📚 课程目录第2章产线安全威胁模型

2. 产线安全威胁模型：内部人员威胁、供应链攻击、物理攻击、侧信道攻击

做安全烧录这么多年，我见过太多人一上来就问我：“用什么加密芯片？”或者“烧录器支不支持AES？”

其实，这些问题都问早了。你连敌人是谁都不知道，怎么布防？

这一章，咱们就把产线烧录场景下，最常遇到的四类威胁掰开揉碎了讲清楚。我习惯把这四类威胁比作四种“入侵者”——他们手段不同，目标却一致：拿到你的固件、密钥，或者篡改烧录内容。

核心观点： 没有“万能”的安全方案。只有先搞清楚威胁模型，才能针对性地设计防护策略。产线安全，本质上是“成本”与“风险”的博弈。

说实话，这是我最头疼的一类威胁。为什么？因为外部攻击你可以用防火墙、用加密去挡，但内部人员——他本身就站在墙里面。

我在一个代工厂项目里遇到过，一个负责烧录的产线工人，每天偷偷用U盘拷贝几份烧录好的固件，拿到外面卖。你想想看，他每天经手几百片芯片，少几片根本没人发现。

我曾经在一个客户现场，发现他们的烧录工位居然没有摄像头，操作员可以随意插拔USB设备。后来我们强制要求：所有USB口用物理胶封死，只留一个经过认证的烧录器接口。

另外，权限分级一定要做。操作员只能看到“开始/停止”按钮，工程师才能配置参数。别嫌麻烦，这是底线。

供应链攻击，说白了就是“上游被污染了”。你辛辛苦苦设计的固件，可能在某个环节就被动了手脚。

我记得有一次，一个客户从代理商那里采购了一批烧录器，结果发现里面预装了一个后门程序，每次烧录都会偷偷把固件上传到某个境外服务器。你说吓不吓人？

我个人习惯，对所有进入产线的工具和物料，都要做“来源验证”。烧录器要校验固件签名，芯片要检查批次号，密钥要由HSM（硬件安全模块）直接注入，不经过任何中间环节。

物理攻击，就是攻击者直接接触你的硬件设备。别觉得这很“低级”，有时候最原始的手段反而最有效。

我见过有人用探针直接刮开芯片封装，用逻辑分析仪抓取烧录总线上的数据。还有更狠的，直接把烧录工位的电脑硬盘拆走，拿回去慢慢分析。

注意： 物理攻击往往需要专业设备，但成本正在快速下降。一台二手逻辑分析仪几百块就能买到，一个简单的探针台也不过几千块。所以，别以为只有国家级对手才能搞物理攻击。

侧信道攻击，听起来很高大上，其实原理很简单：你不是在加密运算吗？我不用破解你的算法，我只需要“偷听”你运算过程中泄露的物理信息就行。

比如，芯片在烧录密钥时，功耗会随着密钥的“0”和“1”产生微小波动。我用示波器抓取功耗曲线，再用统计学方法分析，就能把密钥还原出来。

有一次，我们在测试一款烧录器时，发现它在烧录密钥阶段，电磁辐射有明显的规律性。我们用一个简单的环形天线和示波器，就成功抓到了密钥的“影子”。后来我们改进了烧录算法，加入了随机延时和掩码操作，才把这个漏洞堵上。

避坑指南： 侧信道攻击的防御，不能只靠软件。硬件层面要加屏蔽罩，电源线上要加滤波电容，PCB布局要避免敏感信号走长线。这些细节，设计阶段就要考虑进去。

下面这张图，是我自己总结的产线安全威胁模型全景。它把四类威胁、攻击目标、以及对应的防御手段串在了一起。你把它打印出来贴在产线墙上，比什么文档都管用。

这一章我们聊了四类威胁，每一类都有它的特点和突破口。你可能会问：“这么多威胁，我到底该防哪个？”

我的建议是：先做风险评估。你的产品值多少钱？被克隆的损失有多大？产线的自动化程度有多高？这些因素决定了你的安全投入。