3. VxWorks安全架构：安全启动框架、信任根(RoT)与信任链
好，咱们进入第三章。这一章讲的是VxWorks安全架构的骨架——安全启动框架、信任根和信任链。说白了，就是回答一个问题：系统上电后，怎么确保每一行代码都是“干净”的？
我在好几个工控项目里都遇到过类似场景。客户说“我的设备被篡改了”，结果一查，是启动阶段被人注入了恶意代码。嗯，从那以后，我对安全启动的重视程度直接拉满。
3.1 安全启动框架：从零开始的信任
安全启动，英文叫Secure Boot。它的核心思想很简单：只运行经过签名的、合法的代码。从Boot ROM开始，到Boot Loader，再到VxWorks内核，最后到应用层，每一级都要验证下一级的签名。
你想想看，如果Boot ROM被改了，那整个系统就完了。所以，信任必须从硬件开始。
安全启动的三大核心要素：
- 完整性验证：检查代码有没有被篡改
- 来源验证：检查代码是不是来自可信的发布者
- 链式验证：一级验证一级，形成完整的信任链
我个人习惯把安全启动比作“接力赛”。第一棒是硬件信任根，第二棒是Boot Loader，第三棒是操作系统内核。每一棒都要确认下一棒的身份和状态。
3.2 信任根(RoT)：一切信任的起点
信任根，Root of Trust，简称RoT。它是整个安全体系的基石。如果RoT被攻破，那后面的所有安全措施都是白搭。
在VxWorks系统中，信任根通常固化在硬件中。比如：
- Boot ROM：芯片出厂时烧录的只读代码
- eFuse：一次性可编程存储，用于存放公钥哈希
- HSM：硬件安全模块，专门处理密钥操作
我记得有个项目，客户想省成本，把公钥存在Flash里。我说不行，Flash可以被物理篡改。最后他们还是加了eFuse。为什么？因为eFuse一旦烧录，物理上就改不了了。
实战建议：
信任根一定要放在硬件里。软件层面的信任根，说白了就是“伪信任”。我在一个IoT网关项目里见过，有人把公钥放在文件系统里，结果被替换了，整个安全启动形同虚设。
3.3 信任链：一级验证一级
信任链，Chain of Trust。它描述了从信任根开始，逐级验证的过程。每一级都承担两个角色：
- 验证者：验证下一级的签名
- 被验证者：被上一级验证
典型的VxWorks信任链如下：
| 层级 | 组件 | 验证方式 | 存储位置 |
|---|---|---|---|
| 第0级 | Boot ROM | 硬件固化，不可更改 | 芯片内部ROM |
| 第1级 | Boot Loader (如u-boot) | Boot ROM验证其签名 | Flash/eMMC |
| 第2级 | VxWorks内核 | Boot Loader验证其签名 | Flash/eMMC |
| 第3级 | 应用层模块 | VxWorks内核验证其签名 | 文件系统 |
为什么会这样设计？因为每一级都只信任上一级。Boot ROM只信任自己，然后它验证Boot Loader。Boot Loader验证通过后，再验证VxWorks内核。以此类推。
我在一个电力设备项目里，遇到过信任链断裂的情况。Boot Loader升级后，忘记更新签名，结果设备变砖了。嗯，从那以后，我要求所有固件升级必须走完整的签名流程。
3.4 密钥管理与签名流程
信任链的核心是密钥。没有密钥，签名就是空谈。VxWorks安全启动通常使用非对称加密：
- 私钥：保存在安全的构建环境中，用于签名固件
- 公钥：保存在设备中，用于验证签名
签名流程大致如下：
- 开发阶段：生成密钥对，私钥保密，公钥烧录到设备
- 构建阶段：对固件镜像进行哈希计算，然后用私钥签名
- 启动阶段：设备用公钥验证签名，匹配则启动，不匹配则拒绝
重要提醒：
私钥一旦泄露，整个安全体系就完了。我见过一个团队把私钥放在Git仓库里，结果被黑客拿到了。所有设备都得召回重刷。所以，私钥管理一定要用硬件安全模块(HSM)或者专用的密钥管理服务。
3.5 实际部署中的避坑指南
讲几个我踩过的坑，希望对你有帮助：
- 坑一：公钥更新问题。设备出厂后，公钥怎么更新？如果公钥不能更新，那密钥轮换就做不了。我建议预留一个安全更新通道，比如通过签名的固件包来更新公钥。
- 坑二：回滚攻击。攻击者可能拿旧版本的合法固件来降级系统。解决办法是加一个版本号计数器，只允许升级，不允许降级。
- 坑三：调试接口。JTAG或串口在开发阶段很有用，但量产时一定要关闭。否则攻击者可以直接绕过安全启动。
我曾经在一个车载项目里，就是因为忘了关JTAG，结果被安全研究员轻松攻破了。嗯，从那以后，我的量产清单里永远有一条：关闭所有调试接口。
3.6 小结
这一章我们讲了VxWorks安全启动的骨架：
- 安全启动框架：从Boot ROM到应用层，逐级验证
- 信任根(RoT)：硬件固化的信任起点，不可篡改
- 信任链：一级验证一级，形成完整的信任传递
- 密钥管理：私钥是命根子，必须严格保护
下一章，我们会深入具体的签名工具和实现细节。到时候我会手把手带你走一遍签名流程。咱们下章见。