2. 调试接口基础
在嵌入式安全工程中，调试接口既是研发阶段不可或缺的“生命线”，也是产品出厂后最容易被忽视的攻击面。要理解 JTAG 与 SWD 的安全风险，必须先回到它们的设计初衷、标准演进以及物理层与协议层的基本结构。本节从起源讲起，逐步建立“物理引脚—协议状态—访问对象”三层认知模型，为后续的鉴权、熔断与防护设计打基础。
一、起源：从边界扫描到两线调试
JTAG 的全称是 Joint Test Action Group，最初并不是为调试 CPU 而生，而是为了解决高密度 PCB 上芯片引脚难以用探针接触的问题。1990 年，IEEE 将其标准化为 IEEE 1149.1，核心思想是：在每个芯片的 I/O 引脚旁放置边界扫描单元（Boundary Scan Cell），把这些单元串成一条移位寄存器链，通过 TAP（Test Access Port）控制器进行访问。这样，即使引脚被 BGA 封装完全遮挡，也能通过扫描链读写引脚状态，完成互连测试。
随着 SoC 集成度提高，芯片厂商发现 TAP 控制器不仅可以测引脚，还能访问片内调试逻辑。于是 JTAG 被扩展为 CPU 调试通道：通过扫描链把指令注入调试寄存器，实现暂停内核、读写内存、设置断点。ARM 早期的 ARM7TDMI、ARM9 都采用这种“JTAG + 调试寄存器”的方式。
但 JTAG 至少需要 TCK、TMS、TDI、TDO 四根信号线，加上可选的 TRST，共五根。对于引脚资源紧张的 MCU 来说，这个代价偏高。2006 年前后，ARM 推出 CoreSight 调试架构，并定义了 SWD（Serial Wire Debug）：用 SWCLK 和 SWDIO 两根线实现与 JTAG 等价的调试能力。SWD 不是简单裁剪，而是重新设计的两线协议，采用双向半双工通信，在时钟驱动下按包（Packet）交换请求与应答。
关键认知：JTAG 是“边界扫描测试”演化为“调试通道”的产物，SWD 是 ARM 为低引脚数场景重新设计的调试协议。两者在物理层不同，但在“访问调试寄存器与内存”这一目标上高度重合。
二、标准演进与生态位置
JTAG 的标准演进主要围绕 IEEE 1149 系列展开：1149.1 定义 TAP 与边界扫描；1149.4 增加模拟测试；1149.6 支持 AC 耦合差分信号；1149.7 引入两线 JTAG（cJTAG），在保留 TAP 状态机的前提下压缩引脚。ARM 的 CoreSight 则把调试访问抽象为 DAP（Debug Access Port），JTAG-DP 与 SW-DP 是同一 DAP 的两种前端。也就是说，无论外部走 JTAG 还是 SWD，内部访问的都是同一套调试总线与寄存器空间。
在物理层，JTAG 的 TCK 是独立时钟，TMS 在每个 TCK 上升沿采样，决定 TAP 状态机跳转；TDI/TDO 构成串行数据通路。SWD 的 SWCLK 由主机提供，SWDIO 是双向线，主机与目标在包间隙切换驱动方向。SWD 没有独立的“状态机引脚”，状态转换由包内的请求字段隐式表达。
三、物理层与协议层的分层理解
把调试接口拆成“物理层—链路层—访问层”有助于安全分析。物理层关注引脚、电平、时钟与驱动方向；链路层关注包格式、校验与应答；访问层关注 DP/AP 寄存器以及最终的内存映射。安全防护往往作用在不同层：引脚复用与熔断属于物理层，协议鉴权属于链路层，而调试权限分级（如 Secure Debug）属于访问层。
以 SWD 为例，一次典型的内存读取流程如下：主机发送请求包，目标返回 ACK，随后进入数据阶段。若目标处于低功耗或调试被禁用，会返回 WAIT 或 FAULT，主机需按协议重试或退出。理解这些状态，才能在排障时区分“线没接好”和“调试被熔断”。
# OpenOCD 中 JTAG 与 SWD 的适配器配置片段
# JTAG 模式
adapter driver ftdi
ftdi_layout_init 0x0008 0x000b
transport select jtag
adapter speed 1000
# SWD 模式
transport select swd
adapter speed 2000
# 若目标返回 WAIT，可降低速度或检查 SWDIO 上拉
四、案例与场景：同一块板上的两种连接
某工业网关使用 Cortex-M7 MCU，量产时通过 SWD 烧录并做功能测试，研发阶段则用 JTAG 连接 FPGA 做边界扫描。安全评审发现：SWD 接口在出厂后仍可通过测试点访问，且未启用 Secure Debug。攻击者只需焊接两根线，即可读取 Flash 中的密钥。复盘结论是：物理层未做引脚复用与熔断，访问层未配置鉴权，链路层也未限制调试速度与重试次数。
| 对比维度 | JTAG | SWD |
|---|---|---|
| 信号线数量 | 4~5 根（TCK/TMS/TDI/TDO/TRST） | 2 根（SWCLK/SWDIO） |
| 状态控制 | TMS 驱动 16 状态 TAP 状态机 | 包内字段隐式控制，无独立状态机引脚 |
| 数据方向 | TDI/TDO 独立单向 | SWDIO 双向半双工 |
| 典型访问对象 | 边界扫描链、调试寄存器 | DP/AP 寄存器、内存映射 |
| 常见安全风险 | 扫描链泄露、TAP 未禁用 | 测试点暴露、Secure Debug 未启用 |
五、常见误区与复盘要点
- 误区一：SWD 只是 JTAG 的简化版。两者在物理层和链路层差异很大，SWD 的包交换机制、应答类型和错误恢复策略都需要单独理解。
- 误区二：禁用 JTAG 就等于安全。若 SWD 仍可用，攻击者可通过 SWD 访问同一 DAP，防护必须覆盖两种前端。
- 误区三：物理层熔断后无法恢复。部分芯片支持通过安全启动或密钥解锁重新启用调试，需结合生命周期状态设计。
- 复盘要点：先确认目标芯片的 DAP 类型与调试权限寄存器，再检查引脚复用、上拉/下拉与测试点，最后验证协议层是否返回 FAULT 或 WAIT。
排障时建议按“供电与地—时钟—引脚复用—协议应答—权限寄存器”的顺序逐层排查。多数“连不上”的问题出在物理层，而“连上但读不到”的问题往往在访问层权限。
掌握 JTAG 与 SWD 的起源、标准演进以及物理层与协议层的基本概念，是后续分析调试接口攻击面、设计安全防护策略的前提。只有把“线—包—寄存器”三层关系理清，才能在安全工程中做出有针对性的取舍。