1. 课程导论与安全基础：为什么需要OTA？为什么证书会过期？IoT安全威胁模型概述

大家好，欢迎来到《OTA升级与设备证书更新实战课程》。我是你们这门课的主讲。

做嵌入式安全这些年，我见过太多设备因为固件漏洞被批量“搬砖”，也处理过证书过期导致整个产品线停摆的紧急事故。说实话，每次听到有人说“我的设备不上网，不需要OTA”，我心里就咯噔一下——你想想看，不上网只是暂时的，一旦设备部署到现场，你还能一台台去拆机刷固件吗？

这一章，我们先不急着写代码。先把几个最核心的问题聊透：为什么IoT设备必须OTA？证书为什么会过期？攻击者到底在打什么主意？

1.1 为什么IoT设备必须OTA？

先讲个我自己的经历。几年前我参与过一个智能路灯项目，第一批出货5000台。上线三个月后，发现固件里有个内存泄漏的bug——设备运行72小时后会随机死机。你猜怎么着？我们派了三个工程师，带着笔记本电脑和串口线，跑遍了全市的灯杆。一台一台拆开，一台一台刷机。那个月，我瘦了八斤。

这就是没有OTA的代价。

OTA（Over-The-Air）升级，说白了就是让设备能通过网络远程更新固件。它解决的不只是“省人力”的问题，而是几个更根本的痛点：

• 安全漏洞修复：设备出厂后，新的CVE漏洞随时可能被发现。没有OTA，漏洞就是永久性的。
• 功能迭代：产品需求会变，协议会升级，算法会优化。OTA让硬件产品有了“持续进化”的能力。
• 配置更新：服务器地址变了？证书要换了？参数要调了？OTA是最优雅的远程配置手段。
• 故障恢复：设备变砖了怎么办？好的OTA方案包含恢复机制，能远程“救砖”。

1.2 证书为什么会过期？

这个问题，我每次上课都会被问到。“老师，证书设个永久有效期不行吗？省得我们每年还要折腾一轮。”

嗯，这个想法我也有过。直到我真正理解了证书过期的设计逻辑。

证书过期，不是设计缺陷，而是安全机制。原因有三：

1. 私钥泄露风险随时间累积：一个证书用十年，私钥泄露的概率远高于用一年。定期更换证书，相当于定期更换门锁。
2. 密码算法会过时：十年前用的SHA-1签名，现在已经被证明不安全。证书过期机制强制设备升级到更强的算法。
3. 吊销检查的局限性：CRL（证书吊销列表）和OCSP（在线证书状态协议）在离线或网络受限的IoT场景下很难实时生效。过期机制是最简单的“自动失效”手段。

证书类型	典型有效期	过期后果
设备身份证书	1-3年	设备无法连接服务器，TLS握手失败
固件签名证书	3-5年	新固件无法被验证，升级流程中断
CA根证书	10-20年	整条证书链失效，所有子证书作废
服务器证书	1年（主流CA标准）	设备无法验证服务器身份，连接被拒绝

1.3 IoT安全威胁模型概述

做安全，首先要搞清楚“敌人是谁”。IoT设备的威胁模型和传统IT系统有很大不同。我习惯从四个维度来分析：

1.3.1 物理攻击

设备在用户手里，攻击者可以物理接触。JTAG调试接口、UART串口、SPI Flash芯片，都是突破口。我在一次渗透测试中，直接用夹子夹住Flash芯片的引脚，用SPI读取器就把固件完整dump出来了——连密码都没设。

1.3.2 网络攻击

中间人攻击、重放攻击、拒绝服务攻击。设备通常运行在不可信的网络环境中，Wi-Fi可能被破解，MQTT流量可能被截获。没有TLS加密的通信，等于裸奔。

1.3.3 固件逆向

固件一旦被提取，攻击者会用binwalk、Ghidra等工具逆向分析。硬编码的密钥、未加密的敏感数据、隐藏的后门接口，都是他们的目标。

1.3.4 供应链攻击

这是最隐蔽的。第三方库的漏洞、恶意植入的固件、被篡改的OTA升级包。攻击者不需要攻破你的服务器，只需要污染你的供应链。

下面这张图，是我自己总结的IoT安全威胁模型框架。它把攻击面、攻击向量和防护手段串在了一起，方便你快速定位风险点。

1.4 本章小结

这一章我们聊了三件事：

• OTA是IoT设备的生存刚需，不是可选项。它解决的是远程修复、功能迭代和故障恢复的核心问题。
• 证书过期是安全设计，不是麻烦。它强制我们定期更新密钥、升级算法、降低泄露风险。
• 威胁模型帮我们看清敌人。物理、网络、固件、供应链，四个维度缺一不可。