Actualizaciones OTA de firmware: cómo funcionan y cómo asegurarlas
Un producto electrónico no termina cuando sale de fábrica. Aparecen errores, se añaden funciones y surgen vulnerabilidades de seguridad. Las actualizaciones OTA (Over-The-Air, "por el aire") permiten actualizar el firmware de un dispositivo de forma remota, sin cables ni intervención del usuario. Hoy ya no son un lujo: la nueva normativa europea de ciberseguridad (el Cyber Resilience Act) prácticamente las exige para cualquier producto conectado.
Qué es una actualización OTA
Una actualización OTA es el proceso por el que un dispositivo descarga una nueva versión de su firmware desde un servidor y la instala él solo, de forma segura y sin "ladrillar" el aparato si algo va mal. Es lo que permite que un wearable, un sensor industrial o una cerradura inteligente mejoren durante años después de venderse.
Cómo funciona: bootloader y particiones A/B
La clave de un OTA fiable es no sobrescribir el firmware que está funcionando. El método más robusto usa dos particiones de memoria (A/B):
- El dispositivo funciona desde la partición A mientras descarga la nueva versión en la partición B.
- Un programa pequeño y muy fiable, el bootloader, verifica la imagen nueva y arranca desde B.
- Si el nuevo firmware no arranca bien o no "confirma" que está sano, el bootloader hace rollback automático a A. El dispositivo nunca se queda muerto.
Esta arquitectura es la diferencia entre un OTA de producto serio y uno que, ante un corte de luz a mitad de actualización, convierte el dispositivo en un pisapapeles.
Seguridad: firma, cifrado y arranque seguro
Una actualización remota es una puerta de entrada perfecta para un atacante: si puede inyectar su propio firmware, controla el producto. Por eso un OTA serio se apoya en tres capas:
- Firma digital: el dispositivo solo acepta firmware firmado por el fabricante. Comprueba la firma antes de instalar; si no cuadra, lo rechaza. Evita firmware falso o manipulado.
- Cifrado: la imagen viaja cifrada, de modo que nadie pueda interceptarla y leer tu propiedad intelectual ni descubrir cómo atacarla.
- Arranque seguro (secure boot): el chip solo ejecuta código firmado, encadenando la confianza desde el bootloader hasta la aplicación. Aunque alguien escriba en la memoria, el dispositivo no arrancará un firmware no autorizado.
Saltarse esta parte es el error más caro: un OTA inseguro no es una funcionalidad, es una vulnerabilidad.
Cómo llega: conectividad y transporte
El "por el aire" depende de cómo se conecte tu producto. Las vías más habituales:
- WiFi o celular (4G/NB-IoT/LTE-M): el dispositivo descarga la imagen directamente del servidor, normalmente por HTTPS o MQTT con TLS.
- Bluetooth Low Energy (BLE DFU): la actualización llega desde una app móvil que hace de puente. Ideal en wearables y dispositivos sin conexión propia a internet.
- Pasarela (gateway): en redes como Zigbee, Thread o LoRa, un concentrador recibe la actualización y la reparte a los dispositivos de la red.
La conectividad condiciona el tamaño de las imágenes, el consumo y la estrategia: no es lo mismo actualizar por WiFi con corriente que un sensor a batería por BLE.
Conclusión
Un buen sistema OTA —con particiones A/B, rollback y seguridad por firma y cifrado— es lo que mantiene un producto vivo, seguro y conforme a la normativa durante toda su vida útil. Diseñarlo bien desde el principio (memoria, bootloader, claves) es mucho más barato que añadirlo a la fuerza después. En Regular Solids implementamos OTA seguro y bootloaders a medida en productos embebidos; si tu dispositivo necesita actualizarse en campo, hablemos.