1. 安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的信任链模型
各位同学，咱们今天聊的是整个课程的地基——安全启动。我做了十几年嵌入式安全，见过太多产品因为启动环节被攻破，最后整个系统像纸糊的一样。说白了，安全启动就是给设备装上一道从通电开始就起作用的防盗门。
1.1 什么是安全启动
安全启动，英文叫 Secure Boot，它的核心逻辑其实很简单：只让经过签名的、可信的代码在设备上运行。从芯片上电那一刻起，每一段被加载执行的代码，都要先通过数字签名验证。验证不通过？对不起，直接拒绝执行。
我习惯把安全启动比作机场安检。你想想看，旅客（代码）要登机（执行），必须先过安检（签名验证）。没有登机牌（有效签名）的人，连候机厅都进不去。这就是安全启动干的事。
安全启动的核心定义：一种硬件强制的代码完整性校验机制，确保设备只运行由设备制造商签名的、未被篡改的固件或软件。
这里有个关键点——"硬件强制"。纯软件方案很容易被绕过，我在项目中就吃过这个亏。后来换了带硬件安全引擎的芯片，才真正把启动链锁死。
1.2 为什么需要安全启动
你可能会问：不加安全启动，设备不也能跑吗？没错，能跑。但风险有多大，我给你列几个真实场景：
- 固件被篡改：攻击者通过物理接口（比如JTAG、UART）或者网络漏洞，把恶意固件写进Flash。设备重启后，恶意代码就获得了控制权。
- 启动劫持：利用BootROM漏洞，在启动早期注入代码，绕过后续所有安全机制。这种攻击我在IoT设备上见过，一旦得手，整个设备就变成肉鸡。
- 持久化后门：攻击者修改系统分区，植入后门程序。没有安全启动，你重刷系统都未必能清干净。
- 供应链攻击：在生产或运输环节，设备被植入恶意固件。用户拿到手，开机就是一台被控设备。
注意：没有安全启动的设备，相当于把大门钥匙挂在门口。攻击者不需要多高深的技术，只要有机会接触设备，就能植入恶意代码。我曾经帮客户分析过一批被入侵的工业控制器，无一例外，都是因为启动阶段没有做签名校验。
所以，安全启动不是锦上添花，而是底线。尤其在以下场景，它是强制要求：
| 应用领域 | 为什么必须用 |
|---|---|
| 汽车电子（ECU、T-Box） | ISO 21434 强制要求，启动篡改可能导致车辆失控 |
| 工业控制系统 | IEC 62443 标准要求，防止恶意固件破坏生产 |
| 金融支付终端 | PCI PTS 规范要求，保护密钥和交易数据 |
| 医疗设备 | FDA 指南要求，固件篡改可能危及患者生命 |
| 消费类IoT | 虽然法规不严，但被攻破后可能成为僵尸网络节点 |
1.3 安全启动的信任链模型
信任链，是安全启动的灵魂。它的思路是：从一个绝对可信的起点开始，一级验证一级，层层递进。每一级在加载下一级之前，先验证它的签名。只要起点是安全的，整条链就是安全的。
我画了一张图，帮你理解这个链条是怎么串起来的：
这张图展示的是典型的四级信任链。我解释一下每一级的作用：
- BootROM：芯片出厂时固化的只读代码，是信任的起点。它里面硬编码了厂商的公钥哈希值，用来验证下一级Bootloader的签名。这个区域物理上不可改写，所以攻击者动不了它。
- 一级Bootloader（SPL）：通常很小，几KB到几十KB。它的任务就是初始化内存、时钟等基础硬件，然后验证二级Bootloader的签名。我在项目里见过有人把SPL做得太大，结果验证逻辑出bug，整条链都崩了。记住，SPL越精简越好。
- 二级Bootloader（UBoot）：功能更丰富，支持文件系统、网络启动等。它负责验证OS内核的签名。这里有个坑——UBoot本身也可能有漏洞，所以它的签名验证逻辑必须写在受保护的区域。
- OS Kernel：操作系统内核。验证通过后，安全启动的使命就完成了。后续的安全由内核的安全模块（比如Linux的IMA、SELinux）接管。
实战建议：信任链的每一级都要做"最小化"设计。我见过一个产品，UBoot里塞了太多驱动，结果签名验证代码被挤到了不安全的内存区域。后来攻击者利用缓冲区溢出跳过了验证。所以，启动代码能多精简就多精简，别贪功能。
1.4 信任链的两种常见模式
在实际项目中，我遇到过两种信任链实现方式。它们各有优劣，我整理了一个对比表：
| 特性 | 静态信任链 | 动态信任链 |
|---|---|---|
| 验证时机 | 启动时一次性验证 | 启动时验证 + 运行时周期性验证 |
| 实现复杂度 | 低，主流方案 | 高，需要TPM或TEE支持 |
| 安全性 | 中等，启动后不再校验 | 高，运行时也能检测篡改 |
| 性能开销 | 仅启动阶段 | 持续占用少量CPU |
| 典型应用 | 嵌入式设备、IoT | PC（UEFI Secure Boot）、服务器 |
静态信任链是目前嵌入式设备的主流选择。为什么？因为大多数嵌入式设备启动后，固件就被锁定在Flash里，运行时篡改的难度很大。但如果你做的是高安全等级的设备（比如金融POS、汽车域控制器），我建议上动态信任链，配合TPM做运行时度量。
1.5 一个常见的误解
很多人以为，只要用了安全启动，设备就万无一失了。其实不然。安全启动只保证启动过程的代码完整性，它管不了以下几件事：
- 运行时漏洞：OS启动后，如果应用层有漏洞，攻击者照样能提权。安全启动不防这个。
- 密钥泄露：如果签名私钥被偷了，攻击者可以签任何恶意固件。所以密钥管理才是这门课的重点。
- 物理攻击：高级攻击者可以通过电压毛刺、激光注入等方式绕过BootROM的验证。这需要额外的物理防护。
- 回滚攻击：攻击者把设备刷回一个有漏洞的旧版本固件。安全启动如果不做版本号检查，就防不住这个。
避坑提醒：我曾经帮一个客户做安全审计，他们的安全启动做得挺规范，但没做版本回滚防护。结果攻击者把固件降级到三年前的老版本，利用已知漏洞轻松拿下了root权限。所以，签名验证一定要带上版本号或防回滚计数器。
1.6 小结
这一章我们聊了安全启动是什么、为什么需要它、以及信任链怎么工作。说白了，安全启动就是给设备装上一道从芯片内部长出来的锁，钥匙掌握在制造商手里。信任链则是从BootROM这个"铁打的营盘"开始，一级一级把信任传递下去。
记住三个核心点：
- 信任根必须硬件固化——软件层面的信任根都是纸老虎。
- 每一级只信任上一级——链条不能断，也不能跳级。
- 安全启动不是万能药——它只解决启动阶段的代码完整性问题。