4. PCR 扩展机制：Extend 操作与哈希链原理

好，咱们今天聊一个核心话题——PCR 到底是怎么写入的？

很多人刚接触 TPM 时，第一反应是：PCR 不就是个寄存器吗？直接写个值进去不就行了？

嗯，如果你真这么干，TPM 会直接拒绝你。原因很简单——PCR 不允许直接写。

4.1 为什么不能直接写 PCR？

咱们先想想 PCR 是干嘛用的。它记录的是平台的“可信状态”。如果谁都能直接往里面写任意值，那可信就无从谈起了。攻击者完全可以写一个“看起来正常”的度量值，骗过整个信任链。

我早年调试一个可信启动方案时，就犯过这个错。当时想快速验证，试图用 TPM 管理工具直接往 PCR 里塞一个值。结果 TPM 返回了个错误码，我查了半天文档才明白——哦，原来 PCR 只接受扩展操作。

⚠️ 重要规则： PCR 只能通过 Extend 操作写入，不支持直接赋值。这是 TPM 安全设计的基石之一。

说白了，PCR 的写入接口只有一个：TPM2_PCR_Extend。你给它一个新度量值，它不会覆盖旧值，而是把新旧值混在一起算出一个新值。

4.2 扩展操作（Extend）到底干了什么？

扩展操作的数学表达其实很简单：

PCR_new = HASH(PCR_old || new_measurement)

其中 HASH 是 PCR 对应的哈希算法（比如 SHA-1 或 SHA-256），|| 表示拼接，new_measurement 是本次要扩展进去的度量值。

我习惯把这个过程想象成“滚雪球”。每次扩展，新值都会和旧值揉在一起，重新算一遍哈希。雪球越滚越大，但每一步都有迹可循。

举个例子，假设 PCR 初始值是 0x00...00（全零），我们依次扩展两个度量值：

Step 1: PCR = SHA256(0x00...00 || measurement_A)
Step 2: PCR = SHA256(Step1_result || measurement_B)

最终 PCR 的值，既依赖 measurement_A，也依赖 measurement_B，还依赖它们的顺序。你想想看，如果先扩展 B 再扩展 A，结果完全不一样。

扩展顺序 度量值序列 最终 PCR 值
A → B measurement_A, measurement_B HASH(HASH(0||A) || B)
B → A measurement_B, measurement_A HASH(HASH(0||B) || A)

看到了吧？顺序不同，结果天差地别。这就是 PCR 能“记录历史”的原因——它不光记住了你放了什么，还记住了你放的顺序。

4.3 哈希链原理：为什么不可逆？

扩展操作的本质，就是构建一条哈希链。每个新节点都链接着上一个节点的哈希值。

这条链有两个关键特性：

  • 单向性： 给定最终 PCR 值，你几乎不可能反推出中间插入了哪些度量值。哈希函数的单向性保证了这一点。
  • 顺序敏感性： 度量值的顺序一旦改变，最终 PCR 值必然不同。这防止了攻击者重排度量顺序来伪造可信状态。

我记得有一次帮客户排查可信启动失败问题。他们的 BIOS 度量顺序和操作系统期望的顺序差了一个组件。结果 PCR 值对不上，系统直接拒绝启动。排查过程很痛苦，但反过来想——这正是哈希链在起作用，它忠实地记录了真实的启动顺序。

💡 核心理解： PCR 扩展机制的本质，是用哈希链把“度量值”和“度量顺序”绑定在一起。你无法篡改历史，只能追加新记录。

4.4 扩展操作的完整流程

在实际的 TPM 命令中，扩展操作大致分这几步：

  1. 准备度量值： 调用者（通常是 BIOS 或 bootloader）计算某个组件的哈希值，比如 Option ROM 的 SHA-256 摘要。
  2. 调用 Extend 命令： 发送 TPM2_PCR_Extend 命令，指定 PCR 索引和度量值。
  3. TPM 内部计算： TPM 读取当前 PCR 值，与传入的度量值拼接，重新计算哈希，写回 PCR。
  4. 返回结果： TPM 返回操作状态码，如果成功，PCR 已更新为新值。

