Docker & Docker Compose
- Python 3 & paho-mqtt ライブラリ
- OpenSSL（証明書操作用）

import paho.mqtt.client as mqtt
import ssl

# SSL設定のカスタマイズ
ssl_context = ssl.create_default_context()
ssl_context.check_hostname = CHECK_HOSTNAME  # ホスト名検証の制御
ssl_context.verify_mode = ssl.CERT_REQUIRED  # 証明書検証は有効
ssl_context.load_verify_locations(cafile=CA_FILE)  # CA証明書の指定

cd verification_1
chmod +x ./generate_ca_and_cert.sh
./generate_ca_and_cert.sh

certs/ca1/
├── ca.crt          # CA1の証明書
├── ca.key          # CA1の秘密鍵
├── server.crt      # サーバー証明書（CN=mqtt.local）
└── server.key      # サーバーの秘密鍵

docker build -t mqtt-server .
docker run --rm --name mqtt-server -p 8883:8883 mqtt-server

port 8883
cafile /mosquitto/config/ca.crt
certfile /mosquitto/config/server.crt
keyfile /mosquitto/config/server.key
tls_version tlsv1.2

# ターミナル1: Subscriber
python3 subscribe.py
# 出力: Connecting to mqtt.example.com:8883
#       Connected successfully
#       Subscribed to test/topic

# ターミナル2: Publisher
python3 publish.py
# 出力: Connected successfully
#       Message published (mid: 1)

# ホスト名検証を無効化する場合は、Falseである必要がある
CHECK_HOSTNAME = False
ssl_context.check_hostname = CHECK_HOSTNAME  

cd verification_2
chmod +x ./generate_ca_and_cert.sh
./generate_ca_and_cert.sh

certs/
├── ca1/
│   ├── ca.crt          # CA1の証明書
│   ├── server.crt      # CN=mqtt.local
│   └── server.key
└── ca2/
    ├── ca.crt          # CA2の証明書
    ├── server.crt      # CN=mqtt.example.com
    └── server.key

stream {
    upstream mqtt_backend {
        server mosquitto:1883;
    }

    # mqtt.local用のサーバーブロック
    server {
        listen 8883 ssl;
        server_name mqtt.local;

        ssl_certificate /etc/nginx/ssl/ca1/server.crt;
        ssl_certificate_key /etc/nginx/ssl/ca1/server.key;

        proxy_pass mqtt_backend;
    }

    # mqtt.example.com用のサーバーブロック
    server {
        listen 8883 ssl;
        server_name mqtt.example.com;

        ssl_certificate /etc/nginx/ssl/ca2/server.crt;
        ssl_certificate_key /etc/nginx/ssl/ca2/server.key;

        proxy_pass mqtt_backend;
    }
}

docker compose up -d

% docker compose up -d
[+] Running 0/1
 ⠋ Network verification_2_mqtt-network  Creating   0.1s
[+] Running 3/3d orphan containers ([haproxy-sni]) for this project. If you removed or renamed this service in your comp ✔ Network verification_2_mqtt-network  Created  0.1s
 ✔ Container mosquitto                  Started   0.2s
 ✔ Container nginx-sni                  Started   0.4s

# mqtt.example.com用の証明書取得（CA2証明書が返される）
openssl s_client -connect mqtt.example.com:8883 -servername mqtt.example.com < /dev/null 2>/dev/null | openssl x509 -text
# Subject: C=JP, ST=Tokyo, L=Tokyo, O=Test, OU=MQTT, CN=mqtt.example.com

# mqtt.local用の証明書取得（CA1証明書が返される）
openssl s_client -connect mqtt.example.com:8883 -servername mqtt.local < /dev/null 2>/dev/null | openssl x509 -text  
# Subject: C=JP, ST=Tokyo, L=Tokyo, O=Test, OU=MQTT, CN=mqtt.local

# SNIでmqtt.localの証明書をダウンロード
echo | openssl s_client -connect mqtt.example.com:8883 -servername mqtt.local 2>/dev/null | openssl x509 -out tmp.crt

# CA1による署名検証（成功する）
openssl verify -CAfile certs/ca1/ca.crt tmp.crt
# tmp.crt: OK

# CA2による署名検証（失敗する）
openssl verify -CAfile certs/ca2/ca.crt tmp.crt
# error 20 at 0 depth lookup: unable to get local issuer certificate

# ターミナル1: Subscriber
python3 subscribe.py
# 出力: Connecting to mqtt.example.com:8883
#       Connected successfully
#       Subscribed to test/topic

# ターミナル2: Publisher
python3 publish.py
# 出力: Connected successfully
#       Message published (mid: 1)

# ホスト名検証を無効化する場合は、Falseである必要がある
CHECK_HOSTNAME = True
ssl_context.check_hostname = CHECK_HOSTNAME  

SNI_HOSTNAME = "mqtt.local"
# SSLソケットをカスタマイズ
original_wrap_socket = ssl_context.wrap_socket
ssl_context.wrap_socket = lambda sock, **kwargs: original_wrap_socket(
    sock, server_hostname=SNI_HOSTNAME  # SNIホスト名を指定
)