如果我们想要提供具有联网功能的嵌入式设备，它需要有一个 CA 证书存储。
但是，该设备可能会在架子上搁置数月，甚至在客户手中也可能很长时间不使用（且断电）。
对于如何处理在没有可用网络的情况下可能过期的 CA 证书存储，是否有任何建议？ 我担心由于过期而无法使用 TLS 获取新 CA。
在整个商店过期后，退回到不安全的方法感觉不对。 这真的是一个令人担忧的问题吗？ 我不知道根证书能持续多久。
这并不特定于更新 CA 证书，而是适用于您设备上的任何固件更新：固件更新应由您自己控制的密钥/证书进行签名，即您不应仅依赖 TLS 等传输安全性。在安装固件更新之前，应在设备上验证此签名。
如果固件更新是使用由您控制并在设备上受信任的密钥进行签名的，则即使使用纯 HTTP 等不安全的传输协议，也可以安全地传输此更新。这样您不仅可以安全地更新 CA 证书，还可以更新设备上的任何其他软件。
除此之外，公共根 CA 通常寿命很长，因此只要在设备上保留受信任的 CA，离线一年应该不是问题。不过，在设备离线时发现并修复的任何软件漏洞都可能是一个问题 - 因此，上网时您首先应该做的是安装修复这些漏洞的新固件（也可能更新 CA）。