一、安全启动概述：信任的起点
各位同学，咱们今天聊的是整个课程的第一块基石——安全启动。说实话，我做了十几年嵌入式安全，见过太多设备因为启动阶段被攻破而「裸奔」的案例。安全启动这事儿，说白了就是给设备装上一道从通电开始就起作用的「安检门」。
1.1 什么是安全启动
安全启动（Secure Boot），不是某个厂商的专利技术，而是一套机制。它的核心目标只有一个：确保设备只运行经过授权的、未被篡改的代码。
我习惯这么跟团队里的新人解释：你想想看，一台设备从按下电源键到操作系统跑起来，中间要经历多少步？BootROM、Bootloader、内核、文件系统……每一步都像一扇门。安全启动就是给每扇门都装上锁，而且钥匙只掌握在设备制造商手里。
安全启动的本质：在代码被执行之前，验证它的完整性和来源合法性。不通过验证，就不给执行权。
具体来说，安全启动包含三个关键动作：
- 度量（Measure）：计算当前代码的哈希值
- 验证（Verify）：用公钥解密签名，比对哈希
- 执行（Execute）：验证通过才跳转执行
嗯，这里要注意，度量必须在代码加载到内存之后、跳转执行之前完成。我在一个IoT网关项目里就踩过这个坑——当时为了赶进度，把验证放到了执行之后，结果被攻击者用DMA直接覆盖了内存中的合法代码……从那以后，我定了个死规矩：先验证，后执行，顺序不能乱。
1.2 为什么需要安全启动
你可能会问：「我的设备跑在封闭网络里，也需要安全启动吗？」
我的回答是：需要，而且非常需要。我给你列几个真实场景：
| 威胁场景 | 攻击后果 | 安全启动的作用 |
|---|---|---|
| 固件替换攻击 | 攻击者刷入恶意固件，设备沦为肉鸡 | 签名验证不通过，拒绝启动 |
| 启动劫持 | 修改Bootloader加载地址，跳转到恶意代码 | 链式验证阻断非法跳转 |
| 持久化后门 | 在文件系统植入后门，每次启动自动运行 | 内核/文件系统签名校验失败，无法加载 |
| 回滚攻击 | 刷回有漏洞的旧版本固件 | 版本号+签名联合验证，阻止降级 |
说白了，没有安全启动的设备，就像一扇没锁的门。攻击者只要物理接触或者拿到一次远程执行权限，就能永久控制设备。我参与过的一个车载T-Box项目，客户最初觉得「车机嘛，谁没事去黑它」，结果POC阶段我们只用了一个U盘就替换了它的启动分区……嗯，后来客户主动把安全启动列为了最高优先级需求。
避坑提醒：我曾经见过一个团队，给Bootloader做了签名验证，但内核和文件系统没做。攻击者直接绕过Bootloader，通过其他接口（比如JTAG、UART）把未签名的内核写进分区。记住：安全启动是链式的，一个环节没锁死，整个链条就断了。
1.3 安全启动的信任链模型
这是本章最核心的内容。信任链模型，我习惯叫它「接力棒机制」——每一级代码验证下一级，直到整个系统启动完成。
标准的信任链长这样：
- 根信任（Root of Trust）：固化在芯片ROM中的BootROM，不可修改
- 一级Bootloader：由BootROM验证并加载
- 二级Bootloader：由一级Bootloader验证并加载
- 操作系统内核：由二级Bootloader验证并加载
- 文件系统/应用：由内核验证并加载
每一级都包含下一级的公钥或者证书，用来验证下一级的签名。这个链条的起点——BootROM——是物理上不可更改的，所以叫「信任根」。
我的经验：在实际项目中，我建议把信任链的每一级都做「最小化」处理。BootROM只做一件事：验证一级Bootloader的签名。一级Bootloader只做两件事：初始化DDR、验证二级Bootloader。功能越单一，攻击面越小。我曾经接手过一个项目，一级Bootloader里塞了USB驱动和网络协议栈，结果被爆出好几个漏洞……
下面这张图是我手绘的信任链模型，你仔细看看：
这张图里，你注意看几个关键点：
- 单向性：信任只能从根向外传递，不能反向。BootROM不会信任被篡改过的一级Bootloader
- 完整性：链条上每个环节都不能跳过。我见过有人想「优化」启动速度，跳过了二级Bootloader的验证——结果被攻击者直接替换了内核
- 根不可变：BootROM是物理只读的，这是整个信任链的基石
关于国密算法在信任链中的位置：在后续章节中，我们会把每一级的签名验证算法替换为国密SM2（签名）+ SM3（哈希）。比如BootROM用SM3计算一级Bootloader的哈希，用SM2验证签名。这个替换不是简单的算法换皮，涉及到密钥管理、证书格式、性能优化等一系列问题——嗯，这些我们后面慢慢展开。
最后说一个我个人的习惯：在设计信任链时，我会给每一级都预留一个「回退机制」。比如一级Bootloader验证二级Bootloader失败时，不要直接死机，而是进入一个安全的恢复模式（Recovery Mode），允许通过安全通道刷入合法的固件。我在一个智能电表项目里就因为这个设计，帮客户挽救了上千台已经变砖的设备——当时他们OTA升级包签名有问题，设备启动失败，但因为有恢复模式，远程推送了一个修复包就全救回来了。