一、TPM 基础与可信根概念
各位同学，咱们今天聊聊 TPM 和可信根。说实话，这俩概念是整门课的基石。你搞不懂它们，后面诊断修复根本无从下手。我最早接触 TPM 是在做一款工控主板的安全方案时，那时候芯片手册看得我头皮发麻——但啃下来之后，发现核心逻辑其实很清晰。
1.1 TPM 到底是什么？
TPM，全称 Trusted Platform Module，可信平台模块。说白了，它就是一个专门干安全活儿的独立芯片。跟 CPU、内存不一样，TPM 从设计之初就只做一件事——保护密钥和度量系统完整性。
我个人习惯把 TPM 理解成“硬件保险箱 + 公证员”。保险箱负责存密钥，公证员负责记录系统启动过程中每一步的“指纹”。
核心要点： TPM 不是软件，是硬件。它有自己的处理器、非易失性存储、随机数生成器，甚至还有专门的密码引擎。攻击者想通过软件漏洞篡改 TPM 内部数据？几乎不可能。
1.2 TPM 的历史演进
TPM 不是一天建成的。我整理了一个简表，帮你快速理清脉络：
| 版本 | 发布年份 | 主要特点 | 我的评价 |
|---|---|---|---|
| TPM 1.1 | 2003 | 仅支持 RSA、SHA-1，功能单一 | 算是开山之作，但太简陋 |
| TPM 1.2 | 2005 | 引入 PCR、AIK，支持远程证明 | 经典版本，至今仍有设备在用 |
| TPM 2.0 | 2014 | 算法灵活（ECC、SM3/SM4）、命令集重构 | 当前主流，兼容性大幅提升 |
我记得 2016 年做项目时，客户还坚持用 TPM 1.2，理由是“稳定”。但后来遇到一个 PCR 扩展算法不兼容的问题，折腾了两周才搞定。从那以后，我建议新项目直接上 TPM 2.0。
避坑指南： 我曾经遇到过一台设备，TPM 1.2 的 PCR 寄存器只有 16 个，而 TPM 2.0 有 24 个。如果你在写度量策略时没注意这个差异，系统启动到一半就会卡住。嗯，这里要注意。
1.3 可信根（RoT）三要素
可信根，Root of Trust，是整个信任链的起点。它必须被无条件信任——因为没人能验证它自己。RoT 包含三个核心能力：测量、存储、报告。我画了一张图，帮你直观理解它们的关系：
你想想看，这三个要素缺一不可。没有测量，你都不知道谁在启动；没有存储，测完了没地方记；没有报告，别人没法验证你的机器是否被篡改过。
1.3.1 测量（Measurement）
测量就是计算组件的哈希值。比如 BIOS 在加载 Bootloader 之前，先算一下 Bootloader 的 SHA-256 值。这个值就是“指纹”。
我在项目中遇到过一个问题：某个固件升级后，Bootloader 的哈希值变了，但 PCR 值没更新。结果系统一直报“度量失败”。查了半天才发现，是度量代码里写死了旧哈希值。嗯，低级错误，但排查起来真费劲。
注意： 度量必须在组件执行之前完成。如果先执行再度量，那度量就失去了意义——恶意代码已经跑起来了。这是安全启动的底线原则。
1.3.2 存储（Storage）
存储靠的是 PCR，Platform Configuration Register。PCR 是一种特殊的寄存器，只能扩展（extend），不能直接写。扩展操作是：PCR[n] = SHA256(PCR[n] || new_measurement)。
说白了，PCR 的值是累积的。你每次扩展，新值都依赖旧值。这样就能保证：只要中间任何一步被篡改，最终 PCR 值就不对。
// PCR 扩展操作示例（伪代码）
uint8_t pcr_value[32] = {0}; // 初始全零
uint8_t measurement[32] = {0xAB, 0xCD, ...}; // 新度量值
// 扩展：PCR = SHA256(PCR || measurement)
SHA256_CTX ctx;
sha256_init(&ctx);
sha256_update(&ctx, pcr_value, 32);
sha256_update(&ctx, measurement, 32);
sha256_final(&ctx, pcr_value); // 更新后的 PCR 值1.3.3 报告（Reporting）
报告就是向外部实体证明 PCR 值的真实性。TPM 用 Attestation Identity Key（AIK）对 PCR 值签名，然后把签名结果发给远程验证服务器。
我记得有一次调试远程证明，服务器一直报“签名验证失败”。我检查了 AIK 证书、签名算法、PCR 选择……最后发现是 TPM 的时钟偏差导致时间戳不对。你想想看，一个毫秒级的偏差，就能让整个证明流程崩掉。
1.4 TPM 在安全启动中的作用
安全启动（Secure Boot）是 TPM 最经典的应用场景。它的核心逻辑是：从硬件开始，逐级验证，构建一条完整的信任链。
我画了安全启动的流程图，你看一眼就明白了：
你看这个链条：BIOS 度量 Bootloader，Bootloader 度量 OS 内核，内核度量应用。每一级都依赖上一级的度量结果。如果 BIOS 被篡改，PCR[0] 就不对，Bootloader 就不会被执行。
我个人觉得，安全启动最巧妙的地方在于：它不需要信任任何软件。信任的起点是 TPM 硬件本身。只要 TPM 没被物理破解，整个链条就是安全的。
实战经验： 我曾经调试过一个安全启动失败的问题，现象是 PCR[0] 和 PCR[1] 都正常，但 PCR[2] 不对。查了两天，最后发现是内核的 initramfs 里多了一个调试驱动。度量策略里没包含这个驱动，所以哈希值对不上。嗯，这种问题在开发环境里特别常见。
好了，这一章的内容就这些。TPM 是什么、可信根三要素、安全启动的信任链——这三个点你吃透了，后面学诊断修复就会轻松很多。记住一句话：信任从硬件开始，度量贯穿始终。