1. 项目缘起为什么需要一个钥匙扣大小的密码管理器在数字生活里密码管理是个老生常谈但又无比棘手的问题。我们一边被要求为每个账户设置独一无二、复杂度高的密码另一边又面临着记忆和输入的巨大负担。主流的解决方案比如1Password、Bitwarden这类软件密码管理器确实解决了密码生成和存储的问题但它们依然依赖于一个“主密码”。这个主密码一旦泄露或遗忘风险不言而喻。而硬件密码管理器如YubiKey提供了强大的安全认证但它们通常专注于两步验证2FA对于日常海量密码的自动填充体验往往需要配合软件使用且形态固定不便携。于是一个想法在我脑子里盘旋了很久能不能做一个极度便携、完全离线、且交互体验足够好的硬件密码管理器它应该像钥匙扣一样可以随时挂在身上需要时通过蓝牙与手机或电脑快速连接完成密码的查询或自动填充用完即断不存储任何在线数据。这就是PocketVault项目的起点——一个基于BLE蓝牙低功耗和ESP32芯片的钥匙扣大小的密码管理器。市面上并非没有类似产品但要么价格昂贵要么功能臃肿要么开放性不足。我希望打造的是一个极简、安全、可完全由自己掌控的“数字钥匙串”。核心诉求很明确第一是绝对便携体积必须足够小第二是操作便捷连接和填充流程要足够快第三是安全可控所有数据本地加密存储私钥不出设备第四是成本低廉让爱好者都能轻松复现。经过一番选型我锁定了乐鑫的ESP32系列芯片和安信可的M5StickC PLUS2开发板作为硬件核心。ESP32内置蓝牙和Wi-Fi性能强大且生态成熟M5StickC PLUS2则提供了一个完美的“钥匙扣”形态——小巧的机身、集成的屏幕和按键几乎是为这个想法量身定做的。接下来的挑战就是如何在这块小小的板子上构建一个可靠、易用的密码管理生态系统。2. 硬件核心选型为什么是M5StickC PLUS2与ESP32硬件是项目的骨架选型决定了项目的上限和实现的难易度。在构思PocketVault时我评估了几个关键维度计算与存储能力、无线通信模块、人机交互接口、供电与体积以及最重要的——开发社区的活跃度与资源丰富度。2.1 ESP32-S3性能与功能的平衡点ESP32系列芯片选择众多从经典的ESP32、ESP32-S2到ESP32-S3、C3、C6等。对于PocketVault我需要一个同时支持BLE作为外设/服务器和经典蓝牙可选用于更高速的数据传输或音频等本项目未使用的芯片并且需要有足够的GPIO来驱动屏幕和读取按键。ESP32-S3进入了我的视野。相较于初代ESP32ESP32-S3是双核Xtensa LX7处理器主频高达240MHz性能更强且内存更大通常配备512KB SRAM和外部PSRAM支持。更重要的是它原生支持蓝牙5.0和蓝牙MeshBLE部分的协议栈更稳定功耗控制也更好。虽然ESP32-C3成本更低且也支持BLE 5.0但其是单核RISC-V架构在需要同时处理显示、用户输入、蓝牙通信和加解密运算时双核的S3能提供更从容的多任务处理能力避免界面卡顿。因此为了体验的流畅性我选择了ESP32-S3作为主控。2.2 M5StickC PLUS2开箱即用的完美载体确定了核心芯片接下来需要一块合适的开发板。自己从零画板、焊接固然是终极选择但对于快速原型验证和社区分享一块集成度高的开发板是更优解。安信可的M5StickC PLUS2几乎满足了我所有的幻想。首先它的尺寸仅为48mm * 25mm * 13.6mm比一个打火机还小重量仅约20克配上挂绳孔就是一个标准的钥匙扣尺寸。其次它集成了丰富的硬件一块1.14英寸的IPS彩色屏幕135*240分辨率、一个物理电源按键、一个多功能按键复位/自定义、一个红外发射器、一个麦克风、一个六轴陀螺仪MPU6886以及最重要的——一个基于ESP32-S3的核心模组。它还内置了200mAh的锂电池和充放电管理电路通过Type-C接口充电实现了真正的“一体化”。这意味着我不需要额外连接屏幕、不需要单独设计电源管理、不需要为按键分配GPIO而头疼。所有基础硬件都已就位我可以将全部精力集中在软件逻辑的开发上。这种高度的集成极大地加速了项目的开发进程。2.3 存储方案SPIFFS与EEPROM的抉择密码管理器自然需要存储数据。ESP32提供了几种非易失性存储选项基于Flash的SPIFFS/LittleFS文件系统、模拟的EEPROM以及更底层的NVS非易失性存储。EEPROMArduino框架下常用的EEPROM库实际上是在Flash上模拟的一块空间。它适合存储少量、结构简单的配置数据比如配对的设备信息、设置项。它的优点是接口简单EEPROM.read/write但缺点是写入寿命有限Flash有擦写次数限制通常10万次且每次写入的数据量较小时效率不高。