信任根（RoT）建立：硬件信任根、固件信任根与信任链传递
安全启动这件事，说白了就是回答一个问题：你怎么证明你启动的代码是可信的？
答案其实不复杂——你得有一个绝对可信的起点，然后从这个起点开始，一级一级地验证下去。这个起点，就是我们说的信任根（Root of Trust, RoT）。
我早年做嵌入式安全时，踩过一个坑：当时觉得只要在Bootloader里做个哈希校验就够了，结果被攻击者直接物理篡改了Flash里的公钥。嗯，从那以后我才真正理解——信任根必须是硬件级别的，不能被软件改掉。
2.1 硬件信任根：TPM 与 HSM
硬件信任根，就是一块你动不了的「铁疙瘩」。它里面存着最核心的密钥，而且保证这些密钥永远不会被软件读到。
2.1.1 TPM（可信平台模块）
TPM 是个低成本的安全芯片，现在几乎所有的商用PC和服务器上都标配了。它主要干这几件事：
- 密钥存储：私钥生成在芯片内部，永远不离开TPM
- 平台配置寄存器（PCR）：用来记录启动过程中的度量值
- 密封（Seal）：只有PCR值符合预期时，才能解开某些密钥
- 远程证明：向外部证明你的平台是干净的
关键认知：TPM 不是用来做高速运算的，它的核心价值是「防篡改」和「防读取」。你想想看，如果攻击者能直接读走你的私钥，那所有加密都是白搭。
2.1.2 HSM（硬件安全模块）
HSM 比 TPM 更「重」，通常用在金融、CA证书签发这类高安全场景。我参与过的一个银行项目，他们用的HSM是经过FIPS 140-2 Level 3认证的——物理拆开会触发自毁机制。
| 特性 | TPM | HSM |
|---|---|---|
| 成本 | 低（几美元） | 高（数千到数万美元） |
| 性能 | 低（适合签名/度量） | 高（支持大量并发加密操作） |
| 物理防护 | 基本防拆 | 主动防拆+自毁 |
| 典型场景 | PC、服务器、IoT设备 | CA、支付网关、密钥管理 |
| 密钥数量 | 有限（通常几十个） | 海量（支持密钥库） |
我的建议：如果你的产品是消费级设备，用TPM就够了。如果是金融或政务场景，别省HSM的钱——出事之后的代价远大于硬件成本。
2.2 固件信任根：Boot ROM
Boot ROM 是芯片上电后执行的第一段代码。它固化在芯片的只读存储器里，出厂后就不能改了。这就是整个信任链的物理起点。
为什么Boot ROM这么重要？因为它是唯一一段不需要被验证的代码。它本身就是信任的化身。
2.2.1 Boot ROM 的核心职责
- 初始化硬件：设置时钟、内存控制器等最基本的外设
- 验证下一级Bootloader：用内置的公钥验证Bootloader的签名
- 建立信任链：如果验证通过，把控制权交给Bootloader
- 提供回退机制：如果验证失败，进入恢复模式或安全锁定状态
注意：Boot ROM 的代码量通常只有几KB到几十KB。它不能做复杂的事情，但必须保证绝对正确。我见过一个案例，某厂商的Boot ROM里有个缓冲区溢出漏洞——结果整个安全启动体系形同虚设。
2.3 信任链传递机制
信任链传递，就是「一级验证一级」的过程。每一级只信任上一级，上一级验证通过后才把控制权交出去。
我个人习惯把这个过程画成一个链条：
Boot ROM → Bootloader → OS Kernel → 系统服务 → 应用
↓ ↓ ↓ ↓ ↓
验证 验证 验证 验证 验证
签名 签名 签名 签名 签名
每一级都包含两个关键动作：
- 度量（Measure）：计算下一级代码的哈希值
- 验证（Verify）：用公钥验证签名是否匹配
