1. 固件安全概述：攻击面、威胁模型与生命周期

大家好，我是你们这门课的主讲。在嵌入式安全这块摸爬滚打了十几年，我见过太多产品因为固件安全问题翻车了。今天咱们先聊聊固件安全的基础——攻击面、威胁模型和生命周期。说白了，就是搞清楚“敌人从哪来”、“敌人想干嘛”、“我们怎么防”。

核心观点：固件安全不是开发完再打补丁，而是从芯片选型那一刻就要开始考虑的事。我见过太多团队把安全当成“上线前加把锁”，结果锁还没装上，门已经被踹开了。

攻击面，就是攻击者能接触到固件的所有入口。你想想看，一个嵌入式设备从出厂到报废，有多少双手摸过它？

我个人习惯把攻击面分成三大类：

我在项目中遇到过最典型的物理攻击，是有人用JTAG调试器直接读Flash。你想想看，如果固件没加密，芯片没锁调试口，那跟把源代码打印出来贴在设备外壳上有什么区别？

攻击面类型	常见攻击手段	典型后果
物理攻击	JTAG/SWD调试接口、SPI Flash嗅探、芯片开盖、电压/时钟毛刺	固件提取、密钥泄露、代码逆向
软件攻击	缓冲区溢出、固件降级、OTA中间人、签名绕过	远程代码执行、固件替换、权限提升
供应链攻击	恶意第三方库、伪造芯片、编译工具链后门	固件植入后门、密钥被窃、认证绕过

⚠️ 避坑指南：我曾经接手过一个项目，客户说“我们固件很安全，用了AES加密”。结果我一测，加密密钥硬编码在代码里，而且JTAG口没锁。这叫什么？这叫把保险柜钥匙贴在保险柜门上。记住：密钥管理比加密算法本身重要一百倍。

搞清楚了攻击面，接下来要回答一个问题：攻击者到底想干什么？

威胁模型就是帮我们梳理这个问题的工具。我常用的方法是STRIDE模型，微软那套，虽然老但好用。咱们一个一个看：

嗯，这里要注意：不是每个威胁都跟你的产品有关。比如一个智能灯泡，你非要防国家级APT攻击，那就过度设计了。威胁模型的价值在于帮你找到最该花钱的地方。

💡 我的经验：做威胁模型时，我习惯先画一张数据流图。把固件从开发、编译、签名、分发、烧录、启动到运行的全流程画出来，然后在每个节点上问自己：“如果这里被攻击了，会发生什么？” 你会发现，很多漏洞其实在画图阶段就能暴露出来。

下面这张图是我自己项目里常用的固件安全威胁模型框架，你可以参考：

安全不是某个时间点的事，而是贯穿固件整个生命周期的持续过程。我把它分成六个阶段：

你可能会问：“这么多阶段，哪个最重要？” 我的回答是：设计阶段。为什么？因为设计阶段犯的错，后面花十倍代价都补不回来。

真实案例：我曾经参与过一个智能门锁项目。设计阶段没考虑安全启动，结果产品上市三个月，有人通过SPI Flash直接替换了固件，所有门锁都能用一张“万能卡”打开。最后召回成本超过两千万。你说，当初多花两周做安全设计，值不值？

下面这个表格总结了每个阶段的关键动作和常见坑：

💡 我的习惯：每个项目我都会建一个“安全检查清单”，从设计到运维逐项打勾。别嫌麻烦，这东西救过我很多次。有一次客户催着发货，我坚持要等安全烧录流程验证完再出货，结果发现烧录脚本里密钥写反了——要是直接发货，所有设备的密钥都是错的，那才叫灾难。

最后说一句：固件安全没有银弹。没有哪个工具、哪个芯片、哪个协议能保你一辈子平安。真正有效的，是把安全意识嵌入到每一个开发环节里，从画原理图那天就开始想“如果有人要搞我，他会从哪里下手”。

嗯，这一章的内容就到这。记住我今天说的三个关键词：攻击面、威胁模型、生命周期。后面的章节我们会一个一个深入展开，到时候你会看到，这些基础概念是怎么变成具体的代码和配置的。