3、安全启动原理：信任链、根信任、度量启动与安全启动的区别

好，咱们今天聊点硬核的。安全启动这块，很多同学一开始容易把几个概念搞混。我当年刚入行时也踩过坑，总觉得「度量启动」和「安全启动」是一回事。其实不然。咱们一个一个拆开讲。

信任链，说白了就是「一级信任一级」。你想想看，一个嵌入式设备上电后，最先跑的是 BootROM。BootROM 要加载 Bootloader，Bootloader 再加载 OS，OS 再加载应用。如果每一级都能确保下一级是「干净的、没被篡改的」，那整条链路就是可信的。

我在项目中遇到过一种情况：BootROM 本身是只读的，没问题。但 Bootloader 存放在 SPI Flash 里，攻击者可以物理篡改。怎么办？BootROM 在加载 Bootloader 之前，先校验它的签名。签名通过，才把控制权交出去。这就是信任链的典型做法。

  核心思想： 信任链不要求每一级都绝对安全，而是要求每一级都能验证下一级的完整性。

信任链的传递过程可以这样理解：

嗯，这里要注意：信任链一旦在某一个环节断裂，后面的所有环节都不再可信。所以每一级的校验都不能跳过。

信任链总得有个起点吧？这个起点就是根信任。它通常是硬件层面的，比如 BootROM 里固化的公钥，或者一次性可编程（OTP）熔丝里存储的哈希值。

我个人习惯把根信任比喻成「保险箱的钥匙」。钥匙本身不能放在保险箱里，否则就循环论证了。根信任必须是一个「不可伪造、不可篡改」的锚点。

避坑指南： 我曾经在一个项目里，把根信任的公钥放在了外部 Flash 里。结果呢？攻击者直接替换了 Flash 芯片，整个信任链就崩了。后来我改成了 OTP 熔丝，虽然成本高了一点，但安全性上了好几个台阶。

常见的根信任实现方式：

度量启动，字面意思就是「测量并记录」。它不阻止任何代码运行，而是把每一级组件的哈希值记录下来，存放到一个安全的位置（比如 TPM 的平台配置寄存器 PCR 里）。

你想想看，这有什么用？假设你的设备被植入了恶意 Bootloader，度量启动不会阻止它运行。但 PCR 里的哈希值会变成另一个值。远程验证方（比如云端服务器）可以要求设备上报 PCR 值，一比对就知道设备是否被篡改过。

注意： 度量启动是「被动防御」。它只负责记录，不负责拦截。如果攻击者已经控制了设备，他完全可以伪造 PCR 值。所以度量启动通常需要配合远程证明（Remote Attestation）使用。

度量启动的典型流程：

我在做 IoT 设备时，就靠度量启动来检测固件是否被篡改。设备每次启动后，会把 PCR 值上报给云端。云端比对发现不一致，直接标记该设备为「可疑」，触发告警。

安全启动就硬核多了。它不光记录，还直接阻止。如果某一级组件的签名校验不通过，系统直接挂起或进入恢复模式，绝不把控制权交给不可信的代码。

说白了，安全启动是「主动防御」。它确保只有经过签名的、可信的代码才能运行。任何未授权的修改，都会导致启动失败。

  关键区别： 度量启动是「你跑吧，我记着你的罪证」；安全启动是「你敢跑？我直接断电」。

安全启动的典型实现：

嗯，这里有个坑：安全启动的签名密钥必须妥善保管。我曾经见过一个团队，把私钥直接放在 Git 仓库里... 结果可想而知。私钥泄露后，攻击者可以签名任意恶意代码，安全启动形同虚设。

咱们用一张图来理清关系：

从图中可以清楚看到：

我个人经验是：

小技巧： 如果你不确定该用哪种，先从安全启动做起。它是最直接、最有效的防御手段。度量启动可以作为后续的增强功能逐步加上。

好了，这一章的内容就到这儿。记住一句话：信任链是骨架，根信任是心脏，度量启动和安全启动是两条腿。缺了哪条，都站不稳。