2. 密码学基础回顾：非对称加密、哈希函数与数字签名

各位好，我是老周。这一章咱们聊聊密码学基础。你可能会问：“做安全启动，为什么还要回头啃密码学？”

我直接告诉你答案：安全启动的每一行代码、每一个签名，底层都是靠这些数学原理撑着的。不懂这些，你配的密钥可能就是纸糊的。

咱们不搞数学推导，只讲工程里怎么用、有什么坑。开始吧。

2.1 非对称加密：RSA 与 ECC

非对称加密，说白了就是两把钥匙：公钥随便发，私钥自己藏。公钥加密的数据，只有私钥能解开；反过来，私钥签名的数据，公钥能验真伪。

在安全启动里，我们主要用它的签名能力，而不是加密。为什么？因为固件镜像通常是公开的，我们关心的是“谁签的”，而不是“能不能看”。

2.1.1 RSA：老牌劲旅

RSA 基于大整数分解难题。密钥越长越安全，但计算也越慢。

2.1.2 ECC：后起之秀

ECC 基于椭圆曲线离散对数难题。同样的安全等级，ECC 的密钥比 RSA 短得多。

• P-256（secp256r1）：等效于 3072 位 RSA，是目前安全启动的主流选择。
• P-384：等效于 7680 位 RSA，用于对安全性要求极高的场景。
• Curve25519：性能极佳，但部分 BootROM 不支持。

2.2 哈希函数：SHA-256

哈希函数，就是把任意长度的数据，压缩成一个固定长度的“指纹”。这个指纹是唯一的，哪怕原数据只改了一个比特，指纹也会完全变样。

在安全启动里，哈希函数干两件事：

1. 完整性校验：验证固件有没有被篡改。
2. 签名加速：先对固件做哈希，再对哈希值签名。因为哈希值很短（比如 32 字节），签名速度会快很多。

2.2.1 SHA-256 的特点

• 输出长度：256 位（32 字节）。
• 抗碰撞性：找到两个不同输入，但哈希值相同，在计算上不可行。
• 雪崩效应：输入微小变化，输出变化巨大。

2.3 数字签名原理

数字签名，就是把哈希函数和非对称加密结合起来。流程如下：

1. 签名方（开发者）：
   • 对固件做 SHA-256 哈希，得到摘要 H。
   • 用私钥对 H 加密（签名），得到签名值 S。
   • 将固件 + S 一起发布。
2. 验证方（设备）：
   • 对收到的固件做 SHA-256 哈希，得到摘要 H'。
   • 用公钥对 S 解密，得到摘要 H''。
   • 比较 H' 和 H''。如果相等，签名有效；否则，固件被篡改或签名无效。

你想想看，这个流程保证了什么？

• 完整性：固件没被改过。
• 真实性：固件确实来自持有私钥的开发者。
• 不可否认性：开发者不能抵赖自己签过这个固件。

2.4 知识体系总览

下面这张图，把这一章的核心逻辑串起来了。你仔细看，安全启动的签名流程，其实就是这张图的工程化实现。

2.5 工程中的常见误区

最后，我列几个我在实际项目中踩过的坑，你遇到了可以少走弯路。