如果任何一级验证失败，链条就断了，系统必须停止启动或进入安全模式。
2.3.1 信任链的典型流程
以一台x86服务器为例，完整的信任链是这样的：
- 上电：CPU从Boot ROM开始执行
- Boot ROM：验证UEFI固件的签名（使用内置公钥）
- UEFI固件：验证Bootloader（如GRUB）的签名
- Bootloader：验证OS内核的签名
- OS内核：验证内核模块和关键系统服务的签名
- 系统服务：验证应用程序的签名（如通过IMA/EVM）
核心原则：信任链的长度越短越好。每多一级，就多一个攻击面。我见过一些设计，信任链长达七八级——说实话，这种设计反而增加了风险，因为每一级都可能出问题。
2.4 信任根与信任链的SVG架构图
下面这张图，是我画给团队做培训用的。它把整个信任体系串起来了：
2.5 信任链的三种常见模型
在实际项目中，我见过三种主流的信任链模型。它们各有优劣：
| 模型 | 描述 | 优点 | 缺点 |
|---|---|---|---|
| 静态信任链 | 启动时一次性验证所有代码，之后不再检查 | 实现简单，性能开销小 | 运行时无法检测代码篡改 |
| 动态信任链 | 启动时验证，运行时持续度量（如IMA） | 能检测运行时篡改 | 性能开销较大，需要内核支持 |
| 混合信任链 | 关键路径静态验证，非关键路径动态验证 | 平衡安全与性能 | 设计复杂，需要精细的策略配置 |
我的经验：对于大多数企业级服务器，静态信任链就够用了。但如果你做的是金融交易系统或关键基础设施，我建议上动态信任链——运行时被篡改的风险，你赌不起。
2.6 信任根的保护与备份
信任根本身也需要保护。你不能把鸡蛋都放在一个篮子里。
2.6.1 物理保护
- TPM/HSM芯片必须焊接在主板上，不能是可插拔的
- 芯片周围要有防拆检测电路
- Boot ROM必须是一次性编程（OTP）的，不能通过JTAG等接口改写
2.6.2 密钥备份
- 主密钥必须有多份物理备份，存放在不同地点
- 备份密钥要使用密钥分割技术（如Shamir秘密共享）
- 定期进行密钥恢复演练——我见过太多公司备份了密钥但恢复流程没人会操作
避坑指南：我曾经遇到一个客户，他们把TPM的主密钥备份放在同一个机房的保险柜里。结果机房火灾，密钥全没了——整个安全启动体系直接瘫痪。记住：备份必须异地、异介质、异人管理。
2.7 信任链的度量与报告
信任链不仅要「可信」，还要「可证明」。这就是度量与报告的作用。
2.7.1 度量过程
每一级在验证下一级之前，先计算下一级代码的哈希值，然后把这个哈希值扩展到TPM的PCR寄存器中。PCR的特点是：只能扩展（extend），不能重置（除非重启）。
PCR_new = SHA256(PCR_old || 新度量值)
这样，PCR的值就记录了整个启动过程的完整历史。任何一步被篡改，最终的PCR值都会不同。
2.7.2 远程证明
远程证明是信任链的「对外输出」。服务器可以向远程验证方证明自己的启动状态：
- 验证方发送一个随机数（nonce）给服务器
- 服务器用TPM的私钥对PCR值和nonce进行签名
- 验证方用服务器的公钥验证签名，并比对PCR值是否与预期一致
一句话总结：信任根是「你是谁」，信任链是「你怎么证明你是谁」，远程证明是「你证明给别人看你是谁」。
2.8 本章小结
信任根的建立，是整个安全启动体系的基石。没有它，后面所有的安全措施都是空中楼阁。
记住三个关键点：
- 硬件信任根（TPM/HSM）提供不可篡改的密钥存储和度量能力
- 固件信任根（Boot ROM）提供不可更改的验证起点
- 信任链传递确保每一级都经过验证，形成完整的信任闭环