TPM/TCM硬件基础：芯片功能、PCR寄存器与平台配置寄存器
各位同学，咱们今天聊聊可信计算的“地基”——TPM和TCM芯片。说实话，很多搞安全的朋友，一开始都觉得这东西就是个“黑盒子”，往主板上一焊，完事。但真到做可信开机度量的时候，你会发现，不理解这芯片的脾气，策略配了也白配。
我当年第一次调TPM驱动，就踩了个大坑。PCR值怎么读都不对，折腾了两天，最后发现是芯片的初始化顺序搞反了。嗯，从那以后，我养成了一个习惯：动手之前，先把芯片的“家底”摸清楚。
TPM/TCM芯片：到底在干什么？
说白了，TPM（Trusted Platform Module）和TCM（Trusted Cryptography Module）就是一颗独立的、带加密引擎的安全微控制器。它不干别的，专门负责“存根子”和“做证明”。
你想想看，操作系统和BIOS都是软件，容易被篡改。但TPM是硬件，焊在主板上，攻击者想改它，得先拆机。这就给了我们一个信任的“锚点”。
我个人习惯把TPM的功能分成三大块：
- 密钥管理：在芯片内部生成、存储、使用密钥。私钥永远不离开芯片，你拿不到，黑客也拿不到。
- 平台度量：记录系统启动过程中各个组件的“哈希指纹”，存到PCR里。
- 远程证明：把PCR里的度量值签名后发给远程服务器，证明“我这台机器是干净的”。
核心要点：TPM/TCM不是用来“防病毒”的，它是用来“证明你没被改过”的。度量是手段，证明是目的。
PCR寄存器：平台的“黑匣子”
PCR（Platform Configuration Register）是TPM里最核心的部件。你可以把它想象成一个“只能写、不能改”的黑匣子。为什么这么说？
PCR的更新方式很特殊：新值 = SHA256(旧值 || 新度量值)。这叫“扩展操作”。
举个例子：
初始状态：PCR[0] = 0x00...00
度量BIOS：PCR[0] = SHA256(0x00...00 || BIOS哈希)
度量BootLoader：PCR[0] = SHA256(PCR[0] || BootLoader哈希)
度量OS内核：PCR[0] = SHA256(PCR[0] || OS内核哈希)看到了吗？每次都是把“旧值”和“新值”拼起来，再算一次哈希。这就意味着：
- 顺序敏感：先度量A再度量B，和先度量B再度量A，结果完全不同。
- 不可逆：你没法从最终值反推出中间度量了哪些组件。
- 不可伪造：除非你能控制所有度量顺序和哈希值，否则算不出正确的PCR值。
避坑指南：我曾经在项目里犯过一个低级错误——以为PCR可以像普通寄存器一样直接写值。结果芯片直接返回错误码。记住，PCR只接受“扩展”操作，没有“写”操作。
平台配置寄存器的作用：谁度量了什么？
TPM规范里定义了多个PCR，每个PCR都有特定的用途。我整理了一张表，大家对照着看：
| PCR索引 | 度量内容 | 典型用途 |
|---|---|---|
| PCR[0] | BIOS/固件代码 | 验证BIOS是否被篡改 |
| PCR[1] | 主板配置 | 检测硬件配置变化 |
| PCR[2] | Option ROM代码 | 验证显卡/网卡固件 |
| PCR[3] | Option ROM配置 | 检测外设配置变化 |
| PCR[4] | MBR/GPT引导记录 | 验证引导扇区 |
| PCR[5] | MBR/GPT分区表 | 检测分区结构变化 |
| PCR[6] | 状态变更事件 | 记录休眠/唤醒等状态 |
| PCR[7] | 厂商自定义 | 各厂商自己定义 |
| PCR[8-15] | OS组件 | 度量OS内核、驱动、服务 |
这里有个细节要注意：PCR[0]到PCR[7]通常由BIOS/固件在启动过程中填充，操作系统基本动不了。PCR[8]以上才交给OS管理。这种分层设计，就是为了防止OS被攻破后，篡改底层的度量记录。
一张图看懂可信启动度量流程
说了这么多，咱们用一张SVG图把整个流程串起来。这是我在做项目时最喜欢画的一张图，每次给客户讲，都能让他们秒懂。
这张图展示的就是“信任链”的传递过程。从BIOS开始，度量完自己，把值存到PCR[0]，然后交给BootLoader。BootLoader度量自己，扩展PCR[0]，再加载OS内核。OS内核度量自己，存到PCR[8]。一环扣一环，任何一环出问题，最终的PCR值都会不一样。
注意：实际项目中，度量链可能更长，还包括Option ROM、ACPI表、SMBIOS等。但核心逻辑不变——先度量，再扩展，后执行。顺序乱了，信任链就断了。
实战中的几个坑
最后，分享几个我在实际项目中踩过的坑，希望能帮大家少走弯路：
- PCR值对不上？先检查度量顺序。我曾经遇到一个案例，客户说“我明明没改BIOS，为什么PCR[0]变了？”最后发现是BIOS升级后，度量组件的顺序调整了。顺序一变，哈希链就变了。
- 不要依赖单个PCR。有些场景下，只看PCR[0]是不够的。攻击者可能篡改了BootLoader但没动BIOS。建议把PCR[0]到PCR[7]全部比对，才能确保启动链完整。
- 注意PCR的复位行为。TPM在系统重启时会复位所有PCR，但休眠唤醒不会。如果你在休眠后读PCR，看到的是休眠前的值。这个细节在做远程证明时特别容易出问题。
好了，TPM/TCM的硬件基础就讲到这里。理解了芯片的功能和PCR的原理，后面讲度量值比对和策略配置，你就能明白“为什么这么配”了。记住一句话：PCR是信任链的“账本”，账本对了，系统才是可信的。