1、安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的信任链模型
大家好，我是你们的嵌入式安全讲师。今天咱们聊点硬核的——安全启动。
说实话，我入行那会儿，安全启动还是个“加分项”。很多产品压根不关心这玩意儿。直到有一次，我帮客户分析一台被远程控制的工业网关，发现攻击者只是替换了 Flash 里的 Bootloader，系统就完全沦陷了。嗯，从那以后，我再也不敢轻视安全启动。
1.1 什么是安全启动
安全启动，说白了就是一套“验身”机制。
设备上电后，从第一行代码开始，每一级软件都要验证下一级软件的合法性和完整性。只有通过验证的代码才能被执行。没通过？对不起，系统直接罢工。
我习惯把它比作机场安检：
- BootROM 是安检口的第一道闸机，谁都不能绕过。
- Bootloader 是登机牌验证，确认你没拿假票。
- OS Kernel 是登机前的最后检查，确保你没带违禁品。
每一关都只信任上一关交给你的“凭证”。这个凭证，就是数字签名。
核心定义：安全启动是一种基于密码学签名的链式验证机制，确保设备只运行经过授权的、未被篡改的固件。
1.2 为什么需要安全启动
你可能会问：“我做个智能插座、做个摄像头，也要搞安全启动？”
我的回答是：看场景。但如果你做的是以下这些产品，我建议你认真考虑：
- IoT 设备：一旦被植入恶意固件，你的设备就成了僵尸网络的一员。
- 汽车电子：ECU 被刷写非授权固件，轻则抛锚，重则出人命。
- 医疗设备：输液泵、呼吸机被篡改，后果不堪设想。
- 工业控制器：PLC 被植入后门，整个产线都可能被勒索。
我在一个智能门锁项目上吃过亏。客户觉得“加个签名太麻烦”，结果产品上市三个月，就被爆出可以用调试串口刷入任意固件。那一次召回，直接亏了七位数。
所以，安全启动不是“要不要”的问题，而是“什么时候做”的问题。越早嵌入设计，成本越低。
注意：安全启动不能防止物理攻击（比如开盖探针读 Flash），但它能有效阻止远程固件篡改和恶意升级。这是嵌入式安全的第一道防线，不是最后一道。
1.3 安全启动的信任链模型
信任链，是整个安全启动的骨架。你想想看，如果第一级代码就不安全，后面再怎么验也没用。
所以，信任链必须从一个“绝对可信”的起点开始。这个起点，就是芯片内部的 BootROM。
我画了一张图，帮你理清这个链条：
这张图展示了典型的四级信任链。每一级都只信任上一级交给它的公钥，然后用这个公钥去验证下一级固件的签名。
举个例子：
- BootROM 内部固化了一个公钥哈希（或者直接是公钥）。它上电后，从 Flash 读取 Bootloader 1st Stage 的镜像和签名，用内置公钥验签。通过才执行。
- Bootloader 1st Stage 拿到控制权后，用自己携带的公钥去验证 Bootloader 2nd Stage 的签名。
- Bootloader 2nd Stage 再去验证 OS Kernel 的签名。
- OS Kernel 启动后，还可以继续验证内核模块、驱动、应用程序的签名。
这个链条一旦断裂，系统就拒绝启动。这就是安全启动的“硬约束”。
我的经验：在实际项目中，我习惯把 Bootloader 分成两段。第一段尽量精简，只做验签和加载第二段。这样即使第二段有 bug，第一段仍然安全。我曾经在一个项目里把整个 U-Boot 都放在第一段，结果 U-Boot 一个漏洞导致验签被绕过……嗯，后来我学乖了。
1.4 信任链的三种常见模型
不同芯片厂商、不同安全等级，信任链的实现方式也不一样。我整理了一个表格，方便你对比：
| 模型类型 | 信任根位置 | 验证方式 | 典型场景 | 安全等级 |
|---|---|---|---|---|
| 静态信任链 | BootROM | 逐级验签，启动后不再验证 | 消费类 IoT、低功耗 MCU | 中等 |
| 动态信任链 | BootROM + TPM/SE | 运行时持续度量，PCR 扩展 | PC、服务器、工业 PC | 高 |
| 硬件隔离信任链 | 独立安全芯片 (SE) | SE 独立验签，主 CPU 不可干预 | 金融支付、车规级 ECU | 极高 |
静态信任链最常见，也最容易实现。动态信任链需要 TPM 芯片配合，适合对运行时安全有要求的场景。硬件隔离信任链最安全，但成本也最高。
我个人建议：如果你的产品对成本敏感，静态信任链就够了。但如果你做的是车规或金融设备，别省那个安全芯片的钱。
1.5 一个常见的误解
很多人以为“加了签名验证就是安全启动”。其实不然。
安全启动的关键在于：
- 密钥管理：私钥泄露，整个信任链就废了。
- 回滚保护：攻击者可能拿旧版本固件（有已知漏洞）来刷写，所以必须检查版本号。
- 调试接口：JTAG/SWD 如果不锁死，攻击者可以直接绕过安全启动。
我曾经见过一个产品，安全启动做得很好，但 JTAG 没锁。攻击者直接用调试器 halt CPU，然后修改内存里的验签结果……嗯，那场面挺尴尬的。
避坑指南：安全启动不是“加个签名就完事”。密钥存储、回滚防护、调试接口锁定、生产环境密钥分发，每一个环节都可能成为短板。我曾经在一个项目里因为生产时密钥脚本写错了，导致一万台设备全部无法启动……那周我基本没睡过觉。
1.6 小结
安全启动，本质上就是建立一条从硬件到应用的信任链。每一级都只信任上一级，每一级都验证下一级。
它不能解决所有安全问题，但它是嵌入式安全的地基。地基不稳，上层建筑再漂亮也没用。