一、可信启动概述

1.1 什么是可信启动

可信启动，说白了就是让设备从开机那一刻起，每一步都“验明正身”。

我经常跟团队里的年轻人打比方：你进公司大门要刷卡，进办公区要刷脸，进机房还要指纹。可信启动干的也是类似的事——从最底层的固件开始，一层层校验，确保每个环节的代码都没被篡改过。

具体来说，可信启动的核心机制是：

• 度量：在加载下一级代码之前，先计算当前代码的哈希值
• 存储：把度量结果存到安全区域（比如 TPM 芯片里的 PCR 寄存器）
• 验证：拿度量值和预期值比对，不一致就拒绝执行
• 执行：验证通过后，才把控制权交给下一级

1.2 为什么需要可信启动

你可能要问：我装个杀毒软件不就行了？嗯，问题没那么简单。

我在做安全审计时见过一个真实案例：某公司的服务器被入侵，杀毒软件啥都没报。后来一查，攻击者改写了 UEFI 固件，在操作系统启动之前就把恶意代码注入了。杀毒软件跑在操作系统之上，根本看不到底层发生了什么。

这就是可信启动要解决的核心问题——启动链的完整性。具体场景包括：

• 防固件后门：攻击者修改 BIOS/UEFI，植入 Rootkit
• 防启动劫持：替换 Bootloader，加载恶意内核
• 防离线篡改：物理接触设备，替换硬盘上的启动文件
• 合规要求：等保 2.0、GDPR、金融行业标准都要求可信启动

威胁类型	传统防护	可信启动防护
UEFI 固件篡改	无法检测	硬件级度量，PCR 记录
Bootloader 替换	依赖文件完整性	签名验证 + 度量
内核模块注入	杀毒软件（启动后）	启动时验证签名
物理接触篡改	磁盘加密（被动）	主动度量 + 远程证明

1.3 信任链模型

信任链是可信启动的骨架。它的思路很简单：从一个绝对可信的起点开始，一级级传递信任。

这个起点叫“信任根”（Root of Trust）。在 PC 平台上，信任根通常是 CPU 内部固化的微码或 Boot ROM。在嵌入式设备里，可能是芯片内部的一次性可编程存储器。

整个链条长这样：

1. 信任根（Root of Trust）：硬件固化，不可篡改
2. 度量并验证 Bootloader：信任根加载并校验 Bootloader 的签名
3. 度量并验证 OS 内核：Bootloader 加载并校验内核的完整性
4. 度量并验证关键模块：内核加载驱动、服务时继续度量
5. 应用层证明：远程验证方查询 PCR 值，确认启动链是否完整

我习惯把信任链比作“接力赛”：第一棒是硬件信任根，它把信任传给 Bootloader，Bootloader 再传给内核，内核再传给应用。任何一棒出了问题，整个链条就断了。

1.4 信任链的两种实现方式

目前主流的有两种路线：

• 静态信任链（Static Root of Trust）：启动时一次性度量，之后不再变化。优点是简单，缺点是运行时动态加载的模块管不到。
• 动态信任链（Dynamic Root of Trust）：系统运行中可以随时启动一个新的信任度量。Intel 的 TXT 技术就是典型，可以在 OS 运行中再度量一段代码。

我个人更倾向于动态信任链，虽然实现复杂，但灵活性高。不过大多数场景下，静态信任链已经够用了——别为了炫技过度设计。

1.5 硬件基础：TPM 与信任根

聊可信启动，绕不开 TPM（Trusted Platform Module）。

TPM 是一颗独立的安全芯片，或者集成在 CPU 里。它干三件事：

1. 安全存储：密钥、证书、度量值存在 TPM 里，操作系统拿不到
2. 度量存储：PCR 寄存器只能扩展（extend），不能重置（除非重启）
3. 签名证明：用 TPM 的私钥对 PCR 值签名，远程验证方可以确认启动链是否可信

我记得第一次调 TPM 驱动时，被 PCR 的 extend 机制搞晕了——它不是直接写值，而是把新值和旧值拼起来再哈希。这个设计是为了保证度量顺序不可抵赖。