2、基础知识：调试接口（JTAG/SWD）原理、固件存储与启动流程、常见攻击面概述
TinyML设备的安全防护，必须建立在对硬件底层机制的深刻理解之上。调试接口、固件存储与启动流程，构成了设备安全的三块基石。攻击者之所以能够绕过软件加密、提取固件或注入恶意代码，往往是因为这些硬件基础环节存在可乘之机。本章将系统拆解JTAG/SWD调试接口的工作原理、固件从存储到执行的完整链路，以及攻击者眼中最常见的攻击面，为后续章节的防拆设计打下坚实的理论基础。
2.1 调试接口（JTAG/SWD）原理
2.1.1 JTAG与SWD的核心机制
JTAG（Joint Test Action Group）最初是为PCB板级测试设计的边界扫描标准（IEEE 1149.1），后来被广泛用于芯片内部调试。它通过TMS（模式选择）、TCK（时钟）、TDI（数据输入）、TDO（数据输出）四根信号线，访问芯片内部的测试访问端口（TAP）控制器。TAP控制器是一个有限状态机，通过TMS引脚上的时序组合，可以切换到不同的测试/调试模式，进而访问芯片内部的寄存器、存储器以及外设。
SWD（Serial Wire Debug）是ARM公司推出的更精简的调试协议，仅需SWDIO（数据线）和SWCLK（时钟线）两根信号线。SWD在物理层上复用了JTAG的部分引脚，但在协议层采用了不同的数据包格式。SWD的优势在于引脚占用少，非常适合TinyML设备这类小型封装MCU。在实际的Cortex-M系列芯片上，SWD通常与JTAG共用调试接口，芯片出厂时默认启用。
| 特性 | JTAG | SWD |
|---|---|---|
| 信号线数量 | 4根（TMS/TCK/TDI/TDO） | 2根（SWDIO/SWCLK） |
| 通信速率 | 通常可达10-50MHz | 通常可达10-50MHz（与JTAG相当） |
| 协议复杂度 | 状态机复杂，支持边界扫描 | 协议简洁，专为调试优化 |
| 适用场景 | 大型SoC、FPGA、复杂板级测试 | MCU、TinyML设备、资源受限芯片 |
| 调试能力 | 读写内存、寄存器、Flash编程 | 读写内存、寄存器、Flash编程 |
| 安全风险 | 暴露全部调试能力 | 暴露全部调试能力（与JTAG相同） |
2.1.2 调试接口的工作流程
当调试器（如J-Link、ST-Link）连接到目标芯片的调试引脚时，首先会发送复位序列，将TAP控制器或SWD接口复位到已知状态。随后，调试器通过发送特定的命令序列，读取芯片的IDCODE寄存器，以识别芯片型号和制造商。识别成功后，调试器可以执行以下操作：
- 内存读写：直接读取或修改RAM、Flash、外设寄存器中的内容。
- 断点与单步：在指定地址设置硬件断点，或单步执行指令，观察程序运行状态。
- Flash编程：擦除、写入、校验Flash中的固件。
- 内核控制：复位内核、暂停/恢复执行、修改程序计数器（PC）等。
这些能力对于开发调试至关重要，但一旦设备部署到现场，这些能力就变成了攻击者的“后门”。攻击者只需一根调试探针连接设备的调试引脚，即可完整提取固件、分析逻辑、甚至注入恶意代码。
2.2 固件存储与启动流程
2.2.1 固件存储介质与布局
TinyML设备的固件通常存储在片内Flash或外部SPI Flash中。以常见的Cortex-M0+/M4 MCU为例，Flash起始地址一般为0x08000000（STM32系列）或0x00000000（部分国产MCU）。固件镜像的布局通常包含以下部分：
- 向量表：位于Flash起始地址，包含初始栈指针、复位向量、中断服务函数入口地址。
- 启动代码：负责初始化C运行环境（如拷贝.data段、清零.bss段），然后跳转到main函数。
- 只读数据：包括字符串常量、const修饰的变量、查找表等。
- 代码段：编译后的机器指令。
- 只读副本：部分芯片会将启动配置（如选项字节）存储在独立的OTP区域或Flash的特定页。
2.2.2 启动流程的完整链路
芯片上电后，启动流程遵循“ROM Boot → Bootloader → 应用程序”的固定顺序。以STM32为例，BOOT0/BOOT1引脚的电平状态决定了芯片从何处启动：
- ROM Boot：芯片内部的ROM固件（不可修改）执行，检查启动引脚状态，决定从主Flash、系统存储器（内置Bootloader）还是SRAM启动。
- Bootloader：如果从系统存储器启动，芯片会执行出厂固化的Bootloader，支持通过USART、USB、CAN等接口下载固件。这个Bootloader通常没有安全校验，是攻击者的重要入口。
- 应用程序：从主Flash启动时，CPU读取向量表中的复位向量，跳转到复位处理函数，完成系统初始化后进入main函数。
对于TinyML设备，固件中往往包含模型参数、推理引擎、敏感配置（如、设备证书）。如果启动流程缺乏安全校验，攻击者可以替换固件或篡改模型参数，导致设备行为异常或数据泄露。
2.3 常见攻击面概述
2.3.1 攻击面分类与攻击路径
攻击面是指设备中所有可被攻击者利用的入口点。对于TinyML设备，攻击面可以分为物理攻击、逻辑攻击和侧信道攻击三大类。攻击者的最终目标通常是提取固件、获取密钥、篡改模型或控制设备行为。
