野外ESP32 IoT设备过期根CA证书的可行解决方案咨询

可行性结论 #

完全可行。核心逻辑是：设备内置的过期DST Root CA X3仍可验证被它交叉签名的ISRG Root X1证书链，只要搭建的服务器使用这类兼容证书，就能让旧设备建立HTTPS连接，完成包含新根CA的固件升级。

具体操作步骤 #

1. 准备可控服务器与域名 #

• 部署一台带公网IP的服务器，绑定一个自定义域名（如ota.yourdomain.com）
• 在服务器上搭建Web服务（Nginx/Apache均可），确保能对外提供固件文件的下载服务

2. 获取兼容旧根CA的SSL证书 #

• 申请Let's Encrypt的交叉签名证书：这类证书由ISRG Root X1签发，同时附带DST Root CA X3的交叉签名，能被旧设备的过期根CA验证
• 用acme.sh工具申请的示例命令：

  acme.sh --issue -d ota.yourdomain.com --webroot /var/www/ota --server letsencrypt --keylength ec-256
  

• 验证证书有效性：使用设备内置的DST Root CA X3证书测试连接，执行命令：

  openssl s_client -connect ota.yourdomain.com:443 -CAfile dst_root_ca_x3.pem
  

  若输出Verify return code: 0 (ok)，说明证书链兼容旧根CA

3. 配置服务器HTTPS服务 #

• 以Nginx为例，修改配置文件，指定完整证书链（fullchain.pem）和私钥：

  server {
      listen 443 ssl;
      server_name ota.yourdomain.com;
      ssl_certificate /path/to/fullchain.pem;
      ssl_certificate_key /path/to/privkey.pem;
      ssl_protocols TLSv1.2 TLSv1.3;
      location /ota/ {
          root /var/www;
          index firmware.bin;
      }
  }
  

• 重启Nginx服务，确保HTTPS配置生效

4. 制作带新根CA的OTA固件 #

• 在ESP-IDF项目中，替换根CA证书为当前有效的ISRG Root X1证书（或其他主流可信根CA）
• 编译生成新的固件.bin文件，上传到服务器的Web目录（如/var/www/ota/firmware.bin）

5. 触发设备OTA更新 #

• 确保设备的OTA逻辑指向新服务器的固件下载地址（如https://ota.yourdomain.com/ota/firmware.bin）
• 设备发起HTTPS请求时，会通过内置的DST Root CA X3验证服务器证书，成功建立连接后下载并升级固件
• 升级完成后，设备将使用新的根CA证书，后续可正常连接使用标准可信证书的服务器

内容的提问来源于stack exchange，提问作者Felix