汽車信息安全–安全啟動

點擊上方藍字談思實驗室

獲取更多汽車網(wǎng)絡安全資訊

安全啟動（Secure Boot）是一種安全技術，用來保護計算機和嵌入式系統(tǒng)在啟動過程中免受惡意軟件或未授權代碼的侵害。

ECU控制器的系統(tǒng)運行合法的軟件(由零部件供應商開發(fā)的軟件)，當軟件被篡改時，整個系統(tǒng)將不會工作，這樣就可以避免黑客操縱車輛。

這一過程通常涉及使用加密密鑰和簽名驗證，以建立從硬件到軟件的信任鏈。

目前安全啟動的主流技術方向有以HSM安全硬件支撐的安全啟動方案。

它確保系統(tǒng)僅執(zhí)行來自可信來源的軟件，從而保護系統(tǒng)的完整性和安全性。

在我們的整個軟件系統(tǒng)中存在多個軟件組件，當系統(tǒng)啟動時這些組件的運行是有一個確定的先后順序的(bootloader->App)，啟動過程中需要按照啟動順序依次對每個軟件組件進行校驗，校驗通過后再啟動該組件。

校驗通過的組件被稱為受信任的組件，當所有的軟件組件校驗通過，它們就組成了一個受信任的軟件鏈條，即信任鏈(Trust chain)。這條鏈條中最初被校驗的組件，就是信任根(Trust root)。

順序啟動：

在校驗完某個模塊并且校驗無誤之后，才會啟動該模塊。該模式的優(yōu)點在于安全性高，不會出現(xiàn)被篡改的軟件運行的可能性；缺點在于會影響系統(tǒng)的啟動時間。

并行啟動：

模塊的校驗過程與模塊的啟動過程同步運行。該模式的優(yōu)點是不會增加系統(tǒng)的啟動時間；缺點是安全性較低，存在被篡改的軟件運行的可能性。

混合啟動：

結合了順序啟動和并行啟動這兩種模式，即對某些模塊采用順序啟動的方式，對另一些模塊則采用并行啟動的方式。一般主流的做法是對Bootloader使用順序啟動，對Application使用并行啟動。

安全啟動流程基礎

完整性校驗使用的是HSM硬件加速的AES128-CMAC算法。

Reference CMAC：

在Trust Boot Table建立的時候，針對當前PFlash上的Software Part計算出的CMAC值，用于在安全啟動的時候檢測軟件的真實性和完整性。Trust Boot Table是只需要建立一次,在安全升級的表格更新。

CMAC存儲于HSM Data Flash中的，是經(jīng)過加密的，對于用戶是不可見的。

HSM模塊每次啟動的時候，就會計算出這個派生的AES128-CMAC算法密鑰。

安全啟動的流程

以Bootloader為例，在啟動的時候，HSM Core會先啟動，而Host Core會一直處于Reset狀態(tài)，HSM Core會自動根據(jù)Trust Boot Table中配置的Secure Boot Mode的Bootloader的起始地址和長度去計算當前PFlash上的Bootloader的CMAC值并與Trust Boot Table中該entry的Reference CMAC值進行比較。

若校驗通過，則說明該Bootloader是有效的，HSM Core會釋放Host Core，Host Core的Bootloder程序可以正常運行。

若校驗失敗，則Host Core會一直處于reset 狀態(tài)，也就起不來了。

Bootloader這邊也可以不用等待校驗結果，直接跳轉至Application，在Application中進行校驗結果的查詢。

這樣就實現(xiàn)了Application的運行以及HSM Core針對Application的校驗并行處理，就不會影響MCU的啟動時間。

當運行Application時，用戶需要手動去獲取Application的校驗結果。

若校驗通過，則Application繼續(xù)正常運行；

若校驗失敗，HSM Core會自動進行鎖密鑰（密鑰的屬性需要成校驗失敗則失效），以及記錄校驗失敗信息等操作，此時Application還是處于運行狀態(tài)，HSM Core不會進行觸發(fā)Reset操作。

用戶也可以根據(jù)需求，在獲取到Application校驗失敗的結果后，進行Reset或其他操作。

來源：AutomotiveSoftwareEngineer