VIP21

本课程属于：027-Secure Boot与TEE安全启动 嵌入式与底层系统 · 共 21 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

可信启动配置与固件签名实战

📚 共计 30 章节

可信启动概述

什么是可信启动、为什么需要可信启动、可信启动的信任链模型。

信任链概念

密码学基础

哈希算法（SHA256）、非对称加密（RSA/ECC）、数字签名原理。

固件签名工具链

OpenSSL工具安装、密钥对生成、证书格式（PEM/DER）。

固件哈希计算

使用OpenSSL计算固件哈希、哈希值的存储与校验。

哈希完整性

固件签名流程

使用私钥对固件哈希签名、签名文件的生成与格式。

固件验签流程

使用公钥验证签名、验签失败的处理机制。

BootROM与第一级引导

BootROM的作用、不可篡改的根密钥、第一级引导加载程序。

BootROM根密钥

第二级引导加载程序

SPL/UBoot的签名与验证、链式信任传递。

内核与设备树签名

Linux内核镜像签名、设备树（DTB）签名与校验。

根文件系统完整性校验

dm-verity机制、哈希树构建、启动时校验。

dm-verity哈希树

硬件安全模块（HSM）

HSM的作用、密钥存储在HSM中的优势、PKCS#11接口。

安全启动（Secure Boot）

UEFI Secure Boot原理、密钥数据库（KEK/db/dbx）。

Android Verified Boot（AVB）

AVB 2.0架构、vbmeta分区、回滚保护。

Chrome OS 验证启动

Chrome OS的启动流程、内核签名、恢复模式。

Yocto项目中的签名集成

Yocto构建系统、签名类（signing class）、镜像签名。

Yocto镜像签名

Buildroot中的签名集成

Buildroot配置、后处理脚本、固件签名。

Buildroot后处理

密钥管理与轮换

密钥生成策略、密钥备份与恢复、密钥轮换流程。

密钥轮换备份

固件更新与签名

OTA更新机制、增量更新签名、防回滚保护。

代码签名证书

代码签名证书申请、时间戳服务、吊销列表（CRL）。

TPM（可信平台模块）

TPM 2.0基础、平台配置寄存器（PCR）、远程证明。

TEE（可信执行环境）

TEE与REE的区别、OP-TEE、安全存储与签名。

U-Boot的HAB（High Assurance Boot）

NXP i.MX平台的HAB、签名与烧录。

ARM Trusted Firmware（TF-A）

TF-A架构、BL1/BL2/BL31签名、FIP打包。

RISC-V平台的可信启动

RISC-V启动流程、OpenSBI签名、M-mode安全。

安全启动的测试与调试

模拟验签环境、调试签名失败、JTAG保护。

常见攻击与防御

Bootkit攻击、硬件攻击、侧信道攻击与防护。

Bootkit侧信道

合规与标准

IEC 62443、ISO 21434、FIPS 140-3对签名的要求。

IEC 62443ISO 21434

自动化CI/CD集成

GitLab CI签名流水线、Jenkins签名插件、自动化测试。

智能家居设备可信启动实现、车载ECU固件签名实践。

智能家居ECU

课程总结与未来展望

可信启动技术趋势、量子计算对签名的挑战、课程回顾。