1. 安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的信任根(RoT)概念
大家好，我是你们的讲师。咱们这门课讲的是 Bootloader 安全启动，第一节课，得先把地基打牢。
什么是安全启动？说白了，就是让设备只运行经过你授权的、完整的、没有被篡改过的代码。从芯片上电的第一条指令开始，到操作系统内核加载完毕，每一步都要验证。就像进一栋大楼，从大门到每个房间，层层刷卡，没有权限的人一步都进不去。
我早年做消费类产品时，对安全启动的理解也很浅。觉得只要把 Flash 加密了，别人读不出来就行。后来在一次安全攻防演练中，对方通过一个串口漏洞，直接跳过了我的启动校验，把系统给黑了。那次之后我才真正意识到——安全启动不是可选项，而是嵌入式设备的生命线。
1.1 为什么需要安全启动？
你可能会问：我的设备就是个简单的 IoT 传感器，或者就是个工业控制器，谁会来攻击我？
嗯，这个问题我当年也问过。直到我看到一个真实案例：某厂商的智能电表被破解，攻击者修改了固件，让电表“少走字”，造成了巨大的经济损失。还有更严重的——医疗设备被植入恶意代码，汽车 ECU 被远程控制。这些都不是科幻片，是已经发生的事。
安全启动要解决的核心问题有三个：
- 防篡改：防止固件被恶意修改后还能正常启动。比如有人把你的固件 dump 出来，改了里面的逻辑再烧回去。
- 防回滚：防止攻击者刷回一个有已知漏洞的旧版本固件。我见过一个路由器，就是因为没做回滚保护，被刷回旧版后利用已知漏洞拿下了 root 权限。
- 防未授权：防止非原厂的固件在设备上运行。比如山寨厂商想抄你的硬件，刷他们的系统。
一句话总结：安全启动保证了你设备上跑的每一行代码，都是你信任的、完整的、没有被动过手脚的。
1.2 信任根（RoT）—— 安全启动的基石
安全启动听起来很美好，但有个根本问题：谁来验证第一个验证者？
你想啊，如果芯片上电后，第一段代码是 BootROM，它要去校验下一级 Bootloader。那 BootROM 本身谁来校验？它自己吗？这就陷入了一个“先有鸡还是先有蛋”的循环。
解决这个问题的方案，就是信任根（Root of Trust, RoT）。
信任根是一个可信的、不可篡改的实体。它通常是固化在芯片内部的 BootROM，或者是一个独立的硬件安全模块（如 TPM、HSM）。这个实体在芯片制造时就被写死了，物理上无法修改，逻辑上也无法绕过。
我习惯把信任根比作“家族族谱的第一代祖先”。你没法质疑祖先的身份，因为他是整个家族的源头。所有后续的信任，都建立在对他的信任之上。
信任链的传递过程
有了信任根，剩下的工作就是“一级验一级”，形成一条完整的信任链。
- BootROM（信任根）：芯片上电后，CPU 从 BootROM 开始执行。BootROM 是只读的，无法修改。它负责校验下一级 Bootloader（通常是 SPL 或 Preloader）的签名和完整性。
- 一级 Bootloader（如 SPL）：BootROM 校验通过后，将控制权交给它。它负责初始化 DDR、时钟等基础外设，然后校验二级 Bootloader（如 U-Boot 的完整版）。
- 二级 Bootloader（如 U-Boot）：校验通过后，加载并校验操作系统内核（如 Linux Kernel）的签名。
- 操作系统内核：校验通过后，内核启动，并在后续加载内核模块、文件系统时继续校验。
你看，每一级都只信任上一级，上一级只校验下一级。只要信任根是安全的，整条链就是安全的。
我的经验：在实际项目中，我建议把信任链画出来，明确每一级的校验内容和校验方式。我曾经在一个项目里，因为没搞清楚 SPL 和 U-Boot 的职责边界，导致校验逻辑重复实现，浪费了不少 Flash 空间。画图能帮你理清思路。
1.3 安全启动的信任链结构图
下面这张图，是我自己画的一个典型的安全启动信任链结构。你可以看到，从芯片上电到最终运行应用，每一步都有校验，每一步都环环相扣。
1.4 信任根的物理实现方式
信任根不能只是一个逻辑概念，它必须有一个物理载体。在实际的嵌入式系统中，常见的有以下几种：
| 实现方式 | 描述 | 优点 | 缺点 |
|---|---|---|---|
| 片上 BootROM | 固化在芯片内部的只读存储器，出厂后无法修改 | 成本低，无需额外硬件；物理不可篡改 | 灵活性差，一旦有 Bug 无法修复 |
| 独立安全芯片 (eSE/TPM) | 一个独立的硬件模块，专门负责密钥存储和密码运算 | 安全性高，与主芯片隔离；可支持复杂密码算法 | 成本高，占用 PCB 面积和 BOM |
| ARM TrustZone / RISC-V 安全区 | 在 SoC 内部划分出一个安全世界，运行安全监控代码 | 集成度高，性能好；支持动态切换 | 实现复杂，对软件架构要求高 |
| OTP (One-Time Programmable) 存储器 | 一次性可编程存储，用于存储公钥哈希或芯片唯一密钥 | 成本低，写入后不可更改 | 容量小，只能写一次 |
避坑指南：我曾经在一个项目里，为了省成本，选了没有独立 BootROM 的廉价 MCU，把启动代码放在外部 Flash 里。结果发现，攻击者只要物理上替换掉 Flash 芯片，就能完全控制启动流程。那次教训让我明白——信任根必须物理不可篡改，不能依赖外部存储。
1.5 安全启动的常见误区
最后，我想聊聊几个我经常看到的误区。这些坑，我自己也踩过。
- 误区一：加密等于安全启动。很多人觉得我把固件加密了，别人读不懂，就安全了。不对。加密保护的是机密性，防止别人看到你的代码。但安全启动保护的是完整性和真实性，防止别人篡改你的代码。两者是不同的事。正确的做法是签名 + 校验，而不是加密。
- 误区二：只要做了签名校验就万事大吉。签名算法本身没问题，但密钥管理一塌糊涂。私钥泄露、硬编码在代码里、或者用了一个弱密码学库，都会让签名形同虚设。我见过一个产品，用的 RSA 密钥只有 512 位，几分钟就能被破解。
- 误区三：信任链可以跳过。有些开发者为了调试方便，在 BootROM 里留了一个“跳过校验”的后门。嗯，这个后门一旦被攻击者发现，整个安全启动就废了。我建议，生产版本的 BootROM 必须关闭所有调试接口和回退路径。
好了，这一节的内容就到这里。安全启动的概念和信任根的原理，是后面所有章节的基础。你理解了“一级验一级”的信任链模型，后面讲具体的签名算法、校验流程、密钥管理时，就不会觉得乱了。