📚 课程目录第1章固件安全概述

一、固件安全概述

大家好，我是你们的嵌入式安全讲师。今天咱们聊聊固件安全这个老生常谈但又极其重要的话题。说实话，我入行那会儿，固件安全还是个“锦上添花”的东西，现在呢？已经是“生死攸关”了。

固件，说白了就是“固化在硬件里的软件”。它不像你电脑上的Word、Excel可以随便删，固件是焊死在Flash、EEPROM或者ROM里的。我习惯把它比作设备的“灵魂”——硬件是身体，固件就是让身体动起来的意识。

举个例子：你家的智能路由器，通电后能上网，靠的就是路由器里的固件。你手机按下开机键，屏幕亮起，那也是BootROM里的固件在干活。没有固件，硬件就是一堆废铁。

固件有几个特点：

我的经验： 刚做嵌入式那会儿，我总觉得固件就是“大一点的单片机程序”。后来在工业网关项目里，固件被篡改导致整个产线停摆，我才意识到——固件是设备的“命根子”，谁控制了固件，谁就控制了设备。

固件安全威胁，我把它分成三类。你想想看，一个设备从出厂到退役，会经历哪些风险？

这里面，固件回滚是我最头疼的。为什么？因为其他威胁你还能通过加密、签名、安全启动来防，但回滚攻击往往被忽视。我曾经在一个IoT项目中，明明修复了缓冲区溢出漏洞，结果攻击者把固件降级到旧版本，漏洞又回来了。你说气不气？

避坑指南： 我曾经以为只要固件签名了，就万事大吉。直到发现攻击者可以保留签名，只回滚固件版本——签名还在，但漏洞也还在。所以，签名只能防篡改，防不了回滚。

防回滚机制，简单说就是：不允许设备运行比当前版本更旧的固件。它像一道“时间锁”，只允许向前更新，不允许向后倒退。

它的核心逻辑是这样的：

你可能会问：“为什么不能直接拒绝旧固件？”嗯，这里有个细节——版本号必须存储在攻击者改不了的地方。如果版本号存在Flash里，攻击者把Flash内容也回滚了，那防回滚就形同虚设。

我习惯把防回滚比作“电梯的楼层锁”：你只能往上走，不能往下走。即使你拿到了低楼层的钥匙（旧固件），电梯也不会带你下去。

    重要性总结：
    堵住漏洞修复的“后门”：防止攻击者绕过安全补丁
保护设备生命周期：确保设备始终运行在安全状态
满足合规要求：很多行业标准（如IEC 62443）明确要求防回滚
降低供应链风险：防止恶意第三方分发旧版本固件

下面这张图，是我自己画的固件安全威胁与防回滚的关系图。你看一眼就明白了。

你看，固件回滚攻击就像一条“暗线”，把其他威胁串联起来。攻击者提取了旧固件，逆向找到漏洞，然后通过回滚让漏洞重新生效。防回滚机制就是切断这条暗线的关键。

我的建议： 防回滚不是孤立的技术，它需要和签名验证、安全启动、硬件信任根配合使用。我见过很多团队只做了签名，没做防回滚，结果漏洞修复了个寂寞。记住：防回滚是安全更新的“最后一公里”。