3. 安全启动威胁模型与信任根
安全启动不是“加一个校验”那么简单，它要回答三个问题：防谁、防什么、凭什么信。在 S32 这类高性能域控上，攻击者可能来自 OTA 通道、调试口、外部 Flash、总线注入，甚至供应链。安全启动的目标是让 ECU 每次上电都只运行“被授权且未被篡改”的代码，并把信任从不可变的硬件锚点逐级传递到应用。
一、威胁模型：安全启动要防的攻击类型
威胁建模先明确攻击面。对 S32 域控，典型攻击类型可归纳为以下几类：
- 镜像篡改：攻击者修改 Flash 中的 Bootloader 或应用镜像，植入恶意代码。防御手段是签名验证与哈希校验。
- 回滚攻击：把已修复的旧版本重新刷入，利用旧漏洞。防御手段是版本号单调递增与防回滚计数器。
- 降级/替换：用合法但非目标车型的镜像替换，绕过车型绑定。防御手段是证书中绑定 ECU ID、车型与生命周期状态。
- 调试口滥用：通过 JTAG/SWD 读取密钥或改写内存。防御手段是生命周期状态机与调试认证。
- 总线注入：在 CAN/CAN-FD 或以太网上伪造诊断请求触发刷写。防御手段是安全访问（Seed/Key）与刷写前置认证。
- 密钥提取：从外部 Flash 或内存中窃取对称密钥。防御手段是密钥不出 HSE、只以句柄引用。
- 故障注入：电压/时钟毛刺跳过校验分支。防御手段是冗余校验、HSE 内部自检与安全计数器。
这些攻击并非孤立，实际攻击链常是“先通过调试口提取密钥，再伪造签名镜像”。因此威胁模型要按攻击面—攻击能力—防御机制三层对应，而不是只列攻击名称。
二、信任根：不可变的起点
信任根（Root of Trust, RoT）是安全启动的起点，必须满足三个属性：不可篡改、可验证、最小化。在 S32 上，RoT 由硬件信任根与 HSE 固件共同构成：
- 硬件信任根：芯片内固化的 Boot ROM 与 HSE 安全子系统，出厂即固定，不可被应用改写。
- 密钥信任根：烧录在 HSE 密钥存储区（NVM）中的根公钥或对称密钥，受生命周期保护。
- 度量信任根：HSE 内部的哈希引擎与签名验证单元，作为可信度量与验证的执行者。
信任链的传递逻辑是：Boot ROM 验证 HSE 固件 → HSE 验证 Bootloader → Bootloader 验证应用 → 应用验证 OTA 包。每一级只信任上一级给出的“已验证”结论，形成单向信任链。
三、S32 HSE 安全引擎与 SHE 标准
S32 的 HSE（Hardware Security Engine）是独立的安全子系统，包含 Cortex-M 内核、AES/SHA/ECC 加速器、真随机数发生器与安全密钥存储。它对外提供服务接口，应用通过消息单元（MU）发送命令，密钥始终留在 HSE 内部，应用只拿到句柄或结果。
HSE 兼容 SHE（Secure Hardware Extension）标准的关键概念：
- 密钥槽（Key Slot）：每个槽有唯一 ID、用途（如验证、加密、MAC）和属性（写保护、调试可见性）。
- 安全启动标志：SHE 定义 BOOT_OK、BOOT_FAILED 等状态，HSE 在启动时置位，应用可读取判断。
- 密钥更新协议：通过 M1~M5 消息实现密钥的授权更新，防止未授权替换。
与纯 SHE 相比，HSE 扩展了 ECC 签名验证、多镜像验证和更细粒度的密钥属性，更适合域控的多分区启动场景。
四、密钥层级与证书链设计
密钥不能“一把钥匙开所有门”。合理的层级是：根密钥 → 中间密钥 → 镜像签名密钥。根密钥烧录在 HSE NVM 中，离线保存；中间密钥由根密钥签发证书；镜像签名密钥由中间密钥签发，用于日常签名。这样即使镜像签名密钥泄露，也可通过吊销中间证书来止损，而不必更换芯片。
证书链设计要点：
- 根证书自签名，公钥哈希烧录在 HSE 中，作为信任锚。
- 中间证书包含有效期、用途扩展（如仅用于固件签名）和路径长度约束。
- 叶证书绑定镜像 ID、版本号、ECU 标识与安全版本计数器。
- 验证顺序：HSE 用根公钥验中间证书 → 用中间公钥验叶证书 → 用叶公钥验镜像签名。
下面这张图展示了从硬件信任根到应用镜像的信任链与密钥层级关系，以及各层对应的防御目标。
五、工程落地要点
在 S32 上落地安全启动，需要关注几个关键动作。第一，生命周期状态：芯片从“开发”切到“量产”时，必须关闭调试口、锁定密钥槽，否则信任根形同虚设。第二，密钥槽规划：建议至少划分根密钥槽、中间密钥槽、镜像签名槽和 MAC 槽，每个槽设置写保护与调试可见性属性。第三，防回滚计数器：HSE 提供单调计数器，每次 OTA 成功后递增，Bootloader 在验证时比较镜像版本号与计数器值，低于当前值直接拒绝。
一个常见的验证流程示例：Bootloader 从 Flash 读取镜像头，提取证书链与签名；通过 MU 向 HSE 发送验证命令，HSE 用根公钥验中间证书、用中间公钥验叶证书、用叶公钥验镜像哈希；验证通过后 HSE 置位 BOOT_OK，Bootloader 跳转到应用。若任一步失败，HSE 置位 BOOT_FAILED，系统进入安全恢复模式，只允许通过认证的 OTA 通道重新刷写。
注意：安全启动的强度取决于最弱一环。如果根密钥在产线被明文导出，或调试口在量产阶段仍开放，再完善的证书链也无法阻止攻击。威胁模型必须覆盖“密钥生成—烧录—存储—使用—吊销”全生命周期。
总结来看，威胁模型定义了“防什么”，信任根定义了“凭什么信”，HSE 与 SHE 提供了“用什么防”，密钥层级与证书链则解决了“如何分级授权与止损”。四者缺一不可，共同构成 S32 域控安全启动的完整防线。