3、安全启动链设计：信任链传递机制、多级Bootloader架构、签名与验签流程、回滚保护策略

安全启动链，说白了就是给设备装上一套「从娘胎里就开始验证」的机制。我做了这么多年TEE，见过太多设备因为启动链被攻破，整个安全体系瞬间崩塌。嗯，这一节我们就把这块硬骨头啃下来。

3.1 信任链传递机制

信任链的核心思想很简单：从一个绝对可信的起点开始，一级验证一级，直到整个系统启动完成。这个起点，通常固化在芯片内部的ROM里，物理上无法篡改。

我个人习惯把信任链比作「接力赛」——第一棒是硬件固化的Root of Trust，它验证并加载第二棒Boot ROM，Boot ROM验证并加载第三棒SPL，以此类推。每一棒都要检查下一棒的签名，确保没有被掉包。

信任链的传递必须满足三个条件：

• 不可绕过：任何一级都不能跳过验签直接执行下一级代码
• 单向依赖：后一级的信任完全建立在前一级的基础上
• 最小化：每一级只做必要的事，代码量越小越好

3.2 多级Bootloader架构

为什么需要多级？你想想看，芯片上电时，硬件资源极其有限——可能只有几KB的SRAM可用。你不可能让一个几KB的Bootloader去验签一个几十MB的Linux内核。所以，必须分级加载，逐步扩大执行环境。

典型的TEE安全启动架构分为三级：

层级	名称	存储位置	主要职责	代码量
BL1	Boot ROM	芯片内部ROM	初始化最小硬件，加载并验签BL2	~4KB
BL2	SPL / MLO	片上SRAM	初始化DRAM，加载并验签BL3	~32KB
BL3	U-Boot / ATF	DRAM	加载TEE OS和Normal OS，完成最终验签	~200KB

这里有个细节要注意：BL1是只读的，出厂后无法修改。BL2和BL3可以升级，但必须携带合法签名。我曾经见过一个方案，把BL2也放在ROM里——结果发现芯片改版一次就要重新流片，成本直接起飞。

3.3 签名与验签流程

签名验签是安全启动的核心操作。说白了，就是用私钥给镜像「盖个章」，公钥放在前一级里，启动时「验章」。常用的算法是RSA-2048或ECDSA-P256。

标准的签名流程如下：

1. 计算镜像的哈希值（SHA-256）
2. 用私钥对哈希值进行签名，生成签名数据
3. 将签名数据附加到镜像末尾，或者单独存储

验签流程正好反过来：

1. 读取镜像，计算哈希值
2. 用公钥解密签名数据，得到原始哈希值
3. 比较两个哈希值，一致则通过，否则拒绝启动

// 伪代码示例：BL2验签BL3
int verify_bl3(struct image *img, struct signature *sig, struct public_key *pk) {
    uint8_t hash[SHA256_DIGEST_SIZE];
    
    // 1. 计算镜像哈希
    sha256_compute(img->data, img->size, hash);
    
    // 2. 用公钥验签
    if (rsa_verify(pk, hash, sig) != 0) {
        return -1;  // 验签失败
    }
    
    // 3. 跳转到BL3执行
    jump_to(img->entry_point);
    return 0;
}

3.4 回滚保护策略

回滚攻击，是安全启动里最容易被忽视的漏洞。攻击者不篡改镜像，而是把设备「降级」到一个有已知漏洞的旧版本。你想想看，如果系统只验签不验版本，那攻击者完全可以拿一个旧版本来替换新版。

回滚保护的常见做法有两种：

• 版本号计数器：在一次性可编程存储（eFuse/OTP）中维护一个单调递增的计数器。每次升级时，新镜像的版本号必须大于计数器值，升级成功后更新计数器。
• 安全存储版本记录：将当前版本号存储在TEE安全存储区，启动时比较镜像版本和存储版本。

我个人更推荐第一种方式。为什么？因为eFuse一旦烧写就无法回退，硬件级别的保护比软件可靠得多。我曾经在项目里用过安全存储方案，结果攻击者通过物理攻击读取了Flash内容，把版本号改了回去——那次教训让我彻底转向了eFuse。

方案	安全性	成本	灵活性	推荐场景
eFuse计数器	高（硬件不可逆）	高（需要芯片支持）	低（烧写后无法修改）	高安全等级设备
安全存储版本	中（依赖TEE保护）	低（软件实现）	高（可灵活调整）	普通消费类设备

3.5 安全启动链全景图

下面这张图展示了完整的信任链传递过程。你可以看到，从芯片上电到TEE OS启动，每一级都在做同一件事：验签、加载、移交控制权。

从这张图可以看得很清楚：信任链是一条单向的、不可逆的路径。每一级都只信任它的上一级，而上一级的可信度最终追溯到硬件ROM。这就是安全启动的根基。