SPIFFS/LittleFS这是一个完整的文件系统。适合存储数量较多、结构可能变化的数据比如我们的密码条目。每个条目可以保存为一个独立的文件或者将所有条目序列化后存入一个文件。文件系统的方式更灵活管理起来也更像在操作电脑上的文件。LittleFS是SPIFFS的改进版具有更好的磨损均衡和崩溃恢复能力。在PocketVault中我采用了混合方案使用Preferences库基于NVS是ESP-IDF框架的推荐方式在Arduino中也可用来存储关键的系统配置和主加密密钥的盐值Salt。而具体的密码条目数据则使用LittleFS文件系统进行存储每条记录加密后单独存为一个文件。这样既保证了系统关键数据的安全与高效存取又为密码数据提供了灵活的存储和管理能力。3. 系统架构与安全设计数据如何被锁在“保险箱”里一个密码管理器的灵魂在于其安全架构。如果安全基石不牢再华丽的功能也是空中楼阁。PocketVault的设计核心是“端到端加密”和“本地化存储”确保即使设备丢失攻击者也无法在物理层面之外轻易获取数据。3.1 核心安全模型主密码与派生密钥整个系统的安全建立在用户设定的一个“主密码”Master Password之上。这个主密码永远不会以任何形式存储在设备或任何其他地方。其安全流程如下密钥派生当用户首次设置或解锁时输入主密码。设备会结合一个随机生成的、唯一存储在设备上的“盐值”Salt使用PBKDF2Password-Based Key Derivation Function 2算法进行数千次哈希迭代派生出一个高强度、固定长度的主密钥Master Key。盐值的作用是防止彩虹表攻击即使两个用户使用了相同的主密码由于盐值不同派生出的主密钥也完全不同。数据加密这个主密钥用于对称加密算法如AES-256-GCM的密钥。当用户添加或修改一条密码记录时记录的明文包括网站、用户名、密码、备注等会先被序列化例如转换为JSON字符串然后使用AES-256-GCM进行加密。GCM模式不仅能提供保密性还能提供完整性验证认证标签防止密文被篡改。数据存储加密后的密文连同GCM生成的认证标签Tag和初始化向量IV每次加密随机生成一起被写入LittleFS文件系统形成一条加密记录。内存清理加密操作完成后主密钥以及所有中间明文数据都会从内存中被显式地清除例如用随机数据覆盖相关内存区域确保不会在内存中留下痕迹。3.2 BLE通信安全配对、绑定与加密传输BLE连接是数据进出设备的唯一通道必须加固。我采用了BLE的安全配对Secure Pairing与绑定Bonding机制。配对Pairing当手机App首次连接PocketVault时会发起配对过程。我选择了“LE Secure Connections”中的“Passkey Entry”方式。设备端会在屏幕上显示一个6位随机数字用户需要在手机App上输入这串数字来完成配对。这个过程实现了双向认证防止中间人攻击。绑定Bonding配对成功后双方会交换并保存长期密钥LTK, Long-Term Key。之后再次连接时就可以使用这些保存的密钥快速建立加密连接无需再次输入配对码。这既保证了重连的便捷性又维持了通信的加密状态。加密通信建立加密连接后所有通过BLE特性Characteristics传输的数据都是在链路层加密的。对于特别敏感的操作指令如“获取某条密码”我还会在应用层再进行一次加密形成双重保障。3.3 服务与特性设计PocketVault的BLE服务遵循GATT通用属性配置文件规范。我定义了一个自定义的128位UUID服务其中包含了几个关键特性认证特性用于传输会话令牌或进行挑战-响应认证。在解锁后设备会生成一个短期有效的会话令牌后续所有敏感操作都需要在请求中携带此令牌。控制特性用于接收来自客户端的指令如“列出所有条目”、“获取条目详情”、“删除条目”、“锁定设备”等。指令以简单的字符串或二进制协议格式发送。数据特性用于向客户端发送数据如返回的条目列表、加密后的密码数据等。考虑到BLE数据包大小限制通常20字节较长的数据需要做分片处理。状态特性用于通知客户端设备状态变化如“设备已锁定”、“电池电量低”等。客户端可以订阅此特性的通知。这种设计将功能模块化使得手机App端的逻辑也变得清晰连接 - 认证 - 发送控制指令 - 接收/解析数据。4. 固件开发实战从环境搭建到功能实现有了清晰的设计接下来就是动手编码。我选择使用Arduino框架进行开发主要是因为其生态丰富库支持好对于快速迭代原型非常友好。当然你也可以使用乐鑫官方的ESP-IDF框架以获得更底层的控制。4.1 开发环境搭建安装Arduino IDE从官网下载并安装Arduino IDE。建议使用较新的1.8.x或2.0.x版本。