嵌入式系统基础：MCU/SoC架构、启动流程、存储器映射与固件运行机制
在深入探讨固件加密与反逆向保护之前，必须首先建立对嵌入式系统硬件底层的清晰认知。攻击者逆向固件的本质，是试图从二进制机器码中还原出程序逻辑、算法密钥或通信协议；而防御者实施保护的前提，则是理解代码在芯片内部如何被存储、加载和执行。本章将围绕MCU/SoC的典型架构、上电启动流程、存储器映射规则以及固件烧录与运行机制展开系统讲解，为后续章节中的安全设计打下坚实的硬件基础。
2.1 MCU与SoC的核心架构差异
核心原理：MCU（微控制器）与SoC（片上系统）在嵌入式安全领域经常被混用，但两者的架构设计理念存在显著差异。MCU通常将CPU核心、Flash存储、SRAM以及各类外设集成在同一颗芯片上，强调实时性、低功耗和确定性执行。以ARM Cortex-M系列为例，其采用哈佛架构或改进型哈佛架构，指令总线与数据总线物理分离，这使得CPU可以同时访问Flash中的指令和RAM中的数据，从而提升执行效率。而SoC则往往基于应用处理器（如Cortex-A系列），运行Linux或RTOS，具备MMU（内存管理单元）和更复杂的高速外设接口（如DDR控制器、GPU、ISP等）。
从安全角度看，MCU的片上Flash和RAM通常直接映射到固定的地址空间，攻击者可以通过调试接口（SWD/JTAG）或Bootloader漏洞直接读取固件内容。而SoC由于运行操作系统，其固件通常分为多个层级（BootROM、Bootloader、内核、文件系统），攻击面更大，但每个层级的保护机制（如TrustZone、安全启动链）也更为复杂。
| 对比维度 | MCU（如STM32F4、ESP32） | SoC（如i.MX8、Raspberry Pi CM4） |
|---|---|---|
| CPU核心 | Cortex-M0/M3/M4/M7，单核为主 | Cortex-A7/A53/A72，多核+GPU |
| 存储架构 | 片上Flash+SRAM，无MMU | 外部DDR，有MMU，虚拟内存 |
| 启动介质 | 内部Flash、外部SPI Flash | eMMC、SD卡、NAND、网络启动 |
| 操作系统 | 裸机或RTOS（FreeRTOS/RT-Thread） | Linux、Android、QNX |
| 安全特性 | 读保护（RDP）、OTP、CRC | TrustZone、安全启动、密钥熔丝 |
| 逆向难度 | 固件体积小，直接反汇编 | 需解包文件系统，分析内核驱动 |
2.2 启动流程：从复位向量到main函数
操作流程：理解启动流程是分析固件入口点的前提。以典型的Cortex-M MCU为例，上电复位后，硬件自动执行以下步骤：
- 读取向量表：CPU从地址
0x00000000（或映射后的Flash起始地址）读取初始栈指针（MSP），从0x00000004读取复位向量（Reset_Handler地址）。 - 执行启动文件：Reset_Handler首先复制
.data段从Flash到RAM，清零.bss段，然后调用SystemInit()配置时钟树。 - 跳转main：最终调用C库的
__main（或直接调用main），进入用户程序。
对于SoC，启动流程更为复杂：BootROM（掩膜在芯片内部，不可修改）首先初始化DDR控制器，然后从外部存储介质（eMMC/SD）加载Bootloader（如U-Boot）到DDR中，Bootloader再加载内核和设备树。每一步都涉及签名校验，这就是安全启动链的基础。
Reset_Handler 是反汇编的第一步。通过查找向量表中的初始SP值和复位向量，可以快速确定固件的加载地址和入口点。对于加密固件，攻击者往往需要先绕过启动流程中的校验逻辑。
2.3 存储器映射：Flash、RAM与OTP的布局
核心原理：存储器映射决定了CPU如何访问不同的存储介质。以STM32F407为例，其地址空间分配如下：
