1. 安全威胁概述：固件面临的常见攻击类型

大家好，我是你们这门课的老朋友。咱们今天先不急着写代码，也不急着配证书链。我想先花点时间，跟你聊聊一个很现实的问题——你的固件，到底有多不安全？

我做了十几年嵌入式安全，见过太多产品“裸奔”上线的案例。说白了，很多工程师觉得固件藏在芯片里，没人看得见。但现实是，攻击者的手段比你想象的要野得多。

1.1 固件攻击的三大“杀手锏”

根据我个人的经验，固件面临的攻击，基本可以归为三类。咱们一个一个来看。

1.1.1 逆向工程——把你的代码当“透明”的

你辛辛苦苦写的算法、协议栈、业务逻辑，在攻击者眼里，可能就是一堆待解的谜题。他们不需要你的源码，只需要拿到固件二进制文件。

• 静态分析： 用 IDA Pro、Ghidra 这类工具，直接把二进制反汇编成伪代码。我见过一个做智能门锁的团队，他们的加密密钥就硬编码在固件里，攻击者半小时就翻出来了。
• 动态调试： 通过 JTAG/SWD 接口，或者直接焊线接逻辑分析仪，单步调试你的程序。嗯，这里要注意，很多量产产品居然还留着调试接口没锁。
• 侧信道分析： 通过测量功耗、电磁辐射、执行时间，反推你的密钥。这招对密码算法特别有效。

1.1.2 篡改攻击——让你的设备“叛变”

篡改比逆向更可怕。逆向只是偷看你的代码，篡改是直接改你的代码。攻击者修改固件后，设备就不再是你设计的那个设备了。

篡改类型	攻击手法	真实案例
代码注入	在固件升级包中插入恶意代码	某品牌路由器被植入挖矿程序
配置篡改	修改服务器地址、调试开关、安全策略	摄像头固件被改，视频流发往攻击者服务器
逻辑绕过	Patch 掉安全检查函数（如密码校验）	某支付终端被跳过签名校验，直接执行任意代码

你想想看，如果攻击者篡改了你的 OTA 升级包，所有设备都会“中毒”。这就是为什么我们需要签名校验——确保固件是“原装正品”。

1.1.3 克隆攻击——你的产品被“复制粘贴”

克隆攻击主要针对硬件身份。攻击者读出一个设备的固件和唯一标识，然后批量烧录到仿制硬件上。你的产品卖 1000 块，山寨货卖 200 块，用的还是你的代码。

• Flash 读取： 用编程器直接读 SPI Flash 或 eMMC 内容。
• Bootrom 漏洞： 利用芯片 Bootrom 的漏洞，绕过读保护。
• 固件提取： 从 OTA 升级包、调试串口、甚至官网下载链接获取固件。

1.2 为什么需要防篡改机制？

好，现在你知道了攻击者能做什么。那咱们为什么要花精力做防篡改？我总结了几点，你看看有没有道理。

1. 保护知识产权： 你的算法、协议栈、业务逻辑，是公司的核心资产。防篡改至少能提高攻击门槛，让“脚本小子”知难而退。
2. 保障功能安全： 医疗设备、汽车 ECU、工业控制器，这些设备如果被篡改，会出人命的。我记得有个案例，攻击者篡改了心脏除颤器的固件，导致设备在关键时刻不放电。
3. 维护品牌信誉： 设备被篡改后出现故障，用户不会骂攻击者，只会骂你的产品垃圾。
4. 合规要求： 现在很多行业标准（如 IEC 62443、ISO 21434）都明确要求固件完整性校验和签名认证。

1.3 固件安全的知识体系

为了让你对整个课程有个宏观认识，我画了一张图。这张图展示了固件安全的几个核心环节，以及它们之间的关系。

从这张图你可以看到，我们这门课要讲的内容，就是从“安全威胁”出发，一步步构建“证书链校验”和“安全启动”的防护体系。最终目标，就是让你的固件变得可信、不可篡改、不可克隆。

1.4 本章小结

这一章我们聊了固件面临的三大攻击类型：逆向、篡改、克隆。也聊了为什么防篡改是刚需。我个人觉得，做安全最怕的就是“不知道敌人从哪里来”。现在你知道了，后面的课程就好办了。