1、安全启动概述：什么是安全启动、为什么需要安全启动、安全启动的核心目标与信任根(RoT)概念
1.1 什么是安全启动？
安全启动，说白了就是给设备装上一道「门禁系统」。
设备上电后，CPU 执行的第一段代码，必须经过验证。验证通过，才能继续往下走。验证失败，系统直接罢工。
我习惯把它理解成「链式验证」——就像接力赛，每一棒都要确认上一棒的身份。从最底层的 BootROM 开始，逐级验证 Bootloader、OS Kernel，直到整个系统启动完成。
举个例子：
BootROM → 验证 → SPL(二级引导) → 验证 → U-Boot → 验证 → Linux Kernel → 验证 → 文件系统每一级都用自己的公钥去验下一级的签名。签名不对，立刻停止。
嗯，这里要注意：安全启动不是「防破解」，而是「防篡改」。它保证你跑的是厂商签过名的代码，不是别人塞进来的恶意软件。
1.2 为什么需要安全启动？
你想想看，现在的嵌入式设备有多脆弱？
IoT 设备、汽车 ECU、工业控制器……这些设备一旦被植入恶意固件，后果不堪设想。
我在项目中遇到过一件事：某款智能门锁，攻击者通过 UART 接口直接刷入了修改过的固件，绕过了密码验证。嗯，这就是没有安全启动的后果——谁都能往 Flash 里写东西。
安全启动要解决的核心问题有三个：
- 防止未授权固件运行——不是厂商签名的代码，别想跑起来
- 防止固件回滚——攻击者不能把新版固件降级到有漏洞的旧版
- 建立信任链——从硬件到软件，每一层都可信
说白了，安全启动就是设备的「免疫系统」。没有它，设备就是个裸奔的状态。
1.3 安全启动的核心目标
我总结了一下，安全启动的目标其实就四个：
| 目标 | 说明 | 我踩过的坑 |
|---|---|---|
| 完整性 | 确保固件没有被篡改 | 曾经有个项目，Flash 读回来校验总是失败，最后发现是硬件布线导致信号反射，数据被「吃掉」了 |
| 真实性 | 确保固件来自可信的源头 | 签名用的私钥泄露过一次，那叫一个惨…… |
| 不可回滚 | 防止攻击者利用旧版本漏洞 | 某客户坚持要支持降级，结果被攻击者利用旧版漏洞攻破，后来才加上版本计数器 |
| 隔离性 | 不同安全等级的执行环境互不干扰 | TrustZone 配置不当，普通世界能读到安全世界的密钥，这问题排查了两周 |
核心要点：安全启动不是「加个签名验证」就完事了。它是一整套从硬件到软件的信任体系。任何一个环节出问题，整个链条就断了。
1.4 信任根（RoT）概念
信任根，英文叫 Root of Trust，简称 RoT。
它是整个安全启动的「起点」。这个起点必须是绝对可信的，不能被篡改的。
为什么需要 RoT？
你想想看，如果验证代码本身都能被改掉，那验证还有什么意义？所以必须有一个「不可变」的信任锚点。
常见的 RoT 实现方式：
- BootROM——固化在芯片内部，出厂后不可修改。这是最常用的 RoT
- eFuse / OTP——一次性可编程存储器，用来存根密钥
- 硬件安全模块（HSM）——独立的加密协处理器，专门做安全操作
- TPM——可信平台模块，PC 领域用得比较多
我的建议：选 RoT 的时候，优先考虑 BootROM + eFuse 的组合。BootROM 提供不可变的验证逻辑，eFuse 存储根密钥。这样即使 Flash 被完全擦除，攻击者也改不了 BootROM 里的代码。
我曾经在一个项目里吃过亏：客户选了外部 SPI Flash 存 Bootloader，结果攻击者直接替换了 Flash 芯片，绕过了所有安全机制。后来我们强制要求 BootROM 必须从内部 ROM 启动，外部 Flash 只放加密后的二级引导。
1.5 信任链的建立过程
信任链的建立，其实就是一个「接力验证」的过程：
- 第一步：芯片上电，CPU 从 BootROM 开始执行
- 第二步：BootROM 读取 eFuse 中的根公钥哈希
- 第三步：BootROM 用根公钥验证下一级 Bootloader 的签名
- 第四步：验证通过后，跳转到 Bootloader 执行
- 第五步：Bootloader 继续验证下一级，直到 OS 启动完成
这里有个关键点：每一级验证通过后，才把执行权交给下一级。如果任何一级验证失败，系统就进入「安全失败」状态——比如死循环、重启、或者进入恢复模式。
注意：信任链的长度不是越长越好。每增加一级，启动时间就会增加几十到几百毫秒。我在一个车规项目里，客户要求启动时间小于 500ms，我们不得不把信任链压缩到三级：BootROM → 安全监控 → OS。
1.6 小结
安全启动，说白了就是「先验证，再执行」。它的核心是信任根——一个不可篡改的起点。
没有安全启动的设备，就像没上锁的门。攻击者可以随意替换固件，植入后门，窃取数据。
我个人觉得，做嵌入式安全，安全启动是第一步，也是最基础的一步。如果这一步都没做好，后面的加密、隔离、安全通信都是空中楼阁。
下一章，我会详细讲安全启动的具体实现方案——包括硬件支持、密钥管理、签名验证流程。嗯，到时候会拿我实际做过的项目来举例，应该会比较接地气。