- Flash（0x0800_0000 - 0x080F_FFFF）：1MB，用于存放代码和只读数据。支持XIP（片上执行），即CPU可以直接从Flash取指执行，无需先拷贝到RAM。
- SRAM（0x2000_0000 - 0x2001_FFFF）：128KB+64KB，用于存放栈、堆和可读写变量。
- OTP（One-Time Programmable）：通常位于Flash区域末尾（如0x1FFF_7800），512字节，只能写入一次，常用于存储设备唯一ID、MAC地址或加密密钥。
- 系统存储器（0x1FFF_0000）：内置Bootloader，用于通过UART/USB烧录固件。
在固件加密场景中，OTP区域具有特殊价值。由于OTP只能写入一次，攻击者无法通过擦除Flash来清除密钥。许多安全方案将根密钥或设备证书存储在OTP中，配合硬件加密引擎使用。
| 存储区域 | 起始地址 | 大小 | 属性 | 安全用途 |
|---|---|---|---|---|
| 主Flash | 0x0800_0000 | 512KB-2MB | 可读/写/擦除 | 固件主体、Bootloader |
| OTP | 0x1FFF_7800 | 512B | 一次写入 | 根密钥、设备证书 |
| SRAM | 0x2000_0000 | 64-512KB | 易失性 | 运行时数据、解密缓冲区 |
| 系统BootROM | 0x1FFF_0000 | 30KB | 只读 | 出厂Bootloader |
2.4 固件烧录与运行机制：XIP、加载与解密执行
操作流程：固件的烧录方式直接影响安全策略的选择。常见的烧录途径包括：
- SWD/JTAG调试接口：通过ST-Link/J-Link等工具直接写入Flash。这种方式在量产阶段效率高，但若未锁定调试端口，攻击者也可利用同一接口读取固件。
- UART Bootloader：利用芯片出厂固化的Bootloader，通过串口接收固件数据。通常需要设置BOOT引脚。
- USB DFU（Device Firmware Upgrade）：适用于支持USB的MCU，无需专用烧录器。
- IAP（In-Application Programming）：用户程序自身具备擦写Flash的能力，通过网络或无线方式升级固件。这是IoT设备最常见的升级方式，也是攻击者注入恶意固件的入口。
运行机制：MCU固件通常直接在Flash中执行（XIP模式），无需加载到RAM。但对于加密固件，CPU无法直接执行密文，因此需要一种“解密执行”机制：
- 方案A：启动时解密。Bootloader在启动时将加密的固件从Flash读出，使用存储在OTP中的密钥解密，然后写入外部RAM或内部SRAM，再跳转到RAM执行。缺点是占用RAM空间，且每次启动都有解密延迟。
- 方案B：硬件解密引擎。部分高端MCU（如NXP i.MX RT系列）内置AES解密引擎，Flash控制器在读取数据时自动解密，CPU无感知地执行明文指令。这种方式对性能影响最小，但需要芯片硬件支持。
2.5 常见误区与设计复盘
误区一：认为“加密固件”等于“安全固件”。即使固件被AES加密，攻击者仍可通过以下方式攻击：在解密后的RAM中dump数据、模拟Bootloader环境、或利用侧信道攻击获取密钥。加密只是第一道防线，必须配合调试端口锁定、安全启动校验和运行时完整性检查。
误区二：忽视OTP区域的规划。OTP空间极为有限（通常512B-1KB），设计者必须在产品定义阶段就确定哪些数据需要永久保存。若后期发现需要增加密钥长度或证书链，OTP已无法扩展。
误区三：启动流程中的“信任根”缺失。如果Bootloader本身不进行签名校验，攻击者可以替换Bootloader，从而绕过后续所有安全机制。必须确保BootROM（或第一级Bootloader）是不可篡改的信任根。
复盘建议：在项目初期，建议绘制一张“存储器安全地图”，明确每个地址区域的访问权限（读/写/执行）、保护等级（RDP级别、OTP锁定）以及数据敏感性（明文/密文/密钥）。这张地图应作为固件加密方案设计的输入文档，并在每次安全评审中更新。