2、升级安全威胁模型：攻击者目标、常见攻击向量与风险等级评估
做固件升级安全，第一步不是写代码，而是搞清楚敌人是谁、想干什么、能怎么干。我见过不少团队一上来就堆加密算法，结果连最基本的中间人攻击都没防住——说白了，方向错了。
这一节，我们就把攻击者的底牌翻个底朝天。
2.1 攻击者的核心目标
攻击者费尽心思搞你的固件升级流程，图什么？我总结下来，无非四个字：破坏、控制、窃取、持久。
| 目标类型 | 具体意图 | 真实案例（我经历的） |
|---|---|---|
| 破坏设备 | 让设备变砖、功能失效、触发物理损坏 | 某智能电表项目，攻击者注入错误固件导致批量设备死机 |
| 控制设备 | 植入后门、劫持设备加入僵尸网络 | 摄像头固件被篡改后，成了DDoS攻击的肉鸡 |
| 窃取数据 | 提取设备密钥、用户隐私、业务数据 | 工业网关升级时被截获，私钥泄露 |
| 持久化驻留 | 让恶意固件长期存活，不被清除 | 攻击者利用降级攻击，让设备永远停在有漏洞的版本 |
你想想看，这四个目标往往是组合出现的。攻击者先破坏，再控制，然后窃取，最后驻留。我们做防御，必须把这四条路都堵死。
2.2 四大常见攻击向量
攻击路径就那么几条，但每条都能玩出花来。我按出现频率排个序，你对照自己的项目看看，中了几条。
2.2.1 中间人攻击（Man-in-the-Middle, MITM）
这是最经典的，也是我最早遇到的。攻击者站在设备和服务器之间，截获、修改甚至伪造升级包。
- 攻击场景：设备通过HTTP下载固件，攻击者在Wi-Fi热点上做代理。
- 后果：固件被替换成恶意版本，设备完全沦陷。
- 我的教训：曾经有个项目，固件包没做签名校验，攻击者直接在路由器上替换了升级文件。那一次，我们花了整整两周才把受感染的设备全部下线。
2.2.2 重放攻击（Replay Attack）
攻击者不需要破解你的加密，只需要把之前合法的升级包再发一遍。你想想看，如果设备不能区分“这是新的升级”还是“旧的被重放”，那就有麻烦了。
- 攻击场景：攻击者抓取一次合法的升级流量，等设备下次升级时，把旧包重新发送。
- 后果：设备被降级到旧版本，旧版本的漏洞可以被利用。
- 关键点：重放攻击往往和降级攻击配合使用。
2.2.3 降级攻击（Rollback Attack / Downgrade Attack）
这个攻击向量特别阴险。攻击者不塞恶意固件，而是让设备退回到一个有已知漏洞的旧版本。然后，再利用那个漏洞进行后续攻击。
- 攻击场景：设备允许升级到任意版本，攻击者提供一个旧版本固件，设备校验通过后安装。
- 后果：设备暴露在已知漏洞下，攻击者可以轻松拿下。
- 为什么难防：很多团队只关心“固件是不是官方的”，不关心“固件是不是最新的”。
2.2.4 篡改攻击（Tampering Attack）
攻击者直接修改固件包的内容。可能是改一个字节，也可能是整个替换。篡改攻击往往和中间人攻击配合，但也可以独立发生——比如攻击者物理接触了存储介质。
- 攻击场景：攻击者通过漏洞获取了固件服务器的写入权限，直接修改服务器上的固件包。
- 后果：所有从该服务器下载固件的设备都会被感染。
- 防御关键：固件签名。只要签名校验严格，篡改后的固件包就无法通过验证。
嗯，这里要注意：签名算法本身也可能有漏洞。我记得有个项目用了RSA-1024，后来发现这个强度已经不够了，攻击者可以在合理时间内破解。现在我个人习惯至少用RSA-2048或ECDSA。
2.3 风险等级评估模型
光知道攻击向量还不够，你得能评估每个向量对你的项目有多大威胁。我常用一个简单的三维评估模型：攻击难度 × 攻击影响 × 攻击概率。
| 维度 | 低（1分） | 中（2分） | 高（3分） |
|---|---|---|---|
| 攻击难度 | 需要物理接触、专用设备 | 需要网络访问、中等技能 | 远程即可、公开工具可用 |
| 攻击影响 | 单个设备功能异常 | 批量设备功能失效 | 设备完全失控、数据泄露 |
| 攻击概率 | 极少见，需要特定条件 | 偶尔出现，有先例 | 常见，攻击者经常使用 |
总分 = 难度 × 影响 × 概率。我一般这样划分风险等级：
- 1-8分：低风险 —— 基本防御即可，比如简单的校验和。
- 9-18分：中风险 —— 需要签名验证、加密传输。
- 19-27分：高风险 —— 必须多重防护，包括安全启动、硬件安全模块、远程证明。
举个例子，中间人攻击：难度低（3分）、影响高（3分）、概率高（3分），总分27分——高风险，必须重点防御。而降级攻击：难度中（2分）、影响中（2分）、概率中（2分），总分8分——中风险，但也不能忽视。
2.4 威胁模型全景图
下面这张图，是我自己画的一个威胁模型全景图。它把攻击者目标、攻击向量、风险等级串在了一起。你每次做安全设计时，可以拿它当checklist。
2.5 实战中的避坑指南
最后，分享几个我踩过的坑，希望能帮你少走弯路。