第01章
可信启动概述
什么是可信启动 · 为什么需要 · 信任链模型 · 与安全启动的区别
基础概念
第02章
硬件信任根(RoT)
TPM芯片 · 功能与架构 · 密钥层次 · 度量与报告 · PCR寄存器
TPM硬件
第03章
UEFI安全启动
UEFI固件 · 安全启动流程 · KEK/db/dbx · 签名验证 · 平台密钥(PK)
UEFI签名
第04章
Bootloader阶段
GRUB2安装配置 · 签名验证 · shim引导 · MOK管理 · PreLoader
GRUBshim
第05章
内核完整性度量
IMA原理 · 策略配置 · 度量日志 · Appraisal · 与TPM交互
IMA内核
第06章
文件系统完整性
dm-verity · veritysetup · 只读根文件系统 · OverlayFS · Android AVB
dm-verityAVB
第07章
远程证明
远程证明概念 · TPM Quote · 挑战-响应 · Intel SGX · 云环境
远程证明SGX
第08章
Linux内核模块签名
签名机制 · 生成密钥 · 强制签名 · 验证流程 · 未签名模块处理
模块签名内核
第09章
容器镜像签名
Docker Content Trust · Notary · cosign · 签名验证 · 仓库信任策略
容器cosign
第10章
软件供应链安全
in-toto · SLSA · SPDX · SBOM · Gitsign
供应链SLSA
第11章
TrenchBoot项目
TrenchBoot概述 · 动态启动信任 · SKINIT · ACPI DRTM · 部署实践
TrenchBootDRTM
第12章
Intel Boot Guard
Boot Guard原理 · 配置 · Fuse编程 · 与TPM结合 · 验证流程
IntelBoot Guard
第13章
AMD Platform Secure Boot
AMD PSP · 安全启动流程 · 信任链 · 与Intel对比
AMDPSP
第14章
ARM Trusted Firmware
TrustZone · TF-A架构 · BL1/BL2/BL31/BL32 · OPTEE · 安全启动实践
ARMTF-A
第15章
RISC-V安全启动
信任根方案 · OpenSBI · M/S模式 · 现状与挑战
RISC-VOpenSBI
第16章
U-Boot安全启动
U-Boot签名 · FIT镜像 · Verified Boot · 与OPTEE结合 · HAB
U-BootHAB
第17章
Coreboot与安全启动
Coreboot简介 · 启动流程 · 与UEFI对比 · VBOOT · 深度睡眠恢复
CorebootVBOOT
第18章
Linux内核锁定(Lockdown)
Lockdown模式 · 配置选项 · 对kprobes/ftrace影响 · 与IMA协作 · 调试
Lockdown内核
第19章
设备驱动签名
Windows驱动签名 · Linux驱动签名 · 证书管理 · 交叉签名 · 自动化
驱动签名证书
第20章
UEFI安全启动进阶配置
自定义KEK/db/dbx · 吊销机制 · 审计日志 · 故障排除 · 自动化部署
UEFI进阶
第21章
TPM2.0实战
tpm2-tools · NV存储 · 策略会话 · 密封与解封 · 密钥导出
TPM2.0实战
第22章
可信启动日志分析
PCR扩展与重置 · 度量日志解析 · Event Log · 远程收集 · 异常检测
日志PCR
第23章
可信启动自动化测试
测试框架 · PCR预期验证 · 签名验证 · 回滚攻击 · 测试报告
自动化测试
第24章
可信启动故障排除
启动失败原因 · PCR不匹配 · 签名验证失败 · TPM通信错误 · 固件配置
故障调试
第25章
嵌入式系统可信启动
Yocto/Buildroot · 嵌入式TPM · MCU信任根 · IoT安全启动
嵌入式IoT
第26章
云环境可信启动
裸金属 · 虚拟化信任链 · TDX/SEV-SNP · 机密计算 · 远程证明服务
云机密计算
第27章
边缘计算可信启动
边缘信任根 · 远程管理 · OTA安全 · 证书管理 · 合规性
边缘OTA
第28章
合规性与标准
TCG · NIST SP 800-155/193 · FIPS 140-3 · 通用标准 · GDPR
标准合规
第29章
可信启动未来趋势
量子计算影响 · 零信任架构 · AI异常检测 · 机密计算 · 开源生态
趋势量子
第30章
综合实战项目
搭建完整可信启动链 · 硬件RoT到应用层 · 自动化部署 · 远程证明服务 · 文档演示
实战项目