一、安全更新概述：为什么货架固件需要安全更新？
大家好，我是老李。做嵌入式安全有些年头了。今天咱们聊聊货架固件的安全更新。
你可能会问：货架嘛，不就是放商品的架子？跟固件安全有什么关系？
嗯，这里要注意。我说的「货架」，指的是零售行业的电子货架标签、智能货架系统。这些设备看着不起眼，但背后跑着完整的嵌入式系统。我见过不少项目，硬件选型时只关心成本和功耗，安全？压根没考虑过。
结果呢？出事了才后悔。
1.1 为什么货架固件需要安全更新？
说白了，货架固件不是一次性产品。它要在线升级、远程维护、动态调整价格。这些操作，每一步都可能被攻击者盯上。
我个人习惯把安全更新的必要性归纳为三点：
- 漏洞修复：固件总有bug。我在项目中遇到过，某款货架标签的蓝牙协议栈有个缓冲区溢出漏洞，攻击者能通过近距离蓝牙发送恶意数据包，直接让设备死机。没有安全更新机制，你就只能派人去现场一个个换设备。
- 功能迭代：零售场景变化快。今天要支持动态定价，明天要接入新的支付系统。固件不更新，硬件就是废铁。
- 合规要求：现在很多国家出台了物联网安全法规。比如欧盟的RED指令、美国的NIST标准。你的货架固件如果连基本的安全更新能力都没有，根本过不了认证。
核心观点：安全更新不是可选项，而是货架固件的生存底线。没有安全更新的设备，等于把大门敞开让黑客进来。
1.2 常见攻击面分析
攻击面这个词，听起来很学术。其实你想想看，就是「攻击者能从哪些地方下手」。我把它分成三类：物理攻击、网络攻击、侧信道攻击。
1.2.1 物理攻击
物理攻击是最直接的。攻击者手里拿着设备，想怎么折腾都行。
- JTAG/SWD调试接口：很多货架设备出厂时，调试接口没锁。我记得有一次帮客户做安全审计，拿个J-Link直接连上，固件就dump出来了。嗯，就是这么简单。
- SPI Flash读取：固件存在外部Flash里，用夹子夹住引脚，编程器一读，全部代码到手。我曾经在咖啡厅里，五分钟就把一个货架标签的固件读出来了。
- 串口劫持：UART接口没禁用，攻击者接上串口线，就能拿到shell。我见过最离谱的案例，设备启动时串口直接打印了root密码。
警告：物理攻击的防御成本其实不高。熔断JTAG、加密Flash、禁用串口，这些措施在硬件设计阶段加上去，几乎不增加成本。但很多团队为了赶工期，把这些全跳过了。
1.2.2 网络攻击
网络攻击是远程的，攻击者可能在地球另一端。
- OTA更新劫持：这是最危险的。如果固件更新包没有签名验证，攻击者可以伪造一个恶意固件，推送到所有设备上。我参与过的一个项目，客户用的HTTP明文传输更新包，连个校验和都没有。我说这跟裸奔没区别。
- 中间人攻击：货架设备通过Wi-Fi或蓝牙与后台通信。如果通信没加密，攻击者可以截获数据包，篡改价格信息。你想想看，超市里的电子标签显示「1元」，实际后台是「100元」，这乱子就大了。
- 协议漏洞：MQTT、CoAP这些物联网协议，如果配置不当，很容易被利用。比如MQTT没有认证，任何人都能发布消息到topic，控制所有设备。
避坑指南：我曾经帮一个团队修复过OTA流程。他们用的固件包是zip格式，没签名没加密。我建议他们改用带签名的加密容器，配合安全启动链。改完之后，攻击者就算拿到了固件包，也解不开、刷不进。
1.2.3 侧信道攻击
侧信道攻击比较高级，但也不能忽视。它不直接攻击软件，而是通过物理特征来窃取信息。
- 功耗分析：设备在执行加密操作时，功耗会有微小变化。攻击者通过分析功耗曲线，可以推断出密钥。我见过一个研究团队，用示波器采集了1000次加密操作的功耗，就把AES密钥还原出来了。
- 电磁辐射：芯片在工作时会辐射电磁波。用近场探头靠近芯片，能捕捉到这些信号。攻击者可以从电磁信号中提取出敏感数据。
- 时序分析：某些操作的时间长短跟数据有关。比如密码比较函数，如果逐字节比较，攻击者可以通过测量响应时间，猜出正确的密码。
| 攻击类型 | 攻击手段 | 防御措施 |
|---|---|---|
| 物理攻击 | JTAG、SPI Flash、串口 | 熔断调试接口、Flash加密、禁用串口 |
| 网络攻击 | OTA劫持、中间人、协议漏洞 | 签名验证、TLS加密、强认证 |
| 侧信道攻击 | 功耗、电磁、时序 | 掩码技术、恒定时间算法、屏蔽 |
1.3 安全更新的核心原则
讲了这么多攻击面，那安全更新到底该怎么做？我总结了几条原则：
- 信任根：从BootROM开始，每一级都要验证下一级的签名。这叫安全启动链。没有信任根，其他都是空谈。
- 加密传输：固件包在传输过程中必须加密。我习惯用TLS 1.3，性能好，安全性也够。
- 签名验证：设备收到固件包后，必须验证签名。私钥要保存在安全硬件里，比如HSM或TEE。
- 回滚保护：防止攻击者把固件降级到有漏洞的旧版本。我见过一个案例，攻击者把固件降级到三年前的版本，然后利用已知漏洞入侵了整个网络。
- 失败安全：更新过程中如果断电或出错，设备要能恢复到上一个可用版本。不能变砖。
记住：安全更新不是加个签名就完事了。它是一个系统工程，从硬件设计、固件开发到部署运维，每个环节都要考虑。
1.4 本章小结
这一章我们聊了货架固件为什么需要安全更新，以及常见的攻击面。物理攻击、网络攻击、侧信道攻击，每一种都有对应的防御手段。
下一章，我会详细讲安全启动链的实现。从BootROM到应用固件，每一级怎么验证、怎么签名，我会用实际代码来演示。
嗯，今天就到这里。有什么问题，欢迎交流。
公众号:蓝海资料掘金营，微信deep3321