添加ESP32开发板支持打开Arduino IDE进入“文件 - 首选项”在“附加开发板管理器网址”中输入https://espressif.github.io/arduino-esp32/package_esp32_index.json。然后打开“工具 - 开发板 - 开发板管理器”搜索“esp32”找到并安装“Espressif Systems”提供的ESP32开发板支持包。这个包包含了ESP32-S3的支持。安装所需库通过“项目 - 加载库 - 管理库”安装以下关键库M5StickCPlus2这是安信可官方提供的库包含了针对M5StickC PLUS2的屏幕驱动、按键定义、电源管理等所有硬件抽象极大简化了开发。NimBLE-Arduino这是一个更轻量、更现代的BLE库比Arduino标准BLE库资源占用更少功能也更强大。对于资源受限的设备来说它是更好的选择。ArduinoJson用于序列化和解析密码条目的JSON数据。LittleFS用于操作LittleFS文件系统。4.2 核心代码结构解析项目的代码主要分为以下几个模块// 示例性代码结构非完整代码 #include M5StickCPlus2.h #include NimBLEDevice.h #include LittleFS.h #include ArduinoJson.h // 全局定义BLE服务UUID、特性UUID等 #define SERVICE_UUID 12345678-1234-1234-1234-123456789abc #define CHARACTERISTIC_UUID_CTRL abcdef00-1234-1234-1234-123456789abc // 全局变量 BLEServer *pServer; BLEService *pService; BLECharacteristic *pCtrlCharacteristic; bool deviceUnlocked false; String sessionToken ; // 密码条目结构体 struct PasswordEntry { String id; String website; String username; String encryptedPassword; // 存储的是AES加密后的Base64字符串 String iv; // 存储加密使用的IV String tag; // 存储GCM的认证标签 }; void setup() { M5.begin(); // 初始化M5设备屏幕、电源、I2C等 initLittleFS(); // 初始化文件系统 initDisplay(); // 初始化屏幕显示启动logo或状态 initBLE(); // 初始化BLE开始广播 loadConfig(); // 从Preferences加载系统配置 } void loop() { M5.update(); // 更新按键状态 checkBattery(); // 检查电量 handleAutoLock(); // 处理闲置自动锁定 // BLE事件在回调函数中处理无需在loop中轮询 } void initBLE() { BLEDevice::init(PocketVault); // 设置设备名称 pServer BLEDevice::createServer(); pServer-setCallbacks(new MyServerCallbacks()); // 设置连接回调 pService pServer-createService(SERVICE_UUID); pCtrlCharacteristic pService-createCharacteristic( CHARACTERISTIC_UUID_CTRL, NIMBLE_PROPERTY::WRITE | NIMBLE_PROPERTY::WRITE_ENC // 要求加密写入 ); pCtrlCharacteristic-setCallbacks(new CtrlCharacteristicCallbacks()); pService-start(); BLEAdvertising *pAdvertising BLEDevice::getAdvertising(); pAdvertising-addServiceUUID(SERVICE_UUID); pAdvertising-setScanResponse(true); pAdvertising-start(); } class CtrlCharacteristicCallbacks: public