1. 安全启动概述

各位同学，欢迎来到《安全启动从零开始学》。我是你们的讲师，一个在嵌入式安全领域摸爬滚打了十几年的老兵。今天咱们聊聊第一课：安全启动到底是什么，为什么它这么重要。

说实话，我刚入行那会儿，对安全启动的理解也很肤浅。觉得不就是上电后跑个校验嘛，能有多复杂？直到有一次，我在一个IoT网关项目里，因为没做安全启动，被客户现场抓到了固件被篡改的痕迹……嗯，那场面，至今难忘。从那以后，我才真正开始认真研究这个领域。

什么是安全启动

安全启动，英文叫 Secure Boot。说白了，就是一套从芯片上电到操作系统加载完毕的完整信任链。它确保你运行的每一行代码，都是设备制造商授权的、没有被篡改过的。

你想想看，一个嵌入式设备从按下电源键到系统跑起来，中间要经历多少阶段？BootROM、Bootloader、分区表、内核、文件系统……每个阶段都可能被攻击者植入恶意代码。安全启动要做的，就是给这条链上的每个环节都加上一把锁。

我个人习惯把安全启动比作「洋葱模型」。你剥开一层，验证一层，直到最核心的信任根。每一层都保护着下一层，环环相扣。

为什么需要安全启动

这个问题，我在课堂上被问过无数次。很多同学觉得：「我的设备又不连外网，谁会来攻击我？」

大错特错。我见过太多「离线设备」被攻破的案例了。攻击者可以通过调试接口（JTAG/SWD）、物理拆解、替换Flash芯片、甚至利用供应链漏洞来植入恶意固件。没有安全启动，你的设备就像没上锁的保险柜。

具体来说，安全启动能帮你防住这几类攻击：

• 固件替换攻击：攻击者把篡改过的固件刷进Flash，设备启动后执行恶意代码。比如把门禁系统的固件换成「永远开门」的版本。
• 持久化后门：攻击者在固件里植入木马，每次启动都自动运行。我曾经在一个路由器固件里发现过挖矿脚本，就是通过这种方式植入的。
• 供应链污染：在生产或运输环节，Flash芯片被掉包成带后门的版本。没有安全启动，你根本发现不了。
• 回滚攻击：攻击者把固件降级到有已知漏洞的旧版本，然后利用漏洞入侵系统。这个我们后面会详细讲。

安全启动的核心目标

安全启动要达成三个核心目标：完整性、真实性、抗回滚。这三个目标缺一不可，构成了安全启动的「铁三角」。

目标	含义	实现手段	攻击场景
完整性	固件内容没有被篡改	哈希校验（SHA-256等）	攻击者修改了固件中的某个函数
真实性	固件来自合法的发布者	数字签名（RSA/ECDSA）	攻击者用自己的密钥签名恶意固件
抗回滚	不能加载旧版本的固件	版本号计数器、熔丝位	攻击者把固件降级到有漏洞的版本

1. 完整性

完整性是最基础的要求。它确保固件在存储或传输过程中没有被修改过。哪怕只改了一个比特，完整性校验也会失败。

实现方式很简单：计算固件的哈希值（比如SHA-256），然后和预期的哈希值比对。如果一致，说明固件是完整的。

但这里有个坑：哈希值本身怎么保护？如果攻击者同时篡改了固件和哈希值，那校验就没意义了。所以，哈希值必须存储在安全区域，比如一次性可编程（OTP）存储器或安全元件里。

2. 真实性

完整性只能保证「没被改过」，但不能保证「是谁发布的」。真实性要解决的就是这个问题：确保固件来自合法的发布者。

实现方式是非对称加密签名。设备制造商用私钥对固件签名，设备端用公钥验证签名。私钥只有制造商持有，公钥预置在设备中。

这里有个关键点：公钥的存储位置。如果公钥可以被攻击者替换，那整个信任链就崩塌了。所以，公钥必须存储在不可篡改的区域，比如BootROM或OTP。

// 伪代码：签名验证流程
// 1. 从安全存储中读取公钥
public_key = read_from_otp(KEY_SLOT_0);

// 2. 读取固件和签名
firmware = read_from_flash(FIRMWARE_ADDR);
signature = read_from_flash(SIGNATURE_ADDR);

// 3. 验证签名
if (verify_signature(public_key, firmware, signature) == PASS) {
    // 签名验证通过，可以启动
    boot_firmware(firmware);
} else {
    // 签名验证失败，拒绝启动
    enter_error_handling();
}

3. 抗回滚

这个目标很多人会忽略，但它其实非常关键。攻击者可能无法直接篡改固件，但他们可以诱导设备加载一个旧版本的固件——这个旧版本存在已知漏洞，攻击者可以利用这些漏洞入侵系统。

抗回滚的实现方式通常有两种：

• 版本号计数器：在安全存储区维护一个单调递增的版本号。每次升级固件时，版本号必须大于当前值。攻击者无法把版本号改小。
• 熔丝位：一次性可编程的物理熔丝。每次升级时熔断一组熔丝，表示版本已更新。这个方式更安全，但灵活性差一些。

安全启动的整体架构

说了这么多理论，咱们来看看安全启动在实际系统中长什么样。下面这张图展示了典型的嵌入式安全启动流程：

从这张图可以看得很清楚：信任是从BootROM这个硬件信任根开始的。BootROM是芯片出厂时固化的代码，攻击者无法修改。它负责验证第一级Bootloader的签名。第一级Bootloader验证通过后，再去验证第二级Bootloader……以此类推，直到整个系统启动完成。

每一级都只信任上一级验证过的代码。这就是「信任链」的核心思想。

安全启动的常见误区

最后，我给大家总结几个新手容易踩的坑：

• 误区一：「只要做了哈希校验就安全了」——哈希只能保证完整性，不能保证真实性。攻击者可以同时替换固件和哈希值。
• 误区二：「签名算法越复杂越好」——嵌入式设备资源有限，RSA-4096在低端MCU上可能跑不动。要根据硬件能力选择合适的算法。
• 误区三：「公钥放在Flash里就行」——Flash可读可写，攻击者可以替换公钥。公钥必须放在只读或一次性写入的安全存储区。
• 误区四：「抗回滚不重要」——我前面讲的那个车机案例就是血的教训。抗回滚和完整性、真实性同等重要。