📚 课程目录第4章安全启动链

4. 安全启动链：从BootROM到操作系统启动过程中的密钥验证机制

安全启动链，说白了就是设备从通电到系统跑起来，每一步都要验明正身。我见过不少团队，应用层加密做得花里胡哨，结果启动链上有个漏洞，攻击者直接替换了内核镜像，整个安全体系瞬间崩塌。

为什么会这样？因为启动过程是信任的起点。如果起点不可信，后面再强的加密都是空中楼阁。今天我们就来拆解这条链，看看密钥是怎么一级一级传递下去的。

设备上电后，CPU 执行的第一段代码就是 BootROM。这段代码固化在芯片内部，不可改写。我习惯把它叫做「硬件信任锚点」。

BootROM 里存了什么？不是完整的密钥，而是公钥的哈希值。你想想看，公钥本身可能很大，BootROM 空间极其有限，存个哈希就够了。启动时，BootROM 会拿这个哈希去校验下一级加载器的签名。

核心原则：信任链的每一级，只验证下一级的签名，不验证更后面的内容。这样就把信任一级一级传递下去，形成一条完整的链。

我在项目中遇到过一个问题：某款芯片的 BootROM 里只支持 RSA-2048，但产品要求用 ECC-256。这就尴尬了，因为 BootROM 是固化的，没法改。最后只能换芯片。所以选型时一定要确认 BootROM 支持的算法族。

BootROM 验证通过后，会把控制权交给一级引导加载器（通常叫 SPL 或 Preloader）。这段代码一般存在片上 SRAM 里，空间极小，可能只有几十 KB。

一级引导加载器的主要任务有两个：

这里有个关键点：一级引导加载器本身是经过 BootROM 签名的。它的公钥要么固化在 BootROM 里，要么通过证书链传递下来。我个人习惯用证书链方式，这样密钥更新更灵活。

避坑指南：我曾经在一款 IoT 设备上发现，一级引导加载器把验签结果打印到了串口。攻击者只要接上串口线，就能看到「Verify OK」字样，然后通过电压毛刺攻击跳过验签。嗯，从那以后我要求所有生产设备必须禁用调试串口。

二级引导加载器（U-Boot、GRUB 等）是启动链中最复杂的一环。它负责加载操作系统内核、设备树、ramdisk 等。空间充裕了，可以做更复杂的校验。

二级引导加载器的验证流程通常是这样的：

公钥存在哪？我见过三种方案：

方案	存储位置	优点	缺点
硬编码	引导加载器二进制中	实现简单	更新密钥需重新编译
证书链	Flash 特定分区	密钥可轮换	需要额外验证逻辑
密钥服务器	网络获取	最灵活	依赖网络，有安全风险

我个人推荐证书链方案。虽然实现复杂一点，但密钥轮换时不用重新烧写引导加载器，运维成本低很多。

内核启动时，还会做一次自验证。这步很多人会忽略，觉得引导加载器已经验过签了，内核就不用再验了。其实不然。

为什么？因为攻击者可能绕过引导加载器，直接修改内核镜像。比如通过 DMA 攻击，或者利用硬件漏洞直接写内存。内核自验证就是最后一道防线。

Linux 内核支持一种叫 CONFIG_VERIFY_SIG 的机制。启动时，内核会校验自己的签名。如果签名不对，直接 panic。我建议所有生产环境都开启这个选项。

# 内核配置示例
CONFIG_VERIFY_SIG=y
CONFIG_SYSTEM_TRUSTED_KEYS="kernel_signing_key.pem"
CONFIG_MODULE_SIG=y
CONFIG_MODULE_SIG_FORCE=y

这里要注意，内核签名用的密钥和引导加载器用的密钥不能是同一对。我曾经见过一个项目，所有环节共用一把密钥，结果一把泄露，全线崩溃。密钥隔离是基本的安全原则。

内核启动后，还会加载各种内核模块和驱动。这些模块如果被篡改，攻击者就能植入 rootkit。所以模块签名验证必不可少。

Linux 的模块签名机制是这样的：

如果验证失败，内核会拒绝加载。我习惯把 CONFIG_MODULE_SIG_FORCE 设为 y，这样即使模块没签名，内核也不会加载。有些团队为了省事，把这个选项关了，结果就是攻击者可以随意加载恶意模块。

注意：模块签名密钥必须妥善保管。我曾经遇到一个客户，把私钥直接放在 CI 服务器上，结果被挖矿脚本偷走了。私钥泄露后，所有使用该密钥签名的设备都需要更新信任链，成本极高。

下面这张图展示了整个安全启动链的流程。从 BootROM 开始，每一级都验证下一级的签名，直到操作系统完全启动。

从图中可以看出，整个链条是单向的、不可逆的。每一级只信任上一级，只验证下一级。这种设计保证了即使某一级被攻破，攻击者也无法向上回溯，篡改更早的环节。

安全启动链不是万能的。我总结了几种常见攻击手法：

我曾经在一个项目中遇到回滚攻击。攻击者把设备固件降级到有漏洞的旧版本，然后利用漏洞提权。解决方案是在签名中加入版本号字段，引导加载器在验签时同时检查版本号，低于当前版本的直接拒绝。

个人建议：安全启动链不是一锤子买卖。产品上市后，要定期更新密钥、修补漏洞。我见过太多团队，产品发布后就把安全启动链扔一边，结果两年后漏洞被曝光，整个产品线都要召回。

安全启动链的核心就一句话：从硬件信任根开始，一级一级验证，直到操作系统完全启动。每一级只信任上一级，只验证下一级。密钥要隔离，签名要强制，调试接口要禁用。