这里有个细节要注意——TPM 不会告诉你扩展前的旧值是多少。你只能通过 Quote 或 Read 命令拿到当前值。所以如果你想知道中间过程，必须自己记录每一步的度量值。

🔧 实战建议： 在做可信启动调试时，我习惯在每次扩展前打印当前 PCR 值和即将扩展的度量值。这样一旦出问题，可以回放整个哈希链，定位是哪个环节的度量值不对。

4.5 扩展机制的核心逻辑图

下面这张图展示了 PCR 扩展的完整流程和哈希链的构建过程：

PCR 扩展机制与哈希链流程图 PCR 扩展机制与哈希链构建流程 PCR 初始值 (全零) 度量值 A (SHA-256) HASH(旧值 || 度量A) 拼接 → 哈希计算 PCR 新值 (Step 1) 度量值 B (SHA-256) HASH(旧值 || 度量B) 拼接 → 哈希计算 最终 PCR 值 哈希链特性 • 单向性：不可逆 • 顺序敏感：顺序变，值变 • 抗碰撞：不同输入难碰撞 • 历史绑定：记录完整路径

从这张图可以看得很清楚：每次扩展都依赖前一次的结果，形成一条不可逆的哈希链。最终 PCR 值就像这条链的“指纹”，任何中间环节的变化都会导致指纹不同。

4.6 扩展操作的实际代码示例

如果你用 Go 语言和 go-tpm 库操作 TPM，扩展操作的代码大致是这样：

import (
    "crypto/sha256"
    "github.com/google/go-tpm/tpm2"
    "github.com/google/go-tpm/tpmutil"
)

func extendPCR(rwc io.ReadWriter, pcrIndex int, measurement []byte) error {
    // 1. 计算度量值的哈希
    hash := sha256.Sum256(measurement)
    
    // 2. 调用 TPM2_PCR_Extend
    err := tpm2.PCRExtend(rwc, 
        tpmutil.Handle(pcrIndex), 
        tpm2.AlgSHA256, 
        hash[:], 
        "")
    if err != nil {
        return fmt.Errorf("PCR extend failed: %v", err)
    }
    
    // 3. 读取扩展后的 PCR 值（用于验证）
    pcrValue, err := tpm2.ReadPCR(rwc, pcrIndex, tpm2.AlgSHA256)
    if err != nil {
        return fmt.Errorf("read PCR failed: %v", err)
    }
    
    fmt.Printf("PCR[%d] after extend: %x\n", pcrIndex, pcrValue)
    return nil
}

这段代码做了三件事：计算哈希、扩展、读取验证。我在实际项目中，通常会在扩展前后各读一次 PCR，确保扩展操作确实生效了。

⚠️ 注意： 扩展操作是不可逆的。一旦你扩展了一个错误的值，没有任何办法“撤销”或“回滚”。你只能继续扩展正确的值，但错误的痕迹会永远留在哈希链里。所以，度量值的准确性至关重要。

4.7 小结：扩展机制的设计哲学

回过头来看，PCR 扩展机制的设计其实很巧妙。它用哈希链解决了两个核心问题：

  • 防篡改： 你不能直接写 PCR，只能通过扩展追加新记录。历史记录无法删除或修改。
  • 可验证： 只要你知道完整的度量序列，就可以重放哈希链，验证最终 PCR 值是否匹配。

我个人觉得，理解扩展机制是掌握可信计算的关键一步。你想想看，整个信任链的根基，其实就是这个简单的哈希链操作。没有它，PCR 就只是一个普通的寄存器，可信状态也无从谈起。

嗯，这一章的内容就到这里。记住：PCR 只能扩展，不能直接写。这是 TPM 的铁律，也是可信计算的基石。

← 上一章 📖 返回目录 下一章 →