01
可信启动概述
什么是可信启动 · 为什么需要可信启动 · 信任链模型
信任根基础概念
02
UEFI安全启动基础
UEFI固件架构 · Secure Boot原理 · 密钥数据库(DB/DBX/KEK/PK)
UEFI密钥
03
TPM与TCM基础
TPM2.0规范 · TCM与TPM区别 · PCR寄存器与度量存储
TPMTCMPCR
04
GRUB2安全配置
配置文件结构 · 密码保护 · 签名验证 · 禁用不安全模块
GRUB2签名
05
内核完整性保护
Linux内核模块签名 · IMA · 内核命令行参数安全
IMA内核
06
initramfs安全
initramfs签名与验证 · 避免未加密 · 最小化内容
initramfs加密
07
文件系统完整性
dm-verity原理 · 只读挂载 · SELinux/AppArmor策略
dm-veritySELinux
08
UEFI密钥管理
生成PK/KEK/DB密钥对 · 密钥轮换 · 备份与恢复
密钥管理UEFI
09
MOK (Machine Owner Key) 管理
MOK概念 · shim引导加载器 · 注册自定义密钥
MOKshim
10
安全启动排错
常见错误代码 · 禁用安全启动调试 · 日志分析
排错日志
11
TPM密钥管理
SRK(存储根密钥) · AIK · 密钥层次结构
TPMSRKAIK
12
远程证明
TPM远程证明原理 · Quote签名验证 · 挑战-响应协议
远程证明Quote
13
磁盘加密与可信启动
LUKS全盘加密 · TPM解锁密钥 · Clevis与Tang网络解锁
LUKSClevisTang
14
UEFI变量安全
UEFI变量保护 · SetVariable权限 · 变量认证
UEFI变量权限
15
固件更新安全
UEFI Capsule更新 · 固件签名验证 · 回滚保护
固件更新Capsule
16
容器可信启动
容器镜像签名 · Docker Content Trust · Podman安全配置
容器DCTPodman
17
虚拟化可信启动
vTPM配置 · 虚拟UEFI安全启动 · 宿主机度量
虚拟化vTPM
18
物联网设备可信启动
轻量级方案 · MCU安全启动 · OTP密钥存储
IoTMCUOTP
19
ARM TrustZone与可信启动
ARM TrustZone架构 · OPTEE · ATF
TrustZoneOPTEEATF
20
RISC-V可信启动
RISC-V安全启动规范 · OpenSBI · M/S模式隔离
RISC-VOpenSBI
21
U-Boot安全配置
环境变量保护 · 签名验证 · 安全启动模式
U-Boot签名
22
Coreboot与安全启动
Coreboot架构 · vboot验证启动 · 深度睡眠恢复
Corebootvboot
23
Linux内核安全特性
KASLR · KEXEC · Kdump · 内核实时补丁
KASLRKEXECKdump
24
系统更新与回滚
A/B分区更新 · 原子更新 · 回滚保护机制
A/B分区原子更新
25
审计与合规
可信启动审计日志 · 合规性检查 · NIST SP 800-155
审计合规NIST
26
硬件安全模块(HSM)
HSM在可信启动中的作用 · 密钥生成与存储 · PKCS#11
HSMPKCS#11
27
网络启动安全
PXE安全启动 · iPXE签名验证 · HTTPS网络启动
PXEiPXEHTTPS
28
多引导配置安全
Win/Linux双系统安全启动 · shim链式加载 · 跨平台密钥
多引导shim
29
可信启动性能优化
减少启动时间 · 并行度量 · 缓存策略
性能优化
30
未来趋势与挑战
机密计算 · 同态加密 · 量子安全启动
机密计算量子安全