2. 硬件信任根(RoT)

大家好，我是你们的讲师。今天咱们聊聊可信启动链里最底层的那个“锚”——TPM芯片。说白了，它就是整个信任链的起点，如果这个起点不可信，后面再折腾也没用。

我刚开始接触可信计算时，觉得TPM就是个“黑盒子”，往里扔数据，它吐个哈希值出来。后来在项目中踩过几次坑，才真正理解它的设计有多精妙。嗯，咱们一步步来看。

1.1 TPM芯片是什么？

TPM（Trusted Platform Module），中文叫可信平台模块。它是一个独立的硬件安全芯片，焊在主板上，有自己的处理器、存储器和加密引擎。你可以把它想象成一个“保险柜”——钥匙在你自己手里，但柜子本身是防撬的。

为什么需要它？因为软件层面的安全措施，比如操作系统里的加密库，很容易被恶意程序篡改。而TPM是硬件级别的，攻击者想动它，得先物理拆机。我在项目中遇到过客户问：“能不能用软件模拟TPM？”我的回答是：可以，但那就不是硬件信任根了，信任链的根基就断了。

1.2 TPM的功能与架构

TPM的功能可以归纳为四大类：

• 密钥管理：生成、存储、使用密钥，私钥永远不出芯片
• 平台度量：记录系统启动过程中的各个组件状态
• 身份认证：证明平台的身份和完整性
• 密封存储：将数据绑定到特定的平台状态

它的内部架构大致是这样的：

你看，TPM内部其实是个微型计算机。它通过LPC或eSPI总线与CPU通信，但所有敏感操作都在芯片内部完成。我记得有次调试一个启动失败的问题，发现是TPM的加密引擎过热导致哈希计算错误——嗯，硬件问题有时候就是这么玄学。

1.3 TPM的密钥层次

TPM的密钥管理是分层设计的，有点像俄罗斯套娃。最核心的是背书密钥（EK），它在芯片出厂时烧录，全世界唯一。然后是存储根密钥（SRK），用来保护其他密钥。再往下是各种应用密钥。

这个层次结构的好处是：即使应用密钥泄露，也不会影响SRK和EK。我见过一些设计，把所有密钥都放在一个层级，结果一个漏洞就全盘皆输。说白了，分层就是安全工程里的“最小权限原则”。

密钥层级	名称	用途	生命周期
第1层	背书密钥（EK）	芯片身份证明	永久（出厂烧录）
第2层	存储根密钥（SRK）	保护存储层次	可重置
第3层	身份证明密钥（AIK）	平台身份认证	按需生成
第4层	绑定密钥/签名密钥	应用级加密/签名	按需生成

1.4 TPM的度量与报告

度量（Measurement）和报告（Attestation）是TPM最核心的功能。度量就是记录系统启动过程中每个组件的哈希值，报告就是把这些哈希值展示给验证方。

具体流程是这样的：

1. BIOS/UEFI启动时，先度量自己的代码，把哈希值扩展到PCR
2. 然后度量引导加载程序（如GRUB），再扩展PCR
3. 引导加载程序度量操作系统内核，继续扩展PCR
4. 操作系统度量关键服务和应用，PCR不断更新

你想想看，这个链条一旦建立，任何环节被篡改，PCR的值都会变化。验证方只需要比对PCR值，就能知道系统是否被篡改过。

这里有个关键操作叫“扩展”（Extend），不是简单的覆盖，而是：

PCR_new = SHA256(PCR_old || 新度量值)

为什么要这样设计？因为如果直接覆盖，攻击者可以伪造一个假度量值。而扩展操作保证了度量顺序的不可抵赖性。我记得有次给客户做培训，有人问：“能不能重置PCR？”我说可以，但需要物理存在（Physical Presence）信号——说白了，你得按一下机箱上的按钮。

1.5 PCR寄存器详解

PCR（Platform Configuration Register）是TPM内部的一组寄存器，用来存储度量值。TPM 2.0规范定义了至少24个PCR，每个都有特定用途。

PCR索引	用途	度量内容
PCR 0	BIOS/UEFI代码	固件代码的哈希
PCR 1	BIOS/UEFI配置	固件配置数据
PCR 2	Option ROM代码	扩展卡固件
PCR 3	Option ROM配置	扩展卡配置
PCR 4	引导加载程序	MBR/GRUB等
PCR 5	引导加载程序配置	GRUB配置等
PCR 6	状态转换	休眠/唤醒状态
PCR 7	安全策略	Secure Boot策略
PCR 8-15	操作系统使用	内核、驱动等
PCR 16-23	调试/厂商自定义	按需使用

我个人习惯在部署可信启动时，先记录一组“黄金PCR值”——也就是系统在干净状态下的PCR快照。然后定期比对，一旦发现偏差，立刻告警。这个方法帮我抓过好几次固件被篡改的案例。

嗯，TPM的内容今天就讲到这里。记住一句话：硬件信任根是整个安全体系的基石，而TPM就是这块基石上的“锚”。理解它的密钥层次和PCR机制，你就能明白可信启动链为什么能“可信”。