ESP32如何获取唯一的设备ID？

Question

在ESP32开发中，如何获取唯一设备ID是常见需求，尤其用于设备识别、激活认证或数据绑定。许多开发者误以为Arduino框架中的`ESP.getChipId()`就是唯一标识，但实际上它仅返回芯片的MAC地址部分转换而来的数值，存在重复风险。此外，不同模块厂商可能存在MAC地址分配不均问题。更可靠的方式是结合ESP32固有的96位EFUSE MAC地址（如通过`esp_efuse_read_mac()`获取）或使用安全功能区生成带签名的唯一ID。然而，如何确保该ID在固件升级或多系统共存时不发生变化，并防止被篡改，成为实际应用中的技术难点。因此，如何正确读取并安全地使用ESP32的唯一ID，是开发者必须掌握的核心技能之一。

Answer 1

一、ESP32唯一设备ID的获取：基础概念与常见误区

在物联网（IoT）系统中，设备唯一标识（Unique Device ID, UID）是实现设备认证、数据绑定和远程管理的核心要素。ESP32作为广泛应用的Wi-Fi/BLE双模芯片，其唯一ID的正确获取至关重要。

许多开发者在Arduino框架下习惯使用ESP.getChipId()来获取设备ID，但该函数返回的是基于MAC地址低32位转换而来的数值，并非真正唯一的标识符。例如：

uint32_t chipId = ESP.getChipId();
Serial.printf("Chip ID: %08X\n", chipId);

这种做法存在明显缺陷：不同厂商可能重复分配MAC地址段，且同一产线的模块可能存在MAC冲突风险，导致getChipId()返回值重复。

二、深入理解ESP32的硬件级唯一标识机制

ESP32芯片内置EFUSE区域，其中包含一个出厂烧录的96位IEEE EUI-48或EUI-64格式MAC地址，存储于EFUSE_BLOCK1中，具有不可更改性（除非物理损坏）。可通过官方ESP-IDF提供的API读取：

#include "esp_efuse.h"
#include "esp_wifi.h"

uint8_t mac_addr[6];
esp_efuse_read_mac(mac_addr, ESP_EFUSE_MAC_FACTORY);
printf("Factory MAC: %02X:%02X:%02X:%02X:%02X:%02X\n",
       mac_addr[0], mac_addr[1], mac_addr[2],
       mac_addr[3], mac_addr[4], mac_addr[5]);

此MAC地址由Espressif统一分发，全球唯一性高，适合作为基础UID来源。

三、构建安全且持久的唯一设备ID方案

为防止ID被伪造或篡改，建议结合硬件MAC与安全签名机制生成复合型UID。ESP32-PICO-D4等型号支持安全启动与Flash加密，可利用Secure Boot + Digital Signature生成带签名校验的UID。

流程如下（Mermaid流程图）：

graph TD
            A[上电初始化] --> B{是否首次启动?}
            B -- 是 --> C[读取EFUSE MAC]
            C --> D[使用私钥对MAC进行签名]
            D --> E[将MAC+Signature写入NVS分区]
            E --> F[发布UID]
            B -- 否 --> G[从NVS读取已存UID与Signature]
            G --> H[验证签名有效性]
            H -- 有效 --> I[返回UID]
            H -- 无效 --> J[触发安全告警/锁定设备]

四、多系统共存与固件升级下的ID持久化策略

在OTA升级或多RTOS共存场景中，需确保UID不因固件重刷而丢失。推荐使用Non-Volatile Storage（NVS）分区存储派生UID，而非依赖RAM或临时Flash区。

NVS配置示例表：

键名	数据类型	长度	用途	访问权限
device_uid	string	32	SHA256(MAC+Salt)	只读
uid_sig	blob	64	ECDSA签名值	只读
first_boot	u8	1	标记首次启动状态	读写
key_revocation	u8	1	密钥吊销标志	只读
boot_count	u32	4	累计启动次数	读写
last_ip	string	16	上次连接IP	读写
fw_version	string	16	当前固件版本	读写
activation_ts	u64	8	激活时间戳	只读
cert_sn	string	20	证书序列号	只读
secure_boot	bool	1	是否启用安全启动	只读

五、防篡改与安全增强实践

为进一步提升安全性，可启用以下措施：

1. 启用EFUSE_ABS_DONE_0熔断位，锁定MAC地址不可修改；
2. 使用ESP32的HMAC模块生成基于秘密密钥的UID哈希；
3. 在生产阶段预烧录客户专属证书链；
4. 通过JTAG调试接口禁用功能（烧录DIS_JTAG）防止物理提取；
5. 定期校验NVS中UID完整性，结合Watchdog机制响应异常；
6. 在云端验证设备UID时，附加时间戳与挑战响应协议；
7. 采用TPM-like模式，将UID封装进安全飞地（Secure Enclave）；
8. 结合蓝牙随机地址与Wi-Fi MAC生成双因子设备指纹；
9. 记录UID绑定历史日志至区块链或分布式账本；
10. 设计失效闭锁机制，连续验证失败后永久禁用设备。