Actualizaciones de firmware firmadas

Firmar un paquete de firmware significa calcular, con una clave privada que solo guarda el fabricante o la planta, una firma que acompaña al archivo. El dispositivo lleva grabada la clave pública correspondiente y, antes de instalar, comprueba que la firma sea válida para ese archivo exacto. Si alguien cambia un solo byte del paquete, la comprobación falla.

Lo que la firma prueba es el origen y la integridad. No prueba que el programa esté libre de errores ni que sea una buena versión: una versión firmada puede tener fallos graves. Y solo protege si el dispositivo de verdad verifica: una firma que nadie comprueba es un adorno.

La excusa más común para saltarse la firma es la urgencia: una corrección de emergencia que «no puede esperar a que se firme». Es justo el caso donde más importa, porque la presión empuja a instalar lo que sea. Si el proceso permite publicar sin firmar, tarde o temprano alguien lo usará.

Abre SELECT * FROM versiones_firmware y filtra las que se publicaron sin firma.

La clave de firma de producción es de lo más valioso de la cadena: quien la tenga puede hacer que toda la flota acepte su paquete. Por eso se guarda en un módulo de seguridad o en el servicio de claves de la nube, se separa de los servidores de compilación y se usa con aprobación. Las versiones de prueba se firman con otra clave, que las flotas de producción no deberían aceptar nunca.

Si una versión de prueba aparece en un trabajo de actualización, la pregunta no es «¿está firmada?» sino «¿firmada por quién?».

Una buena actualización de flota no va a todos los dispositivos a la vez. Primero un piloto pequeño, se mira cuántos terminan bien y cuántos no, y solo entonces se pasa a la etapa general. Si en el piloto quedan dispositivos sin actualizar, el trabajo se detiene hasta saber por qué: un aparato que se queda a medias puede quedar inutilizable en una planta donde llegar a él cuesta un viaje.

Mira el piloto de la versión más reciente y calcula cuántos dispositivos quedaron sin actualizar.

Mira ahora la tabla completa con SELECT * FROM trabajos_actualizacion. Uno de los trabajos de la etapa general lleva la versión sin firma y apunta a dispositivos que no verifican la firma antes de instalar. Ya terminó: todos sus dispositivos aparecen actualizados. Estas dos fallas juntas significan que esos aparatos aceptaron un paquete sin comprobar quién lo hizo.