Как предоставить пользовательский пакет TLS CACert с Arduino на ESP32?

Как использовать CA Cert Bundle в Arduino ESP32?

Процесс использования setCACertBundle() ESP32 описан в файле README.md библиотеки Arduino из библиотеки WiFiClientSecure для платформы Arduino ESP32 версии 2.x. По какой-то причине в версии 3.x, когда библиотека WiFiCleintSecure была преобразована в библиотеку NetworkClientSecure, это сократилось до простого расплывчатого абзаца README.md. В последнее время Espressif любит это делать и иногда нарушает обратную совместимость или удаляет что-то полезное из своего Github без объяснения причин.

Создать пакет сертификатов CA

Чтобы использовать пакет сертификатов, сначала необходимо сгенерировать его. Вы можете сгенерировать его самостоятельно или получить сертификаты CA, извлеченные из Mozilla, по ссылке здесь. Загружаемое хранилище сертификатов CA Mozilla cacert.pem имеет формат PEM и занимает около 200 КБ в несжатом виде.

В Esp-idf есть утилита Python для генерации двоичной версии пакета CA, размер которой составляет всего около 64 КБ. Загрузите gen_crt_bundle.py (возможно, вам потребуется установить пакет Python cryptography с помощью pip3 install cryptography перед запуском скрипта Python).

Запустите скрипт Python с помощью следующей командной строки для создания двоичного файла:

python3 gen_crt_bundle.py -i cacert.pem

Это должно создать файл с именем x509_crt_bundle, создайте каталог в каталоге проекта и переместите созданный пакет в этот каталог.

mkdir data data/cert
mv x509_crt_bundle data/cert/

Настройка PlatformIO

Код, который я собираюсь показать, работает для PlatformIO, но не работает в Arduino IDE (я не знаю, почему, и на самом деле я сейчас не очень-то использую Arduino IDE, поэтому я не тратил время на то, чтобы выяснить, почему).

Предполагается, что у вас установлен PlatfromIO и создан проект Arduino. Добавьте флаг сборки в platformio.ini:

[env:esp32dev]
platform = espressif32
board = esp32dev
framework = arduino
board_build.embed_files = data/cert/x509_crt_bundle
monitor_speed = 115200

Вызовите setCACertBundle() перед установлением безопасного соединения

Код для использования setCACertBundle() на самом деле довольно прост и похож на пример использования WiFiClientSecure, только с двумя отличиями:

1. добавьте extern const uint8_t rootca_crt_bundle_start[] asm("_binary_data_cert_x509_crt_bundle_bin_start"); в свой скетч;
2. вызовите client.setCACertBundle(rootca_crt_bundle_start); перед установлением клиентского соединения.

Вот полный пример наброска, который я использовал для тестирования. Он обращается к тестовому сайту httpbin.org (вы можете попробовать другие сайты), а сервер httpbin возвращает ответ в формате JSON.

#include <WiFiClientSecure.h>

const char* ssid     = "wifi ssid";
const char* password = "wifi password";

const char*  server = "httpbin.org";

extern const uint8_t rootca_crt_bundle_start[] asm("_binary_data_cert_x509_crt_bundle_bin_start");

WiFiClientSecure client;

void setup() {
  Serial.begin(115200);
  delay(100);

  Serial.print("Connecting to SSID: ");
  Serial.println(ssid);
  WiFi.begin(ssid, password);

  while (WiFi.status() != WL_CONNECTED) {
    Serial.print(".");
    delay(1000);
  }
  Serial.println("Connected");

  // client.setCACert(ISRG_Root_X1_CA);
  client.setCACertBundle(rootca_crt_bundle_start);
  // client.setCertificate(test_client_cert); // for client verification
  // client.setPrivateKey(test_client_key);  // for client verification

  Serial.println("\nStarting connection to server...");
  if (!client.connect(server, 443))
    Serial.println("Connection failed!");
  else {
    Serial.println("Connected to server!");
    // Make a HTTP request:
    client.printf("GET https://%s/get HTTP/1.1\n", server);
    client.printf("Host: %s\n", server);
    client.println("Connection: close");
    client.println();

    while (client.connected()) {
      String line = client.readStringUntil('\n');
      if (line == "\r") {
        Serial.println("headers received");
        break;
      }
    }
    // read the response body
    while (client.available()) {
      char c = client.read();
      Serial.write(c);
    }

    client.stop();
  }
}

void loop() {
  // do nothing
}

На снимке экрана показана общая структура каталогов настройки platformIO, а также ответ, полученный от тестового сервера (httpbin.org).

Для справки, вот системные настройки моего PlatformIO, показываемые во время компиляции.

PLATFORM: Espressif 32 (6.9.0) > Espressif ESP32 Dev Module
HARDWARE: ESP32 240MHz, 320KB RAM, 4MB Flash
DEBUG: Current (cmsis-dap) External (cmsis-dap, esp-bridge, esp-prog, iot-bus-jtag, jlink, minimodule, olimex-arm-usb-ocd, olimex-arm-usb-ocd-h, olimex-arm-usb-tiny-h, olimex-jtag-tiny, tumpa)
PACKAGES: 
 - framework-arduinoespressif32 @ 3.20017.0 (2.0.17) 
 - tool-esptoolpy @ 1.40501.0 (4.5.1) 
 - tool-mkfatfs @ 2.0.1 
 - tool-mklittlefs @ 1.203.210628 (2.3) 
 - tool-mkspiffs @ 2.230.0 (2.30) 
 - toolchain-xtensa-esp32 @ 8.4.0+2021r2-patch5