4、一级引导加载程序(SPL/MLO)：SPL的加载与验证流程、SPL代码签名机制、SPL与DDR初始化的安全考量
好，咱们进入正题。这一章聊的是机顶盒安全启动的第一道关卡——SPL（Secondary Program Loader），有些平台也叫它MLO。说白了，它就是BootROM之后，CPU执行的第一个用户可控代码。
我个人习惯把SPL比作“安全链条的第一环”。这一环要是断了，后面全是白搭。你想想看，BootROM是固化的，改不了，但SPL是存在Flash里的，可以被篡改。所以，SPL的加载和验证，是整个安全启动的基石。
SPL的加载与验证流程
流程其实不复杂，但每一步都有坑。我拆开来讲。
- BootROM从Flash读取SPL：芯片上电后，BootROM会按照预定义的地址（比如NAND Flash的Block 0，或者eMMC的Boot Partition）读取固定大小的数据。这个大小通常是128KB或256KB。
- BootROM验证SPL签名：读取完成后，BootROM会使用内置的公钥（通常是RSA公钥的Hash）来验证SPL的数字签名。验证通过，才允许执行。
- SPL初始化DDR：验证通过后，SPL被加载到内部SRAM中执行。它的首要任务就是初始化DDR内存。因为内部SRAM太小，装不下完整的U-Boot。
- SPL加载U-Boot：DDR初始化完成后，SPL从Flash中读取完整的U-Boot镜像到DDR中，然后跳转过去执行。
关键点：SPL本身必须足够小，小到能塞进内部SRAM。我见过不少项目，SPL稍微加了几行日志代码，就超了SRAM大小，导致启动失败。嗯，这里要注意，SPL的尺寸是硬约束。
SPL代码签名机制
签名机制，说白了就是给SPL加一把“锁”。只有拿着正确钥匙的人，才能打开这把锁。
具体做法是这样的：
- 生成密钥对：在开发阶段，厂商会生成一对RSA密钥（私钥和公钥）。私钥要死死捂在手里，公钥则烧进芯片的OTP（一次性可编程）区域。
- 计算Hash：对SPL的二进制镜像计算SHA-256或SHA-512哈希值。
- 签名：用私钥对这个哈希值进行加密，生成签名数据。签名数据会附加在SPL镜像的末尾。
- 验证：BootROM读取SPL时，先计算它的哈希值，然后用OTP里的公钥解密签名，比对两个哈希值是否一致。
避坑指南：我曾经遇到过一个案例，厂商把公钥烧进了OTP，但忘记设置OTP的写保护。结果测试阶段，有人通过JTAG把公钥改成了自己的，然后刷了一个带自己签名的SPL进去……嗯，后果你懂的。所以，OTP的写保护位一定要在产线阶段就锁死。
这里有个常见的误区：很多人以为签名验证是“防篡改”的。其实它只能保证“镜像没有被修改过”，但无法保证“镜像本身是安全的”。如果私钥泄露了，攻击者可以签任何恶意代码。所以，私钥管理才是真正的命门。
SPL与DDR初始化的安全考量
DDR初始化，是SPL里最危险的一段代码。为什么？因为DDR初始化需要配置大量的寄存器，包括时序参数、电压、驱动强度等等。这些配置一旦被恶意篡改，轻则系统不稳定，重则直接让芯片“变砖”。
我个人的经验是，DDR初始化代码必须放在SPL的签名保护范围内。也就是说，DDR初始化的二进制数据，必须和SPL一起被签名验证。你不能让DDR初始化代码单独存在Flash里，否则攻击者可以只替换这部分代码，而不动SPL的其他部分。
| 安全风险 | 攻击方式 | 防护措施 |
|---|---|---|
| DDR时序篡改 | 修改寄存器配置，导致内存访问错误 | DDR配置数据必须包含在SPL签名范围内 |
| DDR电压异常 | 设置过高电压，烧毁DDR颗粒 | 在BootROM中增加电压阈值检查 |
| DDR训练数据伪造 | 注入恶意训练序列，实现代码执行 | 使用硬件CRC校验训练数据 |
还有一个容易被忽略的点：DDR初始化过程中，SPL会从Flash读取DDR训练数据。这些训练数据通常是芯片出厂时校准好的，但有些平台允许在启动时重新训练。如果攻击者伪造了训练数据，可能会触发缓冲区溢出，从而劫持控制流。
警告：我建议在DDR初始化完成后，立即对DDR控制器进行一次完整性校验。比如，写入一个已知模式的数据，再读回来比对。这能有效检测出DDR配置是否被篡改。我在一个项目中就靠这个手段，抓到了产线上的一批坏板子——它们的DDR焊锡有虚焊，导致初始化后数据读写不稳定。
最后说一句，SPL的安全设计，本质上是一个“信任链”的起点。起点稳了，后面的U-Boot、Kernel、文件系统才能安全。起点要是歪了，后面再怎么加固都是白费力气。