主页 / coding / 问题 / 79290534
Accepted
SzalonyKefir98
Asked: 2024-12-18 17:03:45 +0800 CST

ESP32 TLS 证书更新

  • 772

我的公司将在其设备中使用 ESP32。我必须编写允许从 HTTPS 服务器下载 ESP32 OTA 更新的代码。TLS 服务器的根证书每年过期一次。我的问题是：如果证书已过期，我如何安全地从服务器下载新证书？如果证书过期，我将失去对 ESP 的远程控制，无法向其上传新文件。例如，据我所知，Chrome 或 Firefox 等 Web 浏览器会更新其 CA 存储，而用户甚至不会注意到这一点。是否可以在 ESP32 上实现该功能？

我唯一的想法是连接到第二个使用 HTTP 而非 HTTPS 的网站，然后下载新证书。但我必须一直使用 TLS，所以这个解决方案是不可接受的。我是网络技术的新手，非常感谢您的帮助和提示！

ssl

1 个回答

  1. Best Answer

    您确定服务器使用的是根证书，而不是某个中间证书吗？浏览器和嵌入式设备之间的区别在于，无论您当前的版本有多旧，您仍然可以使用简单的离线安装程序更新浏览器。对于嵌入式设备，OTA 服务器是唯一的生命线 - 如果设备无法与服务器通信，则无法更新。它会变成僵尸，只能通过电缆进行更新，这通常是不可行的。

    如果您的嵌入式设备的 OTA 依赖于具有 1 年根证书的 PKI，我会说您处境不好。这要求每个设备在前一个根证书轮换之前无一例外地更新其根证书，任何留下的设备都是僵尸。如果您确定可以在截止日期之前更新所有设备，请继续这样做。注意那些几个月没有互联网访问的设备（例如，因为它们放在仓库里）。

    以下是我按照个人偏好顺序列出的解决方案：

    1. 创建一个嵌入式 PKI，其根证书有效期为 50 年。使用中间证书（由根证书签名）保护所有 Web 资产 - 这些证书可以随时轮换。每台设备都有 50 年的根证书，并且可以验证任何中间证书，无论这些证书轮换的频率如何。请注意，如果需要，您仍然可以通过 OTA 轮换根证书，只是在更受控制的情况下才会轮换。
    2. 否则，创建一个并行 PKI，其根证书有效期为 50 年。然后使用它来更新 OTA 证书，使用任何可用的方法（即使通过短信发送也是一种选择，只要您可以使用根证书验证传入的内容）。这很愚蠢，但您为错过最后期限的设备保留了一些备用生命线。
    3. 放弃安全性并接受错过轮换期限的设备无需任何验证即可更新其证书。

    你可以用任意数字 X 替换 50 年，如果：

    • 您设备群中的每台设备都保证在 X 年后获得 OTA 更新
    • 您愿意考虑永久丢失所有 X 年内未上网的设备

    我一直在努力寻找有关 X.509 证书和链的优质参考资料（谷歌搜索结果中 90% 都是浅显的销售文章）。我可以向您推荐一篇文章《图解 X.509 证书》和维基百科页面

    • 1

相关问题