4. 安全威胁模型：固件被篡改、逆向工程、中间人攻击、回滚攻击、侧信道攻击

在物联网设备固件升级的生命周期中，安全威胁无处不在。理解这些威胁模型是构建防御体系的第一步。本节将深入剖析五种核心攻击向量，并展示它们如何破坏固件的机密性、完整性、可用性与真实性。

4.1 固件被篡改 (Firmware Tampering)

攻击者在固件传输或存储过程中，恶意修改二进制代码、配置参数或签名信息。篡改后的固件可能植入后门、勒索软件或破坏性逻辑。

攻击阶段	篡改方式	后果
存储端	破解服务器、替换固件包	所有下载用户感染恶意固件
传输中	中间人劫持并修改数据包	单设备或局部网络被控
设备端	利用缓冲区溢出注入代码	固件运行时被篡改

4.2 逆向工程 (Reverse Engineering)

攻击者通过反汇编、调试接口（JTAG/SWD）、内存转储等手段，从固件中提取敏感信息（密钥、算法、通信协议）。

• 静态逆向：使用 IDA Pro、Ghidra 分析固件二进制，定位加密函数与密钥常量。
• 动态逆向：利用调试器单步执行，监控寄存器与内存变化，破解认证逻辑。
• 硬件辅助：通过侧信道泄露的功耗/电磁信息辅助逆向（见4.5节）。

4.3 中间人攻击 (Man-in-the-Middle, MITM)

攻击者位于设备与升级服务器之间，拦截、修改或重放通信数据。常见于未加密的HTTP升级或证书验证缺陷场景。

MITM 类型	攻击手法	防御要点
ARP 欺骗	伪造网关MAC，劫持局域网流量	静态ARP / 加密传输
DNS 劫持	篡改域名解析指向恶意服务器	DNSSEC / 证书固定
SSL 剥离	降级HTTPS为HTTP，明文窃听	HSTS / 强制加密

4.4 回滚攻击 (Rollback Attack)

攻击者强制设备安装一个旧版本固件，利用已知漏洞重新获得控制权。即使新固件修复了漏洞，回滚攻击仍能绕过安全更新。

回滚攻击典型步骤：
1. 攻击者捕获或下载旧版本固件（版本号 v1.0，存在漏洞）。
2. 伪造升级包，将版本号修改为 v3.0（欺骗版本检查）。
3. 设备未验证版本单调递增性，接受并刷入旧固件。
4. 攻击者利用 v1.0 的已知漏洞获取 root 权限。

防御方案：
- 版本号单调递增验证（硬件熔丝/OTP）。
- 安全启动链确保旧固件签名失效。
- 使用防回滚计数器（Anti-Rollback Counter）。

4.5 侧信道攻击 (Side-Channel Attack)

攻击者通过分析物理泄露信息（功耗、电磁辐射、时间延迟、声音）来提取固件中的秘密参数，如加密密钥或签名私钥。

侧信道类型	测量对象	典型攻击场景
功耗分析 (SPA/DPA)	设备电流变化	破解 AES 密钥
电磁分析 (EMA)	电磁辐射波形	提取 RSA 私钥
时间分析	操作执行时间	推断密码长度/比较操作

威胁模型总结

上述五种威胁并非孤立存在，攻击者常组合使用：例如通过侧信道提取签名密钥，然后篡改固件并利用中间人分发，最后通过回滚维持持久化访问。防御需构建纵深体系：

• 完整性：代码签名 + 安全启动链
• 机密性：加密传输 + 密钥隔离
• 新鲜度：防回滚计数器 + 版本绑定
• 物理防护：屏蔽层 + 噪声注入 + 恒定时间算法