Controladores de Acesso com ESP32, MQTT Seguro e Criptografia mTLS

O Desafio da Segurança em Portarias Inteligentes

Quando pensamos em automação de portões e catracas, a primeira preocupação costuma ser a velocidade de resposta do sistema. No entanto, conectar dispositivos físicos diretamente à rede corporativa ou à nuvem sem os devidos cuidados abre brechas graves de segurança. Um invasor com acesso físico a um leitor de crachás na parede pode, teoricamente, interceptar os cabos ou extrair o microcontrolador para clonar o tráfego da rede. Na prática, isso significa que um sistema de controle de acesso precisa ser tão blindado quanto um servidor bancário.

Para resolver esse dilema em projetos de Internet das Coisas (IoT), que é a rede de objetos cotidianos conectados à internet, precisamos substituir conexões abertas por protocolos robustos. O microcontrolador ESP32 surge como uma escolha excelente por unir baixo custo, conectividade Wi-Fi integrada e poder de processamento suficiente para lidar com criptografia pesada. Combinado com o protocolo MQTT, que funciona como um mensageiro leve para troca de avisos entre máquinas, o ESP32 consegue enviar e receber comandos instantaneamente sem sobrecarregar a rede.

Entendendo a Arquitetura com MQTT e mTLS

O MQTT funciona através de um servidor central chamado broker, que organiza e distribui as mensagens enviadas pelos dispositivos. Imagine o broker como a central telefônica de um prédio: os leitores de acesso ligam para lá para avisar que um cartão foi lido, e a central decide se a porta deve abrir. O grande problema é que, por padrão, o MQTT trafega dados em texto plano ou com criptografia básica que não verifica quem está do outro lado com rigor. É aqui que entra o mTLS, ou Transport Layer Security Mútuo.

Na prática, o mTLS obriga que tanto o servidor quanto o ESP32 apresentem certificados digitais válidos um para o outro antes de trocar qualquer palavra. O servidor confia no ESP32 porque ele possui uma chave secreta única gravada em sua memória, e o ESP32 confia no servidor porque possui o certificado raiz correspondente. Se um dispositivo malicioso tentar se passar por uma controladora legítima, o servidor percebe a ausência da credencial correta e encerra a conexão imediatamente, impedindo qualquer comando de abertura de porta.

Preparando o Ambiente e Configurando os Certificados

Antes de escrevermos o código que roda no ESP32, precisamos gerar as chaves criptográficas que vão garantir a identidade dos equipamentos. Esse processo envolve a criação de uma autoridade certificadora própria, que funcionará como o cartório do nosso sistema privado. No terminal do seu computador, você precisará gerar um certificado raiz, seguido pelos certificados específicos do servidor MQTT e de cada placa ESP32 instalada nas portas.

1. Gere a chave privada da autoridade certificadora executando o comando openssl genrsa -out ca.key 2048 no seu terminal.
2. Crie o certificado autoassinado da autoridade com o comando openssl req -x509 -new -nodes -key ca.key -sha256 -days 365 -out ca.crt.
3. Gere a chave e a solicitação de assinatura para o ESP32 utilizando openssl req -new -nodes -out client.csr -keyout client.key.

Com os arquivos gerados, você precisará inseri-los diretamente no código-fonte do ESP32 ou gravá-los em uma partição dedicada na memória flash chamada SPIFFS. Colocar os certificados diretamente no código facilita o processo de testes iniciais, mas exige cuidado redobrado para não expor suas chaves privadas em repositórios públicos na internet. Cada placa deve receber sua própria chave e certificado, garantindo que o comprometimento de uma catraca não derrube a segurança de todo o edifício.

Implementando o Firmware no ESP32

O código que roda no microcontrolador precisa gerenciar três tarefas fundamentais simultaneamente: manter a conexão Wi-Fi estável, escutar os eventos do leitor de RFID ou teclado numérico, e manter o canal MQTT criptografado ativo. Para isso, utilizamos a biblioteca PubSubClient em conjunto com a classe WiFiClientSecure nativa do ambiente de desenvolvimento Arduino para ESP32. A função de conexão deve validar os ponteiros de memória dos certificados antes de tentar estabelecer a comunicação com o broker.

#include <WiFi.h>
#include <WiFiClientSecure.h>
#include <PubSubClient.h>

const char* ssid = "SuaRedeWiFi";
const char* password = "SuaSenhaWiFi";
const char* mqtt_server = "192.168.1.100";

WiFiClientSecure espClient;
PubSubClient client(espClient);

const char* root_ca = "-----BEGIN CERTIFICATE-----
...";
const char* certificate = "-----BEGIN CERTIFICATE-----
...";
const char* private_key = "-----BEGIN PRIVATE KEY-----
...";

void setup_wifi() {
  delay(10);
  WiFi.begin(ssid, password);
  while (WiFi.status() != WL_CONNECTED) {
    delay(500);
  }
}

void setup() {
  Serial.begin(115200);
  setup_wifi();
  espClient.setCACert(root_ca);
  espClient.setCertificate(certificate);
  espClient.setPrivateKey(private_key);
  client.setServer(mqtt_server, 8883);
}

void loop() {
  if (!client.connected()) {
    // Rotina de reconexão segura
  }
  client.loop();
}

No trecho de código acima, configuramos a porta 8883, que é o padrão universal para tráfego MQTT criptografado sobre TLS. Caso ocorra uma queda de energia ou perda de sinal de rádio, o ESP32 deve tentar se reconectar ciclicamente sem travar a execução das leituras locais. É importante implementar uma lógica de contingência local que permita abrir a porta para moradores cadastrados mesmo quando a rede principal estiver fora do ar.

Validação Local e Resiliência Operacional

Um sistema de controle de acesso corporativo não pode parar de funcionar simplesmente porque o roteador Wi-Fi reiniciou ou porque o servidor central ficou sobrecarregado. Para mitigar esse problema, a melhor prática de engenharia é armazenar uma lista reduzida de credenciais válidas diretamente na memória não volátil do ESP32. Quando um crachá é aproximado do leitor, o microcontrolador verifica primeiro se o usuário está na sua lista interna de permissões de emergência.

Caso a lista local aprove a entrada, o relé que aciona a fechadura eletromagnética é acionado instantaneamente, e um registro offline é enfileirado para envio posterior assim que a conexão com o broker MQTT for restabelecida. Na prática, isso garante uma experiência fluida para o usuário e evita filas irritantes na entrada do prédio. A sincronização dessa base de dados local ocorre em segundo plano, utilizando tópicos MQTT dedicados e assinados exclusivamente por aquela controladora específica.

Considerações Finais e Manutenção do Sistema

A implementação de um controlador de acesso baseado em ESP32 com MQTT e mTLS eleva o padrão de segurança de projetos corporativos e residenciais, provando que hardwares acessíveis podem entregar robustez de nível industrial. O segredo do sucesso operacional reside na disciplina com a gestão dos certificados digitais e na criação de rotinas resilientes para falhas de rede. Ao adotar criptografia mútua e validação híbrida, você protege o patrimônio dos clientes e garante um funcionamento contínuo e auditável.