4、固件加密与解密：对称加密与非对称加密、密钥管理、硬件安全模块(HSM)
好，咱们进入第四章。这一章聊的是固件加密与解密。
说实话，这是整个OTA安全里最硬核的部分。我见过太多产品，加密方案看着花里胡哨，结果一捅就破。为什么？因为加密算法本身没问题，问题出在密钥管理上。
你想想看，你把固件锁进保险柜，结果钥匙就挂在保险柜旁边——这加密还有什么意义？
4.1 对称加密：快，但有个致命弱点
对称加密，说白了就是加密和解密用同一把钥匙。典型的算法有AES、DES、SM4（国密）。
我个人习惯在固件加密场景里首选AES-256-GCM。为什么选GCM模式？因为它不光加密，还能做完整性校验。我在项目中遇到过，有人用AES-ECB模式加密固件，结果每个16字节块独立加密，攻击者可以重排块顺序，固件被篡改了都不知道。
举个例子，你给一万台设备烧录固件，每台设备里都要预置同一个密钥。只要有一台被破解，密钥就泄露了。所有设备都得跟着遭殃。
// AES-256-GCM 加密示例（伪代码）
uint8_t key[32] = {0x2b, 0x7e, ...}; // 256位密钥
uint8_t iv[12] = {0x00, 0x01, ...}; // 12字节初始向量
aes_gcm_encrypt(firmware_data, firmware_len, key, iv, ciphertext, tag);
// tag 是认证标签，用于解密时校验完整性4.2 非对称加密：慢，但解决了密钥分发
非对称加密用一对密钥：公钥加密，私钥解密。常见的有RSA、ECC、SM2。
在OTA场景里，我通常这么用：
- 服务器端：用私钥对固件签名，或者加密对称密钥
- 设备端：用公钥验证签名，或者解密对称密钥
公钥是公开的，谁都能拿到。但私钥只有服务器有。这样一来，密钥分发问题就解决了。
但非对称加密有个硬伤——慢。你拿RSA-2048加密一个100MB的固件，设备端可能要解密好几分钟。这谁受得了？
流程是这样的：
- 服务器生成一个随机的AES密钥（会话密钥）
- 用这个AES密钥加密固件
- 用设备的公钥加密这个AES密钥
- 把加密后的固件和加密后的密钥一起发给设备
- 设备用私钥解密出AES密钥，再用AES密钥解密固件
嗯，这就是典型的「数字信封」技术。我在做车机OTA时一直用这个方案，既保证了速度，又解决了密钥分发。
4.3 密钥管理：这才是真正的难点
算法选对了，密钥管不好，一切白搭。我曾经见过一个产品，密钥硬编码在代码里，反编译一下就出来了。你说这跟没加密有什么区别？
密钥管理有几个关键点：
- 密钥生成：用真随机数生成器，别用伪随机。我在项目中吃过亏，用rand()生成密钥，结果每次启动密钥都一样。
- 密钥存储：别放Flash明文区。要么用硬件安全模块，要么至少做一层加密存储。
- 密钥更新：OTA升级时，最好能顺便更新密钥。防止密钥长期使用被破解。
- 密钥销毁：设备报废时，密钥必须彻底擦除。别让垃圾回收站成为泄密源头。
| 存储位置 | 安全等级 | 适用场景 |
|---|---|---|
| Flash明文 | 低 | 不推荐，除非是玩具产品 |
| Flash加密存储 | 中 | 成本敏感型产品 |
| MCU内部OTP | 较高 | 一次性烧录，不可更改 |
| 独立SE/HSM | 高 | 金融、车规、工业控制 |
4.4 硬件安全模块(HSM)：给密钥一个保险柜
HSM，说白了就是一个独立的加密芯片。它专门干一件事：安全地执行加密运算和存储密钥。
为什么需要HSM？因为通用MCU不够安全。你可以用软件实现AES，但密钥在内存里，攻击者通过侧信道攻击（比如功耗分析、电磁辐射）就能把密钥偷走。
HSM的好处：
- 密钥永远不出芯片。加密运算在HSM内部完成，外部拿不到密钥原文
- 抗物理攻击。有屏蔽层、传感器，检测到异常就自毁密钥
- 支持安全启动。固件签名验证可以在HSM里做，防止篡改
我个人的建议是：如果你的产品单价超过100元，或者涉及用户数据、支付、车控，别犹豫，上HSM。成本多几块钱，安全等级提升好几个量级。
4.5 实战：一个完整的固件加密流程
好了，理论讲完了。咱们看一个实际案例。假设你要给一个智能门锁做OTA升级加密：
- 固件签名：服务器用私钥对固件哈希签名，生成签名文件
- 固件加密：生成随机AES密钥，加密固件
- 密钥保护：用设备的公钥加密AES密钥
- 打包下发：加密固件 + 加密密钥 + 签名文件，一起发给设备
- 设备接收：先用HSM中的私钥解密出AES密钥
- 固件解密：用AES密钥解密固件
- 签名验证：用预置的公钥验证固件签名
- 安全升级：验证通过后，写入Flash
// 设备端解密流程（伪代码）
// 1. 用HSM私钥解密会话密钥
hsm_rsa_decrypt(encrypted_key, key_len, session_key);
// 2. 用会话密钥解密固件
aes_gcm_decrypt(encrypted_firmware, fw_len, session_key, iv, decrypted_fw, tag);
// 3. 验证固件签名
if (verify_signature(decrypted_fw, fw_len, signature, public_key) == SUCCESS) {
// 开始升级
start_ota_update(decrypted_fw, fw_len);
} else {
// 签名验证失败，拒绝升级
report_error(ERROR_SIGNATURE_MISMATCH);
}嗯，这一章内容不少。总结一下：对称加密管速度，非对称加密管密钥分发，HSM管密钥安全。三者配合，才能构建一个靠谱的固件加密体系。
下一章咱们聊防回滚策略。说白了，就是怎么防止攻击者把固件降级到有漏洞的旧版本。到时候见。