VIP20

本课程属于：032-安全元件SE应用 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

SE固件签名工具链搭建与使用

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

课程导论与安全背景

固件安全的重要性、签名的作用、常见攻击场景（如固件篡改、回滚攻击）。

密码学基础回顾

对称加密与非对称加密、哈希函数（SHA-256）、数字签名原理（RSA/ECDSA）。

密码学基础

工具链概览

OpenSSL、Python Cryptography库、signify、sbsign等工具介绍与选型。

在Ubuntu 22.04上安装OpenSSL 3.0、Python 3.10及cryptography库。

生成RSA密钥对

使用OpenSSL生成2048位RSA私钥与公钥，理解PEM格式。

生成ECDSA密钥对

使用OpenSSL生成P-256椭圆曲线密钥对，理解DER格式。

密钥管理与保护

私钥加密存储（AES-256-CBC）、硬件安全模块（HSM）简介、密钥轮换策略。

计算固件哈希

使用Python对固件二进制文件计算SHA-256哈希值。

使用OpenSSL签名

通过openssl dgst命令对哈希值进行RSA签名，输出签名文件。

使用Python签名

利用cryptography库编写Python脚本实现RSA签名流程。

签名格式设计

PKCS#7/CMS格式、原始签名+元数据格式、自定义头部格式对比。

将固件、签名、公钥证书打包为单一固件镜像（如FIT Image格式）。

验签流程设计

Bootloader启动时验签、内核模块验签、应用层验签三种场景。

使用OpenSSL验签

通过openssl dgst -verify命令验证签名有效性。

使用Python验签

编写Python脚本验证RSA签名，处理验签失败异常。

在GitLab CI中配置签名步骤，使用受保护的变量存储私钥。

安全启动链

从BootROM到Bootloader到内核的链式验签架构设计。

固件版本号管理、anti-rollback计数器、eFuse一次性编程。

多签名支持

多厂商签名、阈值签名（M-of-N）在固件更新中的应用。

多签名阈值

代码签名证书

从CA申请代码签名证书、交叉签名与时间戳服务。

工具链自动化

编写Makefile或Python脚本实现一键签名与打包。

自动化脚本

测试与验证

单元测试签名函数、集成测试完整签名-验签流程、模糊测试。

签名速度优化（硬件加速）、验签速度优化（缓存公钥）。

日志与审计

签名操作日志记录、验签失败告警、审计追踪。

私钥丢失恢复流程、紧急固件更新绕过签名机制的设计。

容器镜像签名

使用cosign对Docker镜像进行签名与验签。

OTA更新安全

端到端加密传输、签名验证、断点续传的签名校验。

合规与标准

IEC 62443、NIST SP 800-193、ISO 21434对固件签名的要求。

实战案例一：IoT设备

为IoT设备（ESP32）搭建完整签名工具链。

实战案例二：Linux嵌入式

为Linux嵌入式系统（Yocto/Buildroot）集成签名与验签。

实战嵌入式