📚 课程目录第1章固件安全概述

1. 固件安全概述

大家好，我是你们的讲师。今天咱们聊聊物联网设备的安全问题。说实话，这行干久了，我见过太多设备因为固件漏洞被攻破的案例。有的甚至出厂时就没考虑过安全——嗯，那才是真正的噩梦。

先说说现状。物联网设备现在到处都是，智能灯泡、门锁、摄像头、工业传感器……但它们的处境其实挺危险的。我总结了几类最常见的威胁：

固件逆向分析——攻击者把固件从 Flash 里读出来，用反汇编工具一扒，密钥、通信协议全暴露了。我在一个项目里见过某厂商直接把硬编码的 AES 密钥写在固件里，连混淆都没做。
未授权固件更新——没有签名校验的设备，谁都能往里面刷固件。攻击者植入后门，设备就成了僵尸网络的一员。2016 年 Mirai 病毒就是这么干的。
物理攻击——JTAG/SWD 接口没锁，UART 串口没密码，攻击者拿个逻辑分析仪就能拿到 shell。说白了，物理接触等于完全控制。
回滚攻击——有些设备虽然做了签名校验，但没检查版本号。攻击者刷回有漏洞的旧固件，然后利用已知漏洞提权。我曾经帮客户排查过这类问题，发现他们的版本号字段根本没被验证。
中间人攻击——固件下载过程不加密，或者证书校验不严格，攻击者可以替换固件包。OTA 更新通道如果只走 HTTP，那基本等于裸奔。

⚠️ 注意： 很多物联网设备的安全问题，根源不在算法不够强，而在「根本没做」。签名、加密、安全启动这些基础防护，能挡住 90% 的常见攻击。

那怎么防？两个关键手段：固件签名和设备注册。它们解决的是不同层面的问题，但缺一不可。

固件签名说白了就是给固件打个「数字指纹」。厂商用私钥对固件哈希签名，设备端用公钥验证。只要私钥不泄露，攻击者伪造的固件就通不过校验。

我个人习惯把签名流程分成三步：

设备端启动时，先验签名再跑固件。验不过？直接拒绝启动。我在一个智能电表项目里见过，他们连签名都没做，结果被人在升级包里植入了挖矿程序……后来补上了 ECDSA 签名，再没出过类似问题。

设备注册解决的是「你是谁」的问题。每台设备在出厂前或首次联网时，需要向服务器注册自己的身份信息。通常包括：

服务器验证通过后，把设备标记为「已注册」。后续的固件更新、数据通信，都只对已注册设备开放。你想想看，如果每台设备都有唯一身份，攻击者想冒充设备就难多了。

💡 经验之谈： 设备注册最好在安全环境中完成，比如产线阶段。我曾经遇到一个客户，把注册流程放在公网上，结果被脚本小子批量注册了假设备，服务器直接被打瘫了。

这门课一共 30 章，我把它分成了四个阶段。下面这张图能帮你快速了解整体脉络：

四个阶段的设计思路是这样的：

学习建议： 如果你刚接触嵌入式安全，别急着跳进实践篇。先把基础篇的密码学概念吃透——尤其是哈希函数和公钥密码的区别。我见过太多人把 SHA-256 当加密用，结果密钥管理一塌糊涂。