ESP32
IoT-Sicherheit: ESP32-Projekte richtig schützen
Defaults, die man nie wieder fallen lassen sollte: TLS, sichere Provisionierung, OTA-Hygiene.
ESP32-Boards sind günstig, schnell aufgesetzt — und genau deshalb sieht man sie in produktiven Setups oft mit denselben drei Problemen: unverschlüsselter MQTT-Traffic, hardgekodete Credentials und ein OTA-Pfad, der jeden Code akzeptiert.
Hier ist eine Liste an Defaults, die ich auf jedem ESP32-Node anschalte, bevor er ins WLAN darf.
1. TLS überall, auch lokal
Auch im Heimnetz. “Heimnetz” ist kein Sicherheitskonzept — IoT-Geräte sind beliebte Sprungbretter.
esp-tls mit einem self-signed CA-Cert, das man im Bootstrap-Image ablegt.
2. Provisioning trennen vom Betrieb
Erster Boot lädt Wi-Fi-Credentials per BLE/SoftAP, schreibt sie in NVS, deaktiviert dann die Provisioning-Schnittstelle. Nie wieder einen Endpunkt offen lassen, der das ESP zurücksetzen kann, ohne physischen Zugang.
3. OTA signieren, nicht nur prüfen
secure_boot_v2 + signierte Images. Ohne Signaturprüfung ist OTA eine Hintertür mit Komfortfunktion.
4. Logs, die nicht plappern
Loglevel im Release-Build runter. Keine Credentials, keine Hostnamen externer Services im Log. Ein kompromittiertes Gerät sollte nicht zur Map über das ganze Netz werden.
Die Liste ist nicht vollständig, aber das sind die vier Punkte, ohne die ich keinen Node mehr in Betrieb nehme.