1. 课程导入
1.1 什么是可信启动
可信启动，说白了就是让设备从通电那一刻起，每一步都“验明正身”。
我经常跟团队里的新人这么解释：你想想看，一台嵌入式设备开机，CPU 先跑一段固化在 ROM 里的代码，这段代码去加载 Bootloader，Bootloader 再去加载操作系统内核，内核再拉起各种服务。这一连串动作，如果中间任何一环被篡改了——比如 Bootloader 被人换成了恶意版本——那整台设备就不再可信了。
可信启动要解决的就是这个问题。它通过密码学手段，在每一级代码执行之前，先验证它的完整性。验证通过才放行，验证失败就拒绝启动。
核心定义：可信启动（Trusted Boot）是一种基于硬件信任根的启动验证机制，确保系统从最底层固件到操作系统内核的每一级代码都未被篡改。
我参与过的一个物联网网关项目，客户要求设备必须通过安全认证。当时我们用的方案就是基于 TPM 的可信启动。嗯，这里要注意，可信启动不是“防破解”，它防的是“代码被偷偷替换”。
1.2 为什么需要可信启动
你可能会问：我加个密码锁不就行了？为什么非要搞这么一套复杂的链式验证？
原因其实很直接。嵌入式设备有几个天然弱点：
- 物理可达：设备就在用户手里，拆壳、接调试线、读 Flash，这些操作对攻击者来说并不难。
- 启动过程透明：从 ROM 代码到内核加载，每一步都是公开的。攻击者可以分析、修改、重刷。
- 固件更新频繁：OTA 升级过程中，镜像可能被中间人替换。
我在一个车机项目上就吃过亏。当时设备没有做启动验证，结果有客户反馈车机启动后界面异常。查到最后发现，是维修站刷了一个非官方固件，里面被植入了广告程序。从那以后，我再也不敢跳过可信启动了。
真实案例：2016 年，某知名路由器厂商的固件签名被破解，攻击者通过伪造固件更新，在数十万台设备上植入了后门。如果设备具备完整的可信启动链，这种攻击至少会被拦截在 Bootloader 阶段。
所以，可信启动的核心价值就三点：
- 防篡改：确保固件和镜像在存储和传输过程中未被修改。
- 防降级：防止攻击者把设备回滚到有漏洞的旧版本。
- 建立信任锚点：为上层安全机制（如磁盘加密、远程证明）提供可信基础。
1.3 可信启动的信任链模型
信任链模型，是可信启动的骨架。它的思路很简单：从硬件开始，一级验证一级，直到整个系统启动完成。
我习惯把它画成一条链条——每个环节都依赖前一个环节的验证结果。链条断了，系统就不启动。
个人经验：设计信任链时，我建议把“信任根”放在芯片内部的一次性可编程存储器（OTP）里。密钥一旦写入，连生产线的测试人员都读不出来。这样做的好处是，即使攻击者拿到了 Flash 镜像，也无法伪造信任根。
下面这张图展示了典型的信任链结构：
这张图里，信任链从硬件信任根开始。ROM Code 是芯片出厂时烧录的，物理上不可修改。它负责验证 Bootloader 的签名。Bootloader 通过后，再去验证 OS Kernel。每一级都只信任上一级。
我遇到过不少开发者问：为什么不用一个统一的验证机制？原因其实很实际——启动过程是分阶段的，每个阶段的运行环境和可用资源都不一样。ROM Code 只有几 KB 空间，跑不了复杂的签名算法。Bootloader 阶段内存才初始化好，可以加载更大的验证逻辑。所以信任链必须分阶段设计。
| 信任链层级 | 存储介质 | 验证对象 | 典型算法 |
|---|---|---|---|
| 硬件信任根 | OTP / eFuse | ROM Code 完整性 | 硬件哈希 |
| ROM Code | 芯片内部 ROM | Bootloader 签名 | RSA-2048 / ECDSA |
| Bootloader | Flash (外部) | OS Kernel 签名 | RSA-2048 / ECDSA |
| OS Kernel | Flash / 网络 | 内核模块 / 驱动 | 模块签名验证 |
避坑指南：我曾经在一个项目里把信任链设计成了“单向信任”——Bootloader 验证内核，但内核不验证任何东西。结果攻击者通过修改内核模块绕过了安全策略。记住，信任链必须延伸到所有可执行代码，包括内核模块和动态加载的驱动。
最后说一个我个人的习惯。在设计信任链时，我会先画一张“启动流程图”，标出每个阶段加载的镜像、验证方式、密钥来源。然后问自己一个问题：如果攻击者控制了当前阶段，他能做什么？如果他能跳过验证或者伪造签名，那这个信任链就有漏洞。
嗯，可信启动的概述就聊到这里。记住三个关键词：信任根、链式验证、防篡改。后面的章节，我们会深入每个环节的具体实现。