4、安全启动链（Secure Boot）：从BootROM到应用层的信任链建立

安全启动链，说白了就是给固件从出生到运行，每一关都上个「锁」。我做了这么多年嵌入式安全，见过太多设备因为启动链被攻破，整个系统就像纸糊的一样。你想想看，如果第一级代码就被篡改了，后面再怎么加密都是白搭。

这一章，我们就来聊聊这个信任链是怎么一级一级建立起来的。

整个安全启动链的起点，是芯片内部固化的 BootROM。这段代码在芯片流片时就写死了，物理上无法修改。为什么非要这么「死板」？

我遇到过一款 IoT 芯片，设计时把 BootROM 放在了 Flash 里，结果黑客通过电压毛刺攻击，直接把启动代码给换了。从那以后，我但凡选型，第一件事就是确认 BootROM 是不是 Mask ROM。

  核心原则：信任链的根必须是物理不可篡改的。BootROM 就是那个「根」，它不信任任何人，只信任自己。

BootROM 的主要职责其实很简单：

嗯，这里要注意，BootROM 本身不包含任何密钥——它只包含一个公钥的哈希值。真正的公钥存储在一次性可编程（OTP）区域里。

安全启动链的模型，就像一场接力赛。每一棒（代码模块）在交棒之前，都要确认下一棒的身份。

典型的信任链长这样：

每一级都做三件事：

我曾经调试过一个设备，Bootloader 加载内核时签名验证总是失败。查了两天，发现是 OTP 里存的公钥哈希和实际公钥对不上——产线烧录时出了错。你看，信任链的任何一个环节断了，整个系统就起不来。

很多人以为签名验证就是比个哈希值。其实没那么简单。我们来看看一个典型的验证流程：

// 伪代码：BootROM 验证 SPL
1. 从 Flash 读取 SPL 镜像 + 签名数据
2. 从 OTP 读取公钥
3. 用公钥解密签名，得到哈希值 H1
4. 计算 SPL 镜像的哈希值 H2
5. 比较 H1 和 H2
6. 如果一致，跳转到 SPL；否则死循环

这里有个关键点：签名用的是非对称加密。私钥在开发者的安全环境中，公钥在芯片里。这样即使芯片被破解，攻击者也拿不到私钥，无法伪造签名。

我的习惯：签名算法至少用 RSA-2048 或 ECDSA P-256。SHA-1 已经不安全了，别再用。我在一个遗留项目里见过 SHA-1 签名，后来被碰撞攻击轻松绕过，那次教训挺深刻的。

安全启动链能防篡改，但防不住「回滚」。什么意思呢？攻击者不修改代码，而是把旧版本（有漏洞的）固件刷回去。

举个例子：

这就是回滚攻击。怎么防？加一个版本号计数器。

我个人比较推荐「版本号寄存器 + 单调计数器」的组合。版本号用于快速判断，计数器作为最终防线。

下面这张图，是我自己项目里常用的安全启动链设计。它把上面讲的内容串起来了。

做安全启动链，理论是一回事，落地是另一回事。我踩过的坑，列出来给大家参考：

我曾经犯过的错：

公钥硬编码在代码里： 有一次我把公钥直接写在 BootROM 的源码里，结果发现不同批次芯片要用不同密钥，改都改不了。后来改成 OTP 存储，灵活多了。
忽略调试接口： JTAG/SWD 接口没锁死，攻击者直接通过调试接口绕过整个安全启动链。现在我的习惯是：量产前必须熔断调试保险丝。
签名验证顺序搞反： 先解密再验证，还是先验证再解密？顺序错了，攻击者可以利用时间差做侧信道攻击。标准做法是：先验证签名，再解密内容。

我的建议：安全启动链不是「配完就完事」的。每次固件发布前，都要做一次完整的签名验证测试。我团队里有个自动化脚本，每次构建完自动刷机验证，过不了直接阻断发布。

安全启动链的核心，就是「信任传递」。从 BootROM 这个不可篡改的根开始，每一级都验证下一级的身份和完整性。再加上版本号防回滚、OTP 存储密钥、调试接口锁定这些辅助手段，才能构建一个真正可信的启动环境。

你可能会问：这样做会不会拖慢启动速度？确实会，每次签名验证都要几十到几百毫秒。但跟安全性比起来，这点代价是值得的。我见过太多设备因为省了这一步，最后被远程控制变成僵尸网络的一员。