BLECharacteristicCallbacks { void onWrite(BLECharacteristic *pCharacteristic) { if (!deviceUnlocked) { // 如果设备未解锁只响应“解锁”指令 std::string value pCharacteristic-getValue(); // 解析指令验证主密码派生密钥解锁设备生成sessionToken // ... } else { // 处理已解锁状态下的各种指令LIST, GET, ADD, DELETE等 // 验证sessionToken执行对应操作 // 例如处理LIST指令 // String command parseCommand(value); // if (command LIST) { // std::vectorString entryIds getAllEntryIds(); // String response buildJsonResponse(entryIds); // sendViaDataCharacteristic(response); // } } } };4.3 关键功能实现细节解锁流程手机App发送一个包含主密码的“解锁”请求。设备端收到后使用存储的盐值通过PBKDF2计算输入密码的派生密钥。然后它尝试用这个派生密钥去解密一个存储在设备上的“测试密文”在首次设置时用正确的主密钥加密的一段固定数据。如果解密成功且认证标签验证通过则证明主密码正确设备解锁并生成一个随机会话令牌返回给App。密码条目列表获取解锁后App发送“LIST”指令。设备遍历LittleFS中存储的密码文件解析每个文件头或文件名中的元数据如网站名称、用户名这些信息可以以明文或单独加密的方式存储便于快速列表显示组装成一个JSON数组返回给App。密码填充流程用户在App列表中选择一条记录发送“GET:id”指令。设备找到对应的加密文件用内存中的主密钥进行解密将解密后的密码明文通过加密的BLE连接发送回App。App接收到后可以调用系统API如Android的Autofill Framework自动填充到目标应用中。这里有一个重要权衡密码明文离开了硬件设备。为了进一步降低风险可以设计为只返回一次性的TOTP动态码或要求用户二次确认如按一下设备上的物理按键才发送密码。自动锁定与低功耗为了安全设备在闲置一段时间如60秒后会自动锁定清除内存中的主密钥和会话令牌。同时通过ESP32的深度睡眠Deep Sleep功能在锁定且无连接时可以极大降低功耗仅保留RTC内存用于唤醒计时使200mAh的电池能支撑数周甚至更长的待机时间。5. 客户端应用开发构建手机端的控制桥梁仅有硬件设备是不够的需要一个与之交互的手机App。考虑到跨平台和开发效率我选择了Flutter框架来开发客户端。当然你也可以用原生Android (Kotlin/Java) 或 iOS (Swift) 开发。5.1 Flutter与BLE交互在Flutter中可以使用flutter_blue_plus这个强大的插件来扫描、连接和与BLE设备通信。核心流程如下扫描设备启动扫描过滤设备名称为“PocketVault”的设备。连接与配对发现设备后发起连接。连接成功后如果首次连接会触发系统级的BLE配对流程Passkey Entry。此时App需要监听配对请求并将设备屏幕上显示的6位密码提示给用户输入。发现服务与特性连接成功后发现我们自定义的服务UUID和对应的控制、数据、状态特性。指令发送与接收向控制特性写入指令字符串如“UNLOCK:myMasterPassword”。订阅数据特性以接收设备返回的响应。响应数据可能是分片的需要在客户端进行重组和解析。5.2 应用层协议设计为了简化通信我设计了一个简单的文本协议。每条指令以“命令:参数”的格式发送。UNLOCK:masterPassword解锁设备。LIST获取所有密码条目列表。GET:entry_id获取指定条目的详细信息。ADD:website,username,password添加新条目密码在App端先加密这里是个设计点。为了安全应在App端用共享的会话密钥加密或者直接传输明文让设备端加密。后者更安全但需要信任通信链路。我们采用后者因为BLE链路已加密。LOCK手动锁定设备。SYNC_TIME同步时间用于TOTP功能如果实现。5.3 数据管理与UIApp端负责管理解密后的密码数据仅在内存中并提供清晰的用户界面主界面显示设备连接状态、电池电量、锁定状态。解锁界面输入主密码。条目列表界面以卡片形式展示所有存储的账户网站图标、网站名、用户名。条目详情界面点击条目后显示用户名和密码密码默认隐藏并提供“复制密码”或“自动填充”按钮。