Traducido del English por IA ·
El año pasado revisé un diseño similar para un contratista, así que aquí está el razonamiento para el informe.Separa lo público de lo secreto. El paquete CA es público; el certificado del servidor es público y se verifica con un paquete CA normal, por lo que guardarlo en la tarjeta no es problema. La contraseña de WiFi y el token del dispositivo son secretos, ya que identifican exactamente a este dispositivo.Los secretos en medios extraíbles fallan por dos motivos: quitar la tarjeta no deja ningún rastro, y la tarjeta suele copiarse en otras placas («clona la tarjeta sin más»), así que varios dispositivos comparten una misma credencial. Hermetry permite una sola sesión por dispositivo; dos placas con el mismo token se expulsarían constantemente entre sí, y verías una toma de control en la pestaña Log del dispositivo.Sobre X.509: para tus propias placas no está disponible. Los certificados de cliente deben provenir de la autoridad de certificación de dispositivos de Hermetry, y no se ofrece subir tu propia CA para dispositivos de terceros; esa vía es para dispositivos licenciados que generan su clave y envían ellos mismos una CSR. Tu ESP32 usa un token de acceso o MQTT basic.Lo que haría en un ESP32:1. El mismo binario para cada placa es aceptable. Guarda el token en NVS durante el aprovisionamiento (un pequeño comando serie en el primer arranque), no en la tarjeta.2. Activa el cifrado de flash y el cifrado de NVS, para que un volcado de la flash no revele el token.3. La tarjeta solo para el registro de datos y el paquete CA.4. En Hermetry, un dispositivo y un token por placa; rota el secreto si una placa se pierde. Eso termina sus sesiones de inmediato.La limitación de certificados está en la última sección de Device certificates.
Did a review of a similar design for a contractor last year, so here’s the reasoning for the report.
Separate public stuff from secret stuff. The CA bundle is public; the server certificate is a public one and you verify it with a normal CA bundle, so keeping that on the card is fine. WiFi password and the device token are secrets, they identify this exact device.
Secrets on removable media fail on two counts: removing them leaves no trace, and the card usually gets copied into other boards («just clone the card»), and then you have several devices sharing one credential. Hermetry allows one session per device, so two boards with the same token keep kicking each other off, and you’d see takeover in the device’s Log tab.
On X.509: for your own boards it’s not available. Client certificates must come from Hermetry’s device certificate authority, and uploading your own CA for third-party devices is not offered; that path is for licensed devices that generate their key and send a CSR themselves. Your ESP32 uses an access token or MQTT basic.
What I’d do on an ESP32:
1. Same binary for every board is fine. Put the token in NVS at provisioning (a small serial command on first boot), not on the card.
2. Turn on flash encryption and NVS encryption, so a flash dump does not give up the token.
3. Card only for data logging and the CA bundle.
4. In Hermetry, one device and one token per board; rotate the secret if a board goes missing. That ends its sessions at once.
The certificate limitation is on Device certificates, last section.