artsin

Я конечно не спец. в безопасности, но может попробовать сделать SHA-1 с солью, а на сервере уже сравнивать его с хешами по списку карт? Вроде бы дешево и сердито :)

Можно гонять или нельзя это вопрос больше философский.
Сам трафик от считывателя до Wi-Fi AP шифрованный (я так понимаю там умеет этот модуль WPA2-PSK к примеру), дальше идёт ваша сеть и тут становится вопрос доверия собственной сети и сосбсвенно от её топологии.

Приведите пример вектора атаки которой вы опасаетесь а там уже поговорим :)
Ну а шифровать можно как угодно, строка же, да хоть XOR обычный или ещё чего поинтереснее, если есть возможность отправлять данные оборачивая в SSL то конечно это хорошо будет но я не знаком с ESP8266 изнутри.

SDL использовать можно. Идея нормальная, при условии что вас не пугает долгое ковыряние во всяких низкоуровневых вещах типа отрисовки, работы со звуком и прочего.

Тестить можно и под виндой, благо SDL позволяет это. Для сбора и заливки на девайс вполне можно обойтись виртуалкой с мавериксом. Для тестов перед изданием конечно нужен зоопарк девайсов.