1、TPM基础概念：什么是TPM？TPM的物理形态与逻辑架构，TPM在安全启动中的角色。
各位同学好，咱们今天正式开讲《TPM芯片选型与安全启动实战》的第一章。很多工程师一听到TPM，就觉得是“玄学”，要么觉得是“加个芯片就安全了”，要么觉得“这东西跟我嵌入式开发没啥关系”。
其实不然。TPM说白了，就是一个专门干“脏活累活”的安全协处理器。它不跑你的业务逻辑，它的任务就是：保护密钥、度量系统状态、证明平台身份。我最早接触TPM是在一个工控网关项目上，客户要求必须支持安全启动，我当时第一反应是“Bootloader加个校验不就行了？”结果被安全审计怼了回来——人家要的是硬件级信任根，不是软件校验。嗯，从那以后我才开始认真研究TPM。
1.1 什么是TPM？
TPM的全称是Trusted Platform Module，可信平台模块。它是一颗独立的、或者集成在SoC内部的专用安全芯片。它的核心能力是：在硬件层面提供密码运算、密钥存储、平台完整性度量。
你想想看，普通的MCU或者CPU，它的存储和运算环境是开放的。攻击者只要能拿到物理访问权限，就能读Flash、改内存、甚至用调试接口把固件dump出来。但TPM不一样，它内部有独立的处理器、独立的存储、独立的随机数发生器。密钥一旦生成在TPM内部，就永远不会以明文形式离开芯片。
核心要点：TPM不是用来“加密数据”的，它是用来“证明平台可信”的。它回答的问题是：“这台设备还是不是我当初信任的那台设备？”
TPM的标准由TCG（Trusted Computing Group）制定。目前主流的是TPM 2.0规范，它比1.2版本更灵活，支持的算法更多（比如ECC、SM3/SM4），也更适合嵌入式场景。我在选型时，基本只看TPM 2.0的芯片，1.2的除非是存量项目，否则不建议新用了。
1.2 TPM的物理形态
TPM在实际产品中，主要有三种物理形态。我列个表，大家一看就明白：
| 形态 | 封装/接口 | 典型场景 | 我的建议 |
|---|---|---|---|
| 独立TPM芯片 | QFN/SOP，SPI/I²C/LPC | 工控主板、服务器、PC | 灵活性最高，但占PCB面积，成本稍高 |
| 集成TPM（fTPM） | 集成在SoC内部 | 手机、平板、部分高端MCU | 省成本，但信任根依赖SoC厂商 |
| 软件TPM（vTPM） | 纯软件模拟 | 开发调试、虚拟化环境 | 绝对不能用于量产！ |
我个人习惯，在量产产品中，只要成本允许，优先选独立TPM芯片。为什么？因为它的物理隔离性最好。我曾经在一个项目中，客户用了SoC内部的fTPM，结果SoC本身有一个硬件漏洞，攻击者通过DMA直接读到了fTPM的密钥存储区……虽然这个漏洞很快被厂商修复了，但这件事让我意识到：信任根越独立，攻击面越小。
选型小技巧：如果你用独立TPM，SPI接口的吞吐量比I²C高很多。安全启动过程中，TPM需要传输PCR扩展值和证书，SPI的速率优势很明显。我一般首选SPI接口的TPM芯片。
1.3 TPM的逻辑架构
TPM内部长什么样？我画了一张图，帮大家建立整体认知：
这张图里，大家要重点关注PCR寄存器和NV存储。PCR是TPM的灵魂，它记录了系统从启动到当前所有关键组件的度量值。NV存储则用来保存根密钥（EK/SRK）和策略数据。
1.4 TPM在安全启动中的角色
安全启动（Secure Boot）的核心逻辑是：从硬件信任根开始，逐级度量，逐级验证，确保每一级代码都是可信的。TPM在这里扮演什么角色？它不是验证者，而是记录者和证明者。
我举个例子，大家就明白了：
- BootROM（硬件信任根）启动，度量Bootloader的代码，将度量值扩展到TPM的PCR[0]。
- Bootloader度量OS Kernel，将度量值扩展到PCR[1]。
- OS Kernel度量关键服务和应用，将度量值扩展到PCR[2]、PCR[3]……
- 最终，TPM的PCR中存储了整条启动链的度量值哈希链。
这时候，如果远程服务器想验证这台设备是否被篡改过，它只需要让设备引用（Quote）当前的PCR值，并用TPM的私钥签名。服务器用TPM的公钥验签，再比对PCR的期望值，就能判断设备是否可信。
注意：TPM本身不阻止你加载恶意代码。它只负责“记录”。如果BootROM没有强制验证Bootloader签名，恶意Bootloader照样能跑起来，但TPM会忠实地把恶意代码的哈希值记到PCR里。安全启动的“强制验证”环节，是由BootROM和Bootloader完成的，TPM是“证人”。
我曾经在一个IoT网关项目里踩过这个坑。当时我们只做了TPM度量，没做BootROM的签名验证。结果攻击者刷了个修改版的Bootloader，TPM虽然记录了恶意哈希，但设备照样启动了。后来我们才加上硬件级签名验证，这才算真正闭环。所以大家记住：TPM + 硬件强制验证 = 真正的安全启动，缺一不可。
1.5 本章小结
这一章我们讲了TPM是什么、长什么样、内部怎么分工、以及在安全启动里到底干哪些活。说白了，TPM就是一个硬件安全锚点，它不负责“抓坏人”，它负责“留下证据”。