汤不热吧智能座舱作为车辆的大脑，其安全性至关重要。任何未授权的代码（如恶意固件、被篡改的操作系统内核）都可能导致车辆功能受损甚至威胁驾驶安全。安全启动（Secure Boot）机制正是解决这一问题的核心手段，它确保了从设备上电开始，只有经过数字签名的、可信的固件和软件才能被加载和执行。
安全启动的核心理念是“信任链”（Chain of Trust）。每个加载器在执行下一个阶段的代码之前，都会利用加密算法验证其完整性和真实性。这个信任接力从硬件中固化的“信任根”开始，一直延续到应用层。
信任接力的关键关卡拆解
关卡一：硬件信任根（BootROM）
这是信任链的起点。BootROM（或称Primary Boot Loader, PBL）是SoC（System-on-Chip）内部固化的只读存储器中的代码。它无法被修改，是真正的硬件信任锚（Root of Trust, RoT）。
BootROM的主要职责是：
- 初始化少量硬件。
- 验证第一阶段引导程序（SPL/U-Boot）的签名。 BootROM内部通常烧录了OEM/Tier 1供应商的公钥哈希值。它计算SPL的哈希值，并使用内部存储的公钥验证SPL携带的数字签名。如果验证失败，系统启动将停止。
关卡二：一级引导程序（SPL/U-Boot）
通过BootROM验证的SPL（Secondary Program Loader）或U-Boot的第一阶段，接过了信任的接力棒。它的任务是初始化DRAM等关键组件，并验证下一阶段——通常是完整的U-Boot或Linux内核的头部。
关卡三：内核和设备树验证（SBL/U-Boot）
在智能座舱中，SBL阶段通常由功能完整的U-Boot承担。这是我们实施最复杂安全策略的阶段。U-Boot必须验证加载到内存中的内核镜像（vmlinuz）和设备树文件（DTB）的完整性。
为了实现这一点，业界普遍采用Flattened Image Tree (FIT) 格式。FIT格式允许将多个组件（如内核、RAMDisk、DTB）打包成一个文件，并对文件中的每个或整体组件进行数字签名。
实操：使用U-Boot和FIT镜像实现签名验证
我们将演示如何利用OpenSSL生成密钥，并配置U-Boot的ITS（Image Tree Source）文件来实现对内核的签名和验证。
步骤1：生成密钥对（主机侧）
首先，我们需要一对RSA密钥。私钥用于签名，公钥将嵌入到U-Boot中用于验证。
# 1. 生成2048位的RSA私钥
openssl genrsa -out secure_boot_private.key 2048
# 2. 从私钥中提取公钥
openssl rsa -in secure_boot_private.key -pubout -out secure_boot_public.key
# 3. 将公钥转换为U-Boot可识别的格式（通常是.dtb或特定头文件）
# 假设我们使用U-Boot配置工具将公钥嵌入到U-Boot的配置或设备树中
步骤2：创建和签名FIT镜像（主机侧）
我们使用一个.its文件来定义内核和DTB，并指定签名方法。
****boot.its** 示例:**
/dts-v1/;
/ {
description = "Secure U-Boot boot configuration";
#address-cells = <1>;
images {
kernel@1 {
description = "Linux Kernel";
data = /incbin/("vmlinuz");
type = "kernel";
arch = "arm64";
os = "linux";
compression = "none";
hash@1 {
algo = "sha256";
};
// 添加签名节点
signature@1 {
algo = "sha256,rsa2048";
key-name-hint = "secure_key";
};
};
// ... 也可以添加对dtb的验证
};
configurations {
default = "config@1";
config@1 {
description = "Default boot";
kernel = "kernel@1";
};
};
};
使用mkimage签名：
# 假设我们已经编译了内核vmlinuz
mkimage -f boot.its -k ./ -K secure_boot_private.key -r boot.itb
步骤3：U-Boot验证配置（座舱侧）
在智能座舱运行的U-Boot中，必须启用对FIT镜像的签名校验功能（CONFIG_FIT_SIGNATURE）。当U-Boot尝试加载 boot.itb 时，它会执行以下关键步骤：
- 读取 boot.itb。
- 提取内核的哈希值。
- 使用内置的公钥（已通过BootROM验证其真实性）来解密镜像中包含的数字签名，得到原始哈希值。
- 比较步骤2和步骤3得到的哈希