| 攻击类别 | 具体攻击方式 | 攻击目标 | 所需设备/技能 |
|---|---|---|---|
| 物理攻击 | 探针直接接触调试引脚、Flash芯片引脚 | 固件提取、数据嗅探 | 示波器、逻辑分析仪、微探针台 |
| 物理攻击 | 激光切割芯片封装，直接读取Flash内容 | 固件提取、密钥提取 | 激光切割设备、电子显微镜 |
| 物理攻击 | 电压/时钟毛刺注入，跳过安全校验 | 绕过读保护、启动校验 | 毛刺注入设备、FPGA开发板 |
| 逻辑攻击 | 利用调试接口（JTAG/SWD）未关闭 | 固件提取、内存读写、代码注入 | J-Link调试器、OpenOCD软件 |
| 逻辑攻击 | 利用Bootloader漏洞（如USB DFU） | 固件替换、任意代码执行 | USB线缆、PC端工具 |
| 逻辑攻击 | 利用通信接口（UART/SPI/I2C）缓冲区溢出 | 远程代码执行、数据篡改 | 固件逆向工具、漏洞利用开发 |
| 侧信道攻击 | 功耗分析（SPA/DPA） | 提取加密密钥 | 示波器、功耗采集探头、统计分析工具 |
| 侧信道攻击 | 电磁辐射分析 | 提取密钥、恢复指令流 | 近场探头、频谱分析仪 |
| 侧信道攻击 | 故障注入（时钟/电压/电磁） | 跳过校验、篡改控制流 | 毛刺注入设备、电磁脉冲枪 |
2.3.2 攻击者的典型攻击路径
一个熟练的攻击者通常会遵循以下路径：
- 信息收集：拆解设备，识别主控芯片型号、调试引脚位置、Flash型号、通信接口。
- 尝试调试接口：连接JTAG/SWD，尝试读取芯片ID和Flash内容。如果读保护未启用，直接提取固件。
- 绕过读保护：如果读保护已启用，尝试通过Bootloader漏洞、电压毛刺或芯片解密服务绕过保护。
- 固件逆向：使用IDA Pro、Ghidra等工具分析固件，定位密钥、模型参数、通信协议。
- 篡改或重放：修改固件中的模型参数或逻辑，重新打包并写回Flash，或利用提取的密钥进行通信欺骗。
2.4 案例拆解：某智能传感器固件提取全过程
某TinyML智能传感器用于工业设备振动监测，内置Cortex-M4 MCU，通过Wi-Fi模块上传数据。设备部署在工厂车间，物理可达。安全评估团队对该设备进行了渗透测试，目标是提取固件并分析其通信协议。
初始现象与目标：设备外壳有四个螺丝，拆开后露出PCB。主控芯片为STM32F411CEU6，旁边有一颗SPI Flash（W25Q64）。团队目标是提取固件，并检查是否存在硬编码密钥。
关键输入数据与参数：
- MCU型号：STM32F411CEU6（Cortex-M4，512KB Flash）
- 调试接口：SWD（SWDIO-PA13，SWCLK-PA14）
- Flash型号：W25Q64（8MB，SPI接口）
- 工具：J-Link调试器、OpenOCD、STM32CubeProgrammer
分析判断过程：
- 首先，使用J-Link连接SWD接口，运行
STM32_Programmer_CLI -c port=SWD命令，成功读取芯片ID（0x431）。 - 尝试读取Flash内容，执行
STM32_Programmer_CLI -c port=SWD -r 0x08000000 0x80000 firmware.bin，但提示“Read protection enabled”（读保护已启用）。 - 检查芯片选项字节，发现RDP级别为1（读保护等级1）。这意味着无法通过调试接口直接读取Flash。
- 团队转而检查Bootloader。将BOOT0引脚拉高，复位芯片，进入系统存储器Bootloader。通过USART1连接，发送0x7F同步命令，Bootloader响应0x79（ACK）。
- 尝试使用Bootloader的“读取内存”命令（0x11），但发现Bootloader被芯片出厂配置为“读保护”状态，同样无法读取。
- 团队决定采用电压毛刺攻击。使用ChipWhisperer-Lite开发板，在芯片执行Flash读取校验时，对VCAP引脚注入毛刺，尝试跳过RDP检查。经过多次尝试，成功将RDP级别从1降级为0。
- 降级后，重新连接SWD，成功读取完整固件（512KB）。
实际操作步骤与结果对比：
- 毛刺注入参数：毛刺宽度约5ns，电压幅度约1.2V，注入位置为VCAP引脚（内核电压去耦电容）。
- 成功概率：约30%（尝试50次，成功15次）。
- 固件提取后，使用Ghidra逆向，发现Wi-Fi模块的SSID和密码以明文存储，且MQTT通信密钥硬编码在固件中。
风险与代价：电压毛刺攻击需要专业设备（ChipWhisperer约500美元），且成功率不高，但一旦成功，设备安全防线完全崩溃。此外，毛刺注入可能导致芯片永久损坏（实验中损坏了2颗芯片）。
复盘经验：
- RDP级别1并非安全，只能防“君子”不能防“小人”。对于高安全场景，应使用RDP级别2（永久禁用调试接口，不可逆）。
- Bootloader同样需要保护。如果Bootloader存在漏洞，攻击者可以绕过RDP。
- 敏感信息（如密钥）不应明文存储在固件中，应使用安全元素（Secure Element）或MCU内部的OTP区域。