我目前正在尝试评估我制造的一个实验性物联网设备的安全级别，该设备使用ESP32"；写"；它在Firebase数据库中的状态。目前，我正在使用数据库机密来连接到数据库。建立连接的方法是传递名为FIREBASE_HOST(数据库URL(和FIREBASE_AUTH(这是机密(的值。
让我担心的是，由于秘密是直接写在代码中的，恶意代理可能会看到这段代码并检索数据库的秘密。
所以这就是我的问题，一个通过无线或物理方式(如果可能的话(连接到ESP32的人能扫描其运行代码来获得秘密令牌吗？
ESP32系统中的所有内容(代码、数据和非易失性存储器(都存储在外部闪存芯片中。这意味着，通过对设备的物理访问，任何人都可以读取Flash芯片的内容。我可以将调试器连接到设备上，并使用官方的Espressif工具读取整个Flash。如果调试接口不可用，我可以直接连接到Flash芯片上(我可以使用另一个ESP32构建自己的Flash接口，并将Flash连接重新连接到它(，甚至不用给ESP32 micro通电就可以读取它。如果你的秘密未加密地存储在那里，它们就会通过物理访问暴露出来。不知道WiFi，所以会听从更有知识的人。
在设备端解决这个问题的方法是加密Flash，并且只启动签名的二进制文件。