1、安全概述：嵌入式系统面临的威胁、安全需求分析的重要性、课程目标与范围
1.1 嵌入式系统面临的威胁——我踩过的那些坑
说实话，做嵌入式安全这么多年，我见过太多“裸奔”的设备了。
你想想看，一个智能门锁，如果固件被提取出来反编译，攻击者就能拿到所有用户的密码哈希值。我在一个项目中就遇到过这种情况——客户说“我们产品已经量产了，能不能补个安全方案？”结果一查，整个Flash都是明文存储，连基本的加密都没有。
嵌入式系统面临的威胁，说白了就这几类：
- 物理攻击：攻击者直接接触硬件，比如用JTAG调试接口读取Flash、用探针抓取总线信号、甚至用激光照射芯片内部。嗯，这个我在做车规级ECU时遇到过，有人用侧信道攻击破解了加密密钥。
- 固件逆向：通过UART、SPI、I2C等接口dump出固件，然后用IDA Pro或Ghidra反汇编。我曾经帮客户分析过一个被破解的IoT设备，攻击者只用了三天就拿到了完整的源码逻辑。
- 网络攻击：缓冲区溢出、命令注入、中间人攻击。我记得有个智能家居项目，设备用HTTP明文传输控制指令，攻击者在同一个WiFi下就能模拟开锁指令。
- 供应链攻击：第三方库或芯片固件里预埋后门。这个比较隐蔽，我建议你在选型时一定要做安全审计。
核心观点：嵌入式安全不是“加个加密算法”就完事了。它是一个系统工程，从硬件设计到软件架构，再到运维更新，每个环节都可能成为突破口。
1.2 安全需求分析的重要性——为什么不能等产品做完了再补
我经常被问到：“李工，我们产品功能都做完了，能不能加个安全模块？”
我的回答永远是：不能。
为什么？因为安全需求分析必须在设计阶段就介入。你想想看，如果架构设计时没考虑安全启动，后期想加一个签名验证，那得改Bootloader、改Flash分区、改升级流程……几乎等于重新做一遍。
安全需求分析的重要性体现在三个方面：
- 成本控制：设计阶段发现安全问题，改一行代码就行。量产后发现，可能要召回几万台设备。我经历过一个惨痛的教训——某智能电表项目，因为没做安全启动，被攻击者刷入了恶意固件，最后整个批次返厂，损失超过200万。
- 合规要求：现在很多行业都有安全标准，比如汽车行业的ISO 21434、医疗设备的FDA指南、工业控制的IEC 62443。不做安全需求分析，连认证都过不了。
- 用户体验：设备被破解后，用户数据泄露、设备被控参与DDoS攻击……这些都会直接毁掉品牌信誉。
我的建议：每个项目启动时，先花一周做安全需求分析。把威胁模型画出来，把攻击面列出来，再决定哪些风险要接受、哪些要缓解。这比事后补漏洞高效十倍。
1.3 课程目标与范围——这门课能帮你解决什么问题
这门课的目标很明确：让你能独立完成嵌入式系统的安全需求分析与规格编写。
具体来说，学完这门课，你应该能：
- 识别嵌入式系统常见的攻击面（硬件、固件、通信、供应链）
- 使用威胁建模方法（如STRIDE、攻击树）分析系统风险
- 编写结构化的安全需求文档（包括功能需求、安全属性、测试用例）
- 理解主流安全标准（如IEC 62443、ISO 21434）在嵌入式场景下的落地方法
- 掌握安全规格的评审与验证技巧
课程范围覆盖以下内容：
| 模块 | 内容 | 实战案例 |
|---|---|---|
| 威胁分析 | STRIDE、攻击树、数据流图 | 智能门锁威胁建模 |
| 安全需求编写 | 需求模板、属性定义、优先级划分 | 车载ECU安全需求文档 |
| 安全架构设计 | 安全启动、加密存储、安全通信 | IoT设备安全架构 |
| 标准与合规 | IEC 62443、ISO 21434、NIST | 医疗设备合规分析 |
| 验证与测试 | 渗透测试、模糊测试、安全评审 | 固件安全测试报告 |
注意：这门课不教具体的加密算法实现（比如AES、RSA的数学原理），也不教如何破解设备。我们聚焦在“如何定义安全需求”这个环节——这是架构师的核心能力，也是很多工程师容易忽略的。
1.4 我的学习建议
我个人习惯是：每学完一个章节，就找一个实际产品做练习。比如你家里有个智能插座，试着给它做一份安全需求分析。把攻击面列出来，把缓解措施写出来，再对照课程内容看看有没有遗漏。
我曾经带过一个新人，他花了两周时间分析了一款智能音箱的安全需求，最后发现至少有5个严重漏洞。后来他把这份分析报告发给了厂商，对方直接给了offer。你看，这就是安全需求分析的价值。
好了，第一章就到这里。下一章我们会深入讲威胁建模，我会用实际案例带你一步步画出攻击树。到时候见。