1. 安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的信任链模型
大家好，我是你们的嵌入式安全讲师。今天咱们聊聊安全启动——这个在嵌入式固件开发里绕不开的话题。
说实话，我刚入行那会儿，对安全启动的理解也就停留在「开机校验一下签名」这个层面。直到有一次，我负责的一个物联网网关产品在客户现场被逆向，攻击者通过替换启动分区里的固件，直接拿到了系统 root 权限。嗯，从那以后，我才真正意识到——安全启动不是可有可无的「加分项」，而是嵌入式设备的最后一道防线。
1.1 什么是安全启动
安全启动（Secure Boot），说白了就是一套机制：确保设备从通电到操作系统加载的每一个阶段，执行的代码都是经过授权、未被篡改的。
你想想看，一台嵌入式设备上电后，最先跑的是什么？是 BootROM 里的固化代码。然后它加载 Bootloader，Bootloader 再加载操作系统内核，内核再拉起文件系统和服务。这就像接力赛——每一棒都必须确认上一棒是「自己人」。
安全启动的核心手段就是数字签名。每个阶段的代码在发布前，厂商会用私钥对其签名；设备端则用公钥验证签名。签名不通过？直接拒绝执行，设备进入恢复模式或死循环。
关键点：安全启动不是「防逆向」的银弹，它的核心目标是防篡改——防止攻击者把恶意固件刷进设备并执行。
1.2 为什么需要安全启动
我经常被问到：「我的设备跑在封闭网络里，也需要安全启动吗？」我的回答永远是：需要。
咱们来看几个真实场景：
- 物理接触攻击：攻击者通过 UART、JTAG 或直接拆焊 Flash 芯片，把篡改后的固件写进去。没有安全启动，设备就会乖乖执行恶意代码。
- OTA 更新劫持：我在项目中遇到过，攻击者伪造了 OTA 服务器，给设备推送了带后门的固件。如果设备在启动时不做签名校验，恶意固件就能长驱直入。
- 供应链攻击：代工厂或中间商可能在固件刷写环节动手脚。安全启动能确保即使固件被替换，设备也无法正常启动。
- 合规要求：现在很多行业标准（如 IEC 62443、GDPR、CC 认证）都明确要求设备具备安全启动能力。没有它，产品可能连上市资格都没有。
注意：安全启动并不能阻止攻击者读取你的固件。它只保证「执行」的代码是可信的。如果你需要保护固件机密性，还得配合加密存储和 Secure Enclave。
1.3 安全启动的信任链模型
这是安全启动最核心的概念。我习惯把它理解成一个「洋葱」——从最内层的硬件信任根，一层层向外验证，直到整个系统启动完成。
信任链的四个层级
| 层级 | 组件 | 存储位置 | 验证对象 |
|---|---|---|---|
| 第 0 层 | BootROM（硬件信任根） | 芯片内部 ROM（不可修改） | 验证下一级 Bootloader 的签名 |
| 第 1 层 | 一级 Bootloader（SPL / MBR） | 片上 SRAM 或 Flash 固定区域 | 验证二级 Bootloader 的签名 |
| 第 2 层 | 二级 Bootloader（U-Boot / EDK2） | Flash 主分区 | 验证操作系统内核的签名 |
| 第 3 层 | 操作系统内核 | Flash 文件系统分区 | 验证内核模块、驱动、关键服务的签名 |
每一层只信任上一层的验证结果，同时负责验证下一层。这就是「信任链」的由来。
信任链的 SVG 流程图
下面这张图是我自己画的，把信任链的验证流程和关键节点都标出来了。你可以对照着理解。
信任链的验证流程
我拿一个典型的 ARM Cortex-M 设备举个例子：
- 上电复位：CPU 从 0x00000000 取指，执行 BootROM 代码。
- BootROM 验签：BootROM 读取 Flash 中固定偏移处的 Bootloader 镜像和签名，用芯片熔丝中烧录的公钥哈希验证签名。
- Bootloader 验签：Bootloader 加载后，继续验证 OS 内核镜像的签名。
- 内核验签：Linux 内核在 initramfs 阶段验证根文件系统或关键模块的签名。
- 系统运行：所有验证通过，设备正常启动。
实战建议：我在项目中踩过最大的坑是「公钥存储位置」。有些芯片支持一次性熔丝（eFuse），有些只能用 OTP。如果你把公钥放在可擦写的 Flash 里，攻击者就能替换公钥，让任何恶意固件都能通过验证。记住：信任根必须硬件不可变。
1.4 信任链的两种常见模型
根据验证粒度的不同，业界主要有两种实现方式：
| 模型 | 验证方式 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|---|
| 静态信任链 | 启动时一次性验证所有镜像签名 | 实现简单，性能开销小 | 启动后无法检测运行时篡改 | 资源受限的 MCU、IoT 设备 |
| 动态信任链 | 启动时验证 + 运行时周期性度量 | 可检测运行时攻击（如 DMA 篡改） | 需要 TPM/CAAM 硬件支持，复杂度高 | 高安全要求的网关、汽车 ECU |
我个人更倾向于在资源允许的情况下选择动态信任链。为什么？因为静态信任链有一个致命弱点：一旦系统启动完成，攻击者可以通过漏洞注入恶意代码，绕过所有启动时的校验。动态信任链通过 TPM 的 PCR 寄存器持续度量系统状态，能及时发现这种「启动后攻击」。
1.5 一个真实的信任链断裂案例
讲个我亲身经历的事。有一年我们做一款智能门锁，用的是某国产 MCU。芯片支持安全启动，但工程师图省事，把公钥直接放在了 Flash 的固定偏移处，而且没有锁定 OTP 区域。
结果呢？攻击者通过 UART 漏洞拿到了 Shell，然后用 Flash 编程器把公钥区域改成了自己的公钥，再刷入带后门的固件。设备正常启动，门锁形同虚设。
这个教训让我明白：安全启动的强度，取决于最弱的一环。哪怕你的签名算法是 ECDSA P-521，只要公钥能被篡改，一切归零。
核心原则：
- 信任根必须硬件不可变（BootROM / eFuse / OTP）
- 公钥必须存储在受保护的区域
- 每一级验证失败都必须停止启动，不能回退
- 签名算法推荐 ECDSA P-256 或 Ed25519（平衡安全与性能）
1.6 小结
安全启动不是什么高深莫测的技术，它的本质就是建立一条从硬件到软件的信任链。每一级都验证下一级的身份，任何一环断裂，系统就拒绝启动。
在后面的课程里，我会带大家一步步实现一个完整的安全启动方案——从密钥生成、固件签名、验签代码编写，到 OTA 安全更新。咱们先把基础打牢，后面动手才不会慌。