3. 安全启动概述
在工业网关这类长期运行、部署在边缘现场、又直接承载生产数据的设备上，“设备上电后到底运行了什么代码”是一个必须被证明、而不是被假设的问题。安全启动（Secure Boot）正是回答这个问题的机制：它让设备在每一次上电时，从一段不可篡改的起点开始，逐级校验后续要执行的固件、引导程序、内核与系统镜像，只有校验通过才允许继续启动，否则停止启动或进入受限恢复模式。
一、安全启动的定义与核心目标
安全启动是一套建立在密码学基础上的启动完整性验证机制。它通常依赖非对称密码算法（如 RSA、ECDSA）与哈希算法（如 SHA-256），通过“私钥签名、公钥验签”的方式，把信任从一颗不可更改的硬件信任根，逐级传递到最终运行的操作系统与应用。
对工业网关而言，安全启动要达成的目标可以归纳为四点：
- 完整性：确认固件、引导程序、内核、根文件系统未被篡改，哪怕只改动一个字节也会被检出。
- 真实性：确认这些代码确实由设备厂商或授权方签发，而非攻击者伪造的恶意镜像。
- 不可否认与可追溯：签名与版本信息可被记录，便于审计“这台设备运行的是哪个已授权版本”。
- 可控降级：阻止攻击者把设备刷回存在已知漏洞的旧版本固件，即防回滚（Anti-Rollback）。
需要强调的是，安全启动并不等于“设备绝对安全”。它守住的是启动阶段的代码来源与完整性，运行期的漏洞利用、弱口令、错误配置仍需其他机制配合。把安全启动当作唯一防线，是常见的认知误区。
二、信任链：从信任根逐级传递
安全启动最核心的结构是“信任链”（Chain of Trust）。它的逻辑是：如果 A 可信，且 A 验证了 B，那么 B 也可信；B 再验证 C，依此类推。整条链的起点必须是一段无法被软件修改的代码或数据，这就是信任根（Root of Trust, RoT）。
在典型工业网关上，信任链通常这样展开：
- 硬件信任根：芯片内部的 Boot ROM 或安全协处理器，出厂固化、不可改写，是整条链的锚点。
- 一级引导（BL1/SPL）：由 Boot ROM 用内置公钥或哈希校验后加载。
- 二级引导（U-Boot/引导程序）：由一级引导验签后加载，负责初始化内存与外设。
- 内核与设备树：由引导程序验签后加载。
- 根文件系统与容器镜像：由内核或 initramfs 阶段校验，最终进入业务应用。
信任根又可分为三类：基于 ROM 的信任根（信任代码）、基于 OTP/eFuse 的信任根（信任密钥哈希）、以及基于安全元件的信任根（如 TPM、SE、HSM，信任密钥存储与运算）。工业网关常采用“ROM + eFuse 公钥哈希”的组合，成本可控且能抵御固件替换攻击。
三、相关标准与规范
安全启动并非厂商自创概念，它已被多个国际与行业标准覆盖。工业网关在选型与合规时，常需要对照以下规范：
| 标准/规范 | 关注点 | 对工业网关的意义 |
|---|---|---|
| NIST SP 800-193 | 平台固件弹性（Protection / Detection / Recovery） | 要求固件可保护、可检测篡改、可恢复，是安全启动设计的核心参考 |
| IEC 62443-4-2 | 工业自动化与控制系统组件安全要求 | 明确要求设备具备完整性验证与安全启动能力（如 CR 3.4、EDR 3.4） |
| UEFI Secure Boot | 基于 PK/KEK/db 密钥库的启动验证 | 多用于 x86 网关，提供标准化的签名数据库与吊销机制 |
| ARM Trusted Firmware / TF-A | BL1–BL33 分级引导与信任链 | ARM 架构工业网关的主流实现框架 |
| TPM 2.0 / TCG | 度量启动（Measured Boot）与远程证明 | 提供 PCR 度量值，支持平台向管理端证明自身状态 |
需要区分“安全启动”与“度量启动”：前者是“验证后才执行”，后者是“先执行并记录度量值，再由远端判断是否可信”。工业场景中两者常结合使用——本地用安全启动阻断篡改，远端用度量值做合规审计。
四、典型场景与常见误区
设想一台部署在变电站的工业网关。攻击者通过现场调试口尝试刷入被植入后门的固件。若设备启用了安全启动，Boot ROM 会用 eFuse 中的公钥哈希校验一级引导签名，签名不匹配则直接停止启动，攻击者无法让恶意代码运行。同时，设备可将该失败事件写入安全日志并上报管理平台，形成可追溯的安全事件。
实际落地中，以下误区最常导致安全启动“形同虚设”：
- 只签引导不签根文件系统：攻击者绕过引导后替换应用，信任链在最后一环断裂。
- 私钥管理松散：签名私钥放在开发机或 CI 明文环境，一旦泄露，整条信任链失效。
- 未启用防回滚：攻击者刷回旧版有漏洞固件，安全启动仍会“验签通过”。
- 调试口未关闭：JTAG/UART 可绕过启动校验直接读写存储，硬件层防线被打开。
- 把安全启动当万能药：忽略运行期加固、访问控制与密钥轮换。
五、启动校验的典型日志与判断
在排障与验证时，串口日志是判断信任链是否生效的第一手证据。以下是一段典型的安全启动日志片段：
BootROM: Secure boot enabled, eFuse hash matched
BootROM: Loading BL1 from eMMC @0x40000 ... OK
BL1: Verifying BL2 signature (ECDSA-P256) ... PASS
BL2: Verifying U-Boot signature ... PASS
U-Boot: Verifying kernel Image + DTB ... PASS
Kernel: dm-verity enabled, rootfs hash tree verified
Kernel: IMA policy loaded, appraise=fix
[ OK ] Reached target Multi-User System
若出现 signature check failed、hash mismatch 或 rollback index too low，则分别对应签名不匹配、内容被篡改、版本回滚被拒三类问题。工程上应把这三类事件纳入统一的安全事件上报，而不是仅打印在本地串口。
综上，安全启动通过信任根与信任链，把“设备运行了什么”从假设变成可验证的事实。理解其定义、目标、信任链结构与相关标准，是后续设计密钥体系、签名流程与证书管理的前提。