TEE-OS学习轨迹第九篇：探讨安全启动BL1 BL2 BL3X启动链验可信启动密钥体系与证书层级

1. 证书签名验证：用上一级传递来的公钥，验证当前证书的数字签名合法性，确认证书未被篡改；
2. 信息提取：验签通过后，从证书扩展字段中提取下一级公钥（密钥证书）或镜像哈希（内容证书）；
3. 镜像哈希对比：对内容证书来说，最终用提取的哈希与实际固件计算的哈希做比对，完成完整性校验。

• 私钥：Root of Trust Private Key（根私钥）
  • 持有者：设备厂商/固件发布方，全程离线安全存储，仅用于签发最顶层的两张根证书
  • 签名对象：

可信启动固件证书（ID=6，Trusted Boot FW Cert）

可信密钥证书（ID=7，Trusted Key Cert）

• 公钥：ROTPK（Root of Trust Public Key，根公钥）
  • 存储位置：开发环境下直接编译进BL1固件；量产环境下哈希值烧录在芯片OTP/eFuse一次性可编程寄存器中，不可篡改
  • 作用：整个信任链的唯一信任锚，BL1阶段用它验证最顶层的两张根证书

• 私钥：由固件发布方持有，用于签发所有安全世界子系统的密钥证书
• 签名对象：
  • SoC固件密钥证书（ID=9，对应BL31）
  • 可信OS固件密钥证书（ID=10，对应BL32）
• 公钥存放位置：可信密钥证书（ID=7）的扩展字段中

• 私钥：由固件发布方持有，用于签发非安全世界子系统的密钥证书
• 签名对象：非可信固件密钥证书（ID=11，对应BL33）
• 公钥存放位置：可信密钥证书（ID=7）的扩展字段中

• SoC内容签名私钥 → 签发SoC固件内容证书（ID=13），公钥存放在ID=9证书中
• TOS内容签名私钥 → 签发可信OS内容证书（ID=14），公钥存放在ID=10证书中
• NT内容签名私钥 → 签发非可信内容证书（ID=15），公钥存放在ID=11证书中

• 信任链长度：1级证书直达
• 验签流程：

1. BL1 加载可信启动固件证书（ID=6）
2. BL1 用固化的ROTPK根公钥，验证ID6证书的数字签名
3. 验签通过后，从ID6证书中提取BL2的期望哈希
4. BL1 计算实际加载的BL2镜像哈希，与期望哈希对比，匹配则校验通过

• 验签执行方：BL1

• 信任链长度：3级证书
• 验签流程：

1. BL2 加载可信密钥证书（ID=7），用ROTPK验签，提取可信世界公钥
2. BL2 加载SoC固件密钥证书（ID=9），用可信世界公钥验签，提取BL31内容公钥
3. BL2 加载SoC固件内容证书（ID=13），用BL31内容公钥验签，提取BL31期望哈希
4. BL2 计算实际BL31镜像哈希，对比匹配则校验通过

• 验签执行方：BL2

• 信任链长度：3级证书
• 验签流程：

1. BL2 加载可信密钥证书（ID=7），用ROTPK验签，提取可信世界公钥
2. BL2 加载可信OS固件密钥证书（ID=10），用可信世界公钥验签，提取BL32内容公钥
3. BL2 加载可信OS内容证书（ID=14），用BL32内容公钥验签，提取BL32期望哈希
4. BL2 计算实际BL32镜像哈希，对比匹配则校验通过

• 验签执行方：BL2

• 信任链长度：3级证书
• 验签流程：

1. BL2 加载可信密钥证书（ID=7），用ROTPK验签，提取非可信世界公钥
2. BL2 加载非可信固件密钥证书（ID=11），用非可信世界公钥验签，提取BL33内容公钥
3. BL2 加载非可信内容证书（ID=15），用BL33内容公钥验签，提取BL33期望哈希
4. BL2 计算实际BL33镜像哈希，对比匹配则校验通过

• 验签执行方：BL2

1. 根密钥最小化使用：根私钥仅签发两张顶层证书，全程离线保存，最大程度降低泄露风险；即使子密钥泄露，也无需更换根密钥，只需吊销对应子证书即可。
2. 安全域隔离：安全世界与非安全世界使用独立的密钥分支，避免非安全域密钥泄露影响安全域固件的可信性。
3. 权限最小化：内容证书仅能校验单一份固件的哈希，无法派生其他信任，单证书被攻破不会影响整个信任链。
4. 标准兼容：所有证书遵循X.509 v3标准，可直接用OpenSSL等通用工具签发与解析，兼容现有PKI体系。