📚 课程目录第1章课程导入

课程导入：学习目标、适用人群、课程整体框架与实战环境准备

在嵌入式系统与物联网设备安全领域，固件镜像的完整性校验与来源认证是构建可信启动链的第一道防线。Secure Boot 并非单一的技术点，而是一套从硬件根信任（Root of Trust）出发，逐级验证引导程序、内核与文件系统完整性的安全机制。本课程旨在帮助学员从零搭建一套可落地的固件验签流程，理解 RSA/ECDSA 签名算法在 Bootloader 中的工程化实现，并掌握在 QEMU 模拟环境与真实开发板上进行调试与排障的方法。本章作为课程导入，将明确学习路径、目标人群、实验环境配置方式，并给出整体知识框架，为后续 29 个章节的深入学习奠定基础。

1.1 学习目标与课程定位

本课程面向具备一定嵌入式开发基础、希望系统掌握安全启动技术的工程师。完成本课程后，学员将能够：独立完成从密钥生成、镜像签名到 Bootloader 验签配置的完整链路；理解 Secure Boot 在不同硬件平台上的实现差异；掌握使用 QEMU 进行无硬件依赖的验签流程仿真；具备排查常见验签失败问题的能力。课程强调"原理 + 实战"双轮驱动，每个关键知识点均配有可执行的实验步骤与代码示例。

能力维度	初级目标	进阶目标	验证方式
密码学基础	理解哈希与签名基本概念	掌握 RSA/ECDSA 在固件验签中的工程实现	使用 openssl 生成密钥并签名
Bootloader 定制	了解 U-Boot 验签流程	能够修改 U-Boot 源码集成验签逻辑	编译并运行自定义 U-Boot
系统集成	理解 Secure Boot 启动链	能够设计多级验签方案	完成 QEMU 下的完整启动验证
排障能力	能看懂验签日志	能独立分析并解决验签失败问题	模拟密钥不匹配场景并修复

1.2 适用人群与前置知识

本课程适合以下三类人群：嵌入式软件工程师——需要为产品增加安全启动功能；系统安全工程师——希望深入理解固件信任链的构建方法；物联网架构师——需要设计设备端到端的安全方案。学员应具备以下基础：熟悉 C 语言与 Linux 命令行操作；了解 ARM 架构基本概念（寄存器、异常向量、启动流程）；有基本的密码学常识（对称/非对称加密区别）；能够阅读 Makefile 与 Shell 脚本。

经验提醒：如果你对 RSA 签名算法仅有模糊概念，建议先花 30 分钟复习公钥加密与哈希函数的数学原理。本课程不会深入推导数学公式，但会频繁使用 openssl 命令操作密钥，理解其输入输出格式至关重要。

1.3 课程整体框架（30 章结构）

课程内容按照"基础 → 核心 → 进阶 → 实战"四个阶段组织，共 30 章。前 5 章为密码学与信任根基础；第 6-15 章聚焦 Bootloader 验签实现；第 16-22 章讲解内核与文件系统验签；第 23-28 章为高级主题（如安全启动与 TPM 结合、多级证书链、防回滚机制）；最后 2 章为综合实战项目。每章均包含理论讲解、代码示例、实验任务与常见问题分析。

1.4 实战环境准备

为了确保所有实验可复现，本课程推荐使用 Ubuntu 22.04 LTS 作为宿主机系统，并安装以下工具链。若使用其他 Linux 发行版，请确保软件版本兼容。

# 安装基础工具
sudo apt update
sudo apt install -y build-essential git vim curl wget

# 安装交叉编译工具链（用于 ARM 目标）
sudo apt install -y gcc-aarch64-linux-gnu g++-aarch64-linux-gnu

# 安装 QEMU 模拟器
sudo apt install -y qemu-system-arm qemu-user-static

# 安装 U-Boot 编译依赖
sudo apt install -y swig python3-dev python3-setuptools device-tree-compiler

# 安装 OpenSSL 开发库
sudo apt install -y libssl-dev pkg-config

# 验证安装
aarch64-linux-gnu-gcc --version
qemu-system-aarch64 --version
openssl version

除了宿主机工具，还需要准备以下资源：U-Boot 源码（推荐 v2023.04 及以上版本）、Linux 内核源码（用于后续章节的镜像制作）、Buildroot（用于生成根文件系统镜像）。建议在宿主机上创建专用工作目录，例如 ~/secure-boot-lab，所有实验文件均存放于此。

风险提示：QEMU 模拟环境与真实硬件存在差异。例如，QEMU 的 virt 机型没有真实的 eFuse 或 OTP 存储，因此密钥存储方式需要模拟。本课程会在第 4 章详细说明如何在 QEMU 中模拟信任根。切勿将 QEMU 下的验证结果直接等同于真实芯片的安全等级。

1.5 案例拆解：从零搭建 QEMU Secure Boot 实验环境

下面通过一个完整案例，演示如何搭建一个可运行的 Secure Boot 最小验证环境。该环境将作为后续所有实验的基础平台。

背景与目标：在 x86 宿主机上通过 QEMU 模拟 ARM64 平台，实现 U-Boot 对 FIT 镜像的验签启动。初始状态是 U-Boot 默认配置（不验签），目标状态是 U-Boot 能够校验镜像签名，拒绝未签名或签名错误的镜像。

操作步骤：

获取 U-Boot 源码并配置：下载 v2023.04 版本，执行 make qemu_arm64_defconfig 生成默认配置。
启用 FIT 签名支持：在 menuconfig 中开启 CONFIG_FIT_SIGNATURE、CONFIG_RSA 选项。
生成测试密钥：使用 openssl 生成 RSA 2048 位密钥对，并将公钥以 device tree 格式嵌入 U-Boot。
编译 U-Boot：执行 make -j4 生成 u-boot.bin。
制作 FIT 镜像：编写 .its 文件描述内核与设备树，使用 mkimage 工具签名生成 image.fit。
启动 QEMU 验证：运行 qemu-system-aarch64 -M virt -cpu cortex-a53 -nographic -bios u-boot.bin，在 U-Boot 命令行中执行 bootm 命令加载 FIT 镜像。

结果对比：未启用验签时，任意修改过的镜像均可启动；启用验签后，签名不匹配的镜像会被拒绝，控制台输出类似 Verifying Hash Integrity ... Failed 的错误信息。通过该案例，学员可以直观感受到 Secure Boot 的安全效果。

复盘经验：搭建环境过程中最常见的错误是密钥格式不匹配。U-Boot 要求公钥以特定格式（如 keydir 目录下的 .key 文件）嵌入，且 FIT 镜像中的签名算法必须与密钥类型一致。建议学员严格按照第 6 章的步骤操作，避免在环境配置上花费过多时间。

1.6 常见误区与学习建议

在学习本课程时，学员常陷入以下误区：误区一：认为 Secure Boot 只是"加个签名"那么简单，忽略了信任根的保护；误区二：在真实硬件上反复烧写测试，导致开发板变砖；误区三：混淆"加密"与"签名"的概念——Secure Boot 使用签名保证完整性，而非加密保证机密性。