添加/编辑界面输入新的网站、用户名、密码等信息。一个关键的实现细节是自动填充。在Android上可以通过实现AutofillService来集成到系统的自动填充框架中。当用户在其他App的登录框中点击时系统会询问是否使用PocketVault填充。这需要更复杂的集成但对于用户体验是质的提升。6. 深入调试与实战避坑指南开发过程中不可能一帆风顺尤其是涉及BLE、加密和嵌入式系统交互时。下面分享几个我踩过的“坑”以及解决方法。6.1 BLE连接不稳定与断连处理问题现象手机App与PocketVault连接经常意外断开尤其是在执行数据传输时。排查过程首先检查代码中的连接参数Connection Parameters。BLE连接间隔Connection Interval太短可能导致功耗高而不稳定太长则延迟高。我使用NimBLE库的BLEDevice::setPower()和BLEServer的updateConnParams方法来协商一个更合理的连接间隔如30ms-50ms。检查ESP32的Wi-Fi是否开启。Wi-Fi和BLE共用天线同时开启可能会造成干扰。在PocketVault中我不需要Wi-Fi因此在代码中明确调用WiFi.mode(WIFI_OFF)来关闭Wi-Fi。检查电源。在数据传输峰值时ESP32的射频部分耗电会增加如果电池电量不足或电源管理有问题可能导致电压骤降重启。我用万用表监控了设备在广播、连接、数据传输时的电压变化确保电池状态良好。解决方案优化连接参数、关闭Wi-Fi、确保供电稳定。此外在代码中必须实现重连机制和状态恢复。App端需要监听连接状态断开后尝试重连。设备端在意外断连后应清除当前会话回到锁定状态。6.2 BLE数据包分片与重组问题现象当返回的密码列表数据较大超过20字节时App端收到的数据是乱码或不完整的。原因分析BLE ATT_MTU最大传输单元默认是23字节除去协议开销应用层数据通常只有20字节左右。超过这个长度的数据会被自动分片。解决方案需要在应用层实现简单的分片协议。例如设备端发送数据时在数据包前加上“序号/总包数”的头部。App端接收时根据序号将数据包缓存起来直到收齐所有包后再合并解析。一个更简单的方法是使用BLE的“长特性值”读取Read Long Characteristic Values它内部处理了分片但需要客户端主动发起读取操作不如通知Notify方式实时。6.3 加密操作的内存与性能瓶颈问题现象在解密一个较大的密码条目如包含长备注时屏幕显示会卡顿甚至整个系统响应变慢。排查过程使用Arduino的millis()函数对解密函数进行计时发现AES-GCM解密操作在ESP32-S3上虽然很快毫秒级但处理较大的JSON字符串序列化/反序列化和文件I/O时如果放在主循环中同步执行会阻塞其他任务如屏幕刷新、按键扫描。解决方案优化算法确保使用的加密库如mbedtls或Arduino的Crypto库是针对ESP32优化过的。异步化处理将耗时的加解密和文件操作放入一个独立的“任务”Task中执行。ESP32支持FreeRTOS可以创建低优先级的任务来处理这些后台工作避免阻塞主循环。例如xTaskCreatePinnedToCore( decryptTask, // 任务函数 DecryptTask, // 任务名 4096, // 堆栈大小 (void*)taskData, // 参数 1, // 优先级较低 NULL, // 任务句柄 0 // 运行在哪个核心上 );状态提示在执行耗时操作时在屏幕上显示“处理中...”的动画或提示提升用户体验。6.4 文件系统损坏与数据恢复问题现象在异常断电如电池耗尽后偶尔发现LittleFS文件系统挂载失败密码数据丢失。预防与处理使用LittleFS而非SPIFFSLittleFS具有更好的掉电保护能力。实现写操作的原子性更新一个密码文件时不要直接覆盖原文件。先写入一个临时文件写入成功并fsync后再删除旧文件将临时文件重命名为目标文件。这可以防止在写入过程中断电导致文件损坏。定期备份与校验可以在设备端维护一个简单的数据版本号或校验和如CRC32。每次启动时检查如果发现异常可以尝试从备份中恢复例如在另一个Flash分区保存一份上周的数据快照。提供出厂重置在设备上实现一个“硬重置”组合键如长按电源键10秒清除所有用户数据并恢复出厂设置。这是最后的数据安全屏障。开发PocketVault的过程是一个不断在安全性、便捷性、功耗和成本之间寻找平衡点的过程。每一次调试和排错都让我对嵌入式安全、无线通信和用户体验有了更深的理解。这个项目不仅仅是一个密码管理器更是一个关于如何在小硬件上构建可信系统的实践。