157、Zephyr RTOS安全基础：安全启动与固件验证

Zephyr RTOS安全基础：安全启动与固件验证

去年冬天，我在调试一款工业边缘网关时遇到了一个诡异的问题——设备在野外运行三个月后，突然有5%的节点无法正常启动。现场工程师反馈，这些设备上电后LED灯闪烁模式异常，串口输出停留在“Booting from flash…”就卡死了。拆机检查，Flash芯片外观完好，重新烧录固件后恢复正常。但三个月后，同样的问题再次出现。

拆下Flash用编程器读取，发现引导区的前512字节被篡改成了全0xFF。这不是硬件故障，是安全漏洞——攻击者通过某种方式覆盖了引导加载程序的第一阶段。那次事故让我意识到，在工业物联网场景下，安全启动不是可选项，而是生存底线。

安全启动到底在防什么

很多人以为安全启动只是防止固件被逆向分析，这是误解。在Zephyr RTOS的工业部署中，安全启动解决三个实际问题：

防止固件被替换：攻击者通过JTAG接口、固件升级漏洞或物理访问，把合法固件换成恶意版本。没有签名验证，设备会忠实地执行任何写入Flash的代码。

检测篡改：固件在运行过程中可能被部分修改，比如修改某个配置参数或注入恶意代码段。安全启动在每次复位时重新验证完整性。

建立信任链：从ROM代码到Bootloader，再到RTOS内核和应用，每一级都验证下一级的签名。只要根信任（通常是芯片内置的OTP密钥）不被攻破，整个链条就是安全的。

Zephyr官方提供了MCUboot作为默认的引导加载程序，它支持签名验证、固件回滚和双区镜像管