一、安全启动概述：信任的起点

大家好，我是你们的嵌入式安全讲师。今天咱们聊聊安全启动——这个听起来有点抽象、但实际做起来全是坑的话题。

先问个问题：你按下设备电源键，到系统完全跑起来，中间发生了什么？

如果你只看到“Bootloader 加载内核，内核挂载根文件系统”，那说明你还没被黑客盯上。我见过太多产品，就是因为这一步没做好，被攻击者轻松拿到了 root 权限。

1.1 什么是安全启动

安全启动，说白了就是一套“验身”机制。从芯片上电的第一行代码开始，每一级软件都要验证下一级的身份和完整性。

打个比方：你进一栋大楼，保安先看工牌（身份验证），再查你是不是通缉犯（完整性校验），确认没问题才放行。安全启动干的就是这个活。

具体来说，它包含三个核心动作：

• 身份认证：确认代码来自合法发布者（比如厂商签名）
• 完整性校验：确认代码没有被篡改过（哈希比对）
• 执行控制：只有通过验证的代码才能被执行

1.2 为什么需要安全启动

你可能觉得：“我的产品又不值钱，谁会来攻击？”

嗯，我以前也这么想。直到有一次，客户反馈设备频繁重启，远程排查发现 Bootloader 被人替换了——攻击者植入了一个挖矿程序。那台设备虽然不值钱，但它连着公司的 VPN，成了内网的跳板。

安全启动解决的核心问题有三个：

威胁场景	没有安全启动的后果	安全启动如何防御
固件被篡改	攻击者替换 Bootloader 或内核，植入后门	签名验证失败，拒绝启动
回滚攻击	攻击者刷入有漏洞的旧版本固件	版本号+签名联合校验，阻止降级
物理篡改	通过 JTAG/SWD 直接读取或修改 Flash 内容	配合 eFuse 锁定调试接口，阻断物理攻击
供应链攻击	生产环节被植入恶意代码	厂商私钥签名，生产端无法伪造

1.3 信任链模型：从“根”开始

安全启动的核心思想是“信任链”。它不像 Windows 那样装个杀毒软件就完事，而是从硬件层面开始，一级一级往上建立信任。

我习惯把信任链比作“传国玉玺”：

• 第一代皇帝（硬件）刻好玉玺（根密钥）
• 传给太子（BootROM）时，太子要验玉玺真伪
• 太子再传给下一代（Bootloader），同样要验
• 直到传给最后一代（操作系统），每一环都不能断

下面这张图展示了典型的信任链结构：

这张图里，每一级都承担两个角色：

• 验证者：校验下一级代码的签名和完整性
• 被验证者：自己也被上一级验证过

最底层的“硬件根信任”是整条链的锚点。它通常存储在芯片的 eFuse 或 OTP 中，出厂就写死了，连芯片厂商自己都改不了。

1.4 信任链的两种实现方式

实际项目中，信任链有两种主流实现方式。我根据芯片资源情况选择：

实现方式	原理	优点	缺点	适用场景
链式验证	每一级验证下一级，逐级传递信任	实现简单，资源消耗低	链中任何一环断裂，后续全部失效	资源受限的 MCU 系统
星型验证	BootROM 直接验证所有后续镜像	单点控制，管理方便	BootROM 逻辑复杂，占用 ROM 空间大	高性能 SoC（如 ARM TrustZone）

我个人更倾向于链式验证。原因很简单：BootROM 空间极其宝贵，每多一行代码都可能塞不下。而且链式验证的每一级可以独立更新，灵活性更高。

1.5 一个真实的教训

最后分享一个我踩过的坑。

几年前做一款 IoT 网关，选了某款主流 ARM 芯片。芯片手册说支持安全启动，我就放心地用了。结果量产 5000 台后，发现一个问题：BootROM 只验证了 Bootloader 的签名，但 Bootloader 加载内核时，竟然没有做任何校验！

也就是说，攻击者只要替换掉 Flash 中的内核镜像，就能绕过所有安全机制。那安全启动还有什么意义？

后来我查了芯片的勘误表，才发现这是芯片的一个设计缺陷——BootROM 的签名验证功能只覆盖到 Bootloader，后续的验证需要开发者自己在 Bootloader 里实现。而我们的 Bootloader 压根没写这部分代码。

嗯，从那以后，我养成了一个习惯：拿到新芯片，第一件事就是画信任链图，标清楚每一级的验证边界，然后逐级确认代码实现。