第2章信任根（Root of Trust）

信任根（Root of Trust）：硬件信任锚点、信任链的建立与度量、信任根的物理安全防护

各位同学，咱们今天聊聊信任根。嗯，这个名字听起来有点哲学意味，好像是在讨论人生信仰。但在芯片安全领域，信任根是实实在在的硬件锚点——说白了，就是整个系统安全的第一块基石。

我经常跟团队里的小朋友讲：没有信任根，你后面做的所有安全措施都是空中楼阁。为什么？因为信任根是唯一一个不需要被验证的组件，它自己就是验证的起点。你想想看，如果连起点都不可信，那后面建立的信任链还有什么意义？

信任根，英文叫 Root of Trust（RoT）。它通常是一个物理上隔离的硬件模块，比如芯片内部的一个独立安全区。这个模块拥有不可篡改的身份和密钥，是整个系统信任的起点。

我在项目中遇到过一种情况：某款服务器芯片的信任根设计在 SoC 内部，但和主处理器共享了电源域。结果呢？一次电压毛刺攻击，信任根也跟着复位了。嗯，这显然是不合格的。真正的信任根，必须有自己的独立电源、独立时钟、独立总线。

信任根的核心能力：

我个人习惯把信任根比作「保险箱里的保险箱」。主芯片是一个大保险箱，信任根就是里面那个更小、更坚固的保险箱。攻击者就算撬开了大门，也撬不开这个小箱子。

信任链，说白了就是「谁验证谁」的问题。系统启动时，从信任根开始，一级一级地验证后续组件的完整性。这个过程叫「信任链的建立」，而验证的过程叫「度量」。

典型的信任链是这样的：

这里有个关键点：每一级在度量下一级之前，必须先验证自己的完整性。我曾经见过一个设计，Boot ROM 直接跳转到 Bootloader，没有做任何度量。结果攻击者替换了 Bootloader，整个信任链就崩塌了。避坑指南：每一级都必须度量下一级，且度量结果必须存储在信任根可访问的寄存器中。

度量机制的实现方式：

你可能会问：为什么要用扩展度量？直接覆盖不行吗？嗯，这里有个细节。扩展度量（如 TPM 的 PCR 扩展）可以记录完整的度量历史。攻击者就算伪造了某一级的代码，也无法伪造整个度量链的历史记录。说白了，就是让攻击者「无处遁形」。

信任根再强，如果物理上能被轻易接触，那也白搭。我记得有一次做安全评估，发现某款芯片的信任根密钥可以通过 JTAG 接口直接读取。嗯，这相当于把保险箱的钥匙挂在门上。

物理安全防护，我把它分为三个层次：

这里重点说一下芯片级的主动屏蔽层。它是在芯片顶层布设的一层金属网格，网格中持续传输随机信号。一旦攻击者试图用探针接触芯片表面，网格就会被破坏，信号中断，信任根立即擦除所有密钥。我在项目中用过这种方案，效果确实不错——但代价是芯片面积增加了约 15%。

注意：物理防护不是万能的。攻击者可能会使用更高级的手段，比如激光故障注入（LFI）或电磁故障注入（EMFI）。这些攻击可以绕过部分防护措施。所以，物理防护必须与逻辑防护（如错误检测、冗余计算）结合使用。

还有一个容易被忽略的点：信任根的密钥生命周期管理。密钥从生成、存储、使用到销毁，每个环节都要有防护。我曾经见过一个设计，密钥在信任根内部使用是安全的，但密钥更新时通过外部接口传输，结果被中间人攻击截获。嗯，这种低级错误，咱们可不能犯。

信任根的设计，说白了就是三个字：独、链、护。

最后说一句：信任根不是设计完就完事了。它需要持续的安全评估和更新。我建议每款芯片在流片前，至少做一次信任根的渗透测试。别等到芯片回来了，才发现信任根有漏洞——那时候改都来不及了。

好，今天就聊到这里。下一章咱们讲讲「安全启动（Secure Boot）」的具体实现，到时候我会分享一个我在项目中踩过的坑，保证让你印象深刻。