第三章：安全启动流程——BootROM设计、链式信任验证、签名校验机制

安全启动，说白了就是芯片上电后的第一道防线。我做了这么多年芯片安全，见过太多因为启动环节被攻破的案例。嗯，今天我们就来聊聊这个关键话题。

3.1 BootROM：信任的起点

BootROM是芯片上电后执行的第一段代码。它固化在芯片内部，不可修改。我个人习惯把BootROM称为「信任的根」——如果这个根烂了，后面所有安全措施都是白搭。

BootROM的设计有几个关键点：

• 只读性：BootROM必须是一次性编程的，或者干脆是掩膜ROM。我在项目中遇到过有人想用Flash模拟BootROM，结果被我一票否决——你想想看，Flash能改，那还叫信任根吗？
• 最小化原则：BootROM代码越少越好。功能多了，漏洞面就大了。我建议BootROM只做三件事：初始化硬件、验证下一级镜像、跳转执行。
• 抗物理攻击：BootROM要能抵抗电压毛刺、时钟毛刺等物理攻击。我曾经在实验室里亲眼看到，一个简单的电压毛刺就让BootROM跳过了签名校验——从那以后，我设计的BootROM都会加入冗余校验和随机延迟。

3.2 链式信任验证：一环扣一环

链式信任验证，说白了就是「一级验证一级」。BootROM验证Bootloader，Bootloader验证OS内核，OS内核验证应用层。每一级都只信任上一级签名的内容。

为什么需要链式验证？直接让BootROM验证所有东西不行吗？嗯，这里要注意：BootROM空间有限，不可能内置所有公钥和验证逻辑。而且，链式验证可以灵活扩展——你想加个新的安全模块？只要在Bootloader里加个验证步骤就行。

我参与过一个AI芯片项目，它的链式信任验证流程是这样的：

1. BootROM阶段：验证Bootloader的签名。公钥固化在BootROM中。
2. Bootloader阶段：验证OS内核的签名。公钥由BootROM传递过来。
3. OS内核阶段：验证AI加速器固件的签名。公钥由Bootloader传递。
4. AI加速器阶段：验证模型文件的签名。公钥由OS内核传递。

3.3 签名校验机制：数学上的信任

签名校验是链式信任验证的核心。它用非对称加密算法，确保镜像文件的完整性和来源可信。

常用的签名算法有：

算法	密钥长度	签名长度	适用场景
RSA	2048/4096位	256/512字节	BootROM、Bootloader
ECDSA	256/384位	64/96字节	OS内核、固件
Ed25519	256位	64字节	AI模型、配置文件

我个人习惯在AI芯片中使用Ed25519。为什么？因为它签名速度快，适合AI芯片频繁加载模型的场景。而且它的公钥只有32字节，省空间。

签名校验的典型流程如下：

// 伪代码：签名校验流程
bool verify_image(uint8_t* image, uint32_t image_len, 
                  uint8_t* signature, uint8_t* public_key) {
    // 1. 计算镜像的哈希值
    uint8_t hash[32];
    sha256(image, image_len, hash);
    
    // 2. 用公钥验证签名
    if (ed25519_verify(signature, hash, public_key) != 0) {
        return false;  // 签名验证失败
    }
    
    // 3. 验证通过，返回成功
    return true;
}

3.4 实战中的注意事项

说了这么多理论，我们来聊聊实战中容易踩的坑：

• 密钥管理：私钥必须离线存储，最好用硬件安全模块（HSM）。我见过有人把私钥放在编译服务器上，结果被黑客一锅端。
• 回滚攻击：攻击者可能用旧版本的镜像（有漏洞）替换新版本。解决方案是在BootROM中维护一个「版本号寄存器」，只允许升级，不允许降级。
• 侧信道攻击：签名校验过程中可能泄露密钥信息。我建议使用「恒定时间比较」——不管校验成功还是失败，执行时间都一样。
• 调试接口：量产芯片必须禁用JTAG/SWD等调试接口。否则攻击者可以直接跳过BootROM，从调试接口加载恶意代码。

嗯，这一章的内容就到这里。下一章我们会聊聊「AI芯片的运行时安全防护」，包括内存隔离、权限控制、以及如何防止模型被窃取。到时候见。

---

公众号:蓝海资料掘金营，微信deep3321