1. 安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的信任链模型
大家好，我是你们这趟安全启动之旅的向导。说实话，做了十几年嵌入式安全，我见过太多产品因为启动环节的漏洞被攻破。今天咱们就来聊聊安全启动最基础、也最核心的几个问题。
1.1 什么是安全启动
安全启动，说白了就是让设备从通电那一刻起，每一步都只运行经过验证的、可信的代码。你想想看，一个设备开机时，CPU 先跑的是 ROM 里的固化代码，然后加载 Bootloader，再加载操作系统内核，最后拉起应用程序。这一连串动作，只要中间任何一个环节被篡改，整个设备就失控了。
我习惯把安全启动比作「接力赛」——每一棒选手（代码模块）在交接时，都必须确认下一棒是「自己人」。具体来说，安全启动保证了三件事：
- 完整性：代码没有被篡改过，和原始版本一模一样。
- 真实性：代码确实来自合法的发布者，不是冒牌货。
- 不可回滚：不能把设备降级到有已知漏洞的旧版本。
核心要点：安全启动不是单一技术，而是一套从硬件到软件的信任传递机制。它解决的根本问题是——「我怎么知道我接下来要跑的代码是可信的？」
1.2 为什么需要安全启动
这个问题我经常被问到。有些工程师觉得：「我的产品又不连外网，谁会来攻击？」嗯，我在项目中遇到过类似的天真想法。结果呢？产品被逆向、固件被提取、克隆版满天飞。
安全启动的必要性，可以从几个维度来看：
| 威胁场景 | 没有安全启动的后果 | 真实案例 |
|---|---|---|
| 固件篡改 | 攻击者替换系统镜像，植入后门 | 某路由器被植入挖矿程序，用户毫不知情 |
| 启动劫持 | 通过修改 Bootloader 加载恶意内核 | 某 IoT 摄像头被利用启动劫持加入僵尸网络 |
| 固件降级 | 回滚到有已知漏洞的旧版本 | 某手机利用降级攻击绕过安全补丁 |
| 克隆设备 | 复制合法固件到仿冒硬件上 | 某支付终端被克隆，盗刷信用卡 |
你想想看，现在的嵌入式设备早就不是当年那个「跑个裸机、与世隔绝」的东西了。智能家居、车联网、工业控制、医疗设备……哪个不是联网的？哪个不是处理敏感数据的？
避坑提醒：我曾经见过一个团队，产品已经量产了才发现 Bootloader 没有签名验证。结果呢？所有已出货的设备都得召回升级，损失惨重。安全启动这件事，一定要从设计阶段就考虑进去，后期补是补不牢的。
1.3 安全启动的信任链模型
好，现在咱们聊聊最核心的概念——信任链。为什么叫「链」？因为信任是一级一级传递下去的。
我画了一张图，帮你理解这个模型：
这个模型的关键在于：信任的起点必须是硬件级别的、不可篡改的。通常这个起点是固化在芯片 ROM 里的一小段代码，叫做「BootROM」或「硬件根信任」。这段代码在芯片制造时就被写死了，物理上无法修改。
BootROM 做的第一件事，就是验证外部 Flash 里的 Bootloader 是否合法。怎么验证？用公钥解密 Bootloader 的数字签名，比对哈希值。如果一致，就把控制权交给 Bootloader；如果不一致，直接死循环或者进入恢复模式。
我的经验：在实际项目中，公钥的存储位置是个大学问。我建议把公钥放在芯片的一次性可编程（OTP）区域里，或者使用芯片自带的 eFuse。千万别放在外部 Flash 里——那等于把钥匙挂在门上。
Bootloader 拿到控制权后，用同样的方式验证下一级——操作系统内核。内核再验证驱动、文件系统、应用程序。每一级都只信任上一级验证过的代码，这就是「信任链」的由来。
这里有个容易混淆的点：信任链不等于安全启动的全部。信任链是安全启动的骨架，但真正的安全启动还需要配合：
- 硬件隔离机制：比如 ARM TrustZone、RISC-V 的物理内存保护（PMP），把安全和非安全世界隔开。
- 安全存储：密钥、证书等敏感数据要放在防篡改的存储区域。
- 安全生命周期管理：从开发、生产到部署、退役，每个阶段都要有对应的安全策略。
我举个例子你就明白了。假设你有一台智能门锁：
- 芯片上电，BootROM 检查 Bootloader 的签名——通过。
- Bootloader 检查操作系统内核的签名——通过。
- 操作系统检查门锁控制应用的签名——通过。
- 应用正常运行，等待用户指令。
如果攻击者想植入恶意固件，他必须攻破每一级的签名验证。而第一级（BootROM）是硬件固化的，根本改不了。这就大大提高了攻击成本。
注意：信任链模型有一个隐含假设——根信任是绝对安全的。但现实中，芯片的硬件漏洞、侧信道攻击、甚至物理探针都可能绕过这个假设。所以安全启动不是万能的，它只是纵深防御体系中的第一道防线。
好了，这一章的内容就到这里。信任链模型是整个安全启动的基石，后面的所有章节都会围绕它展开。你把这个模型理解透了，后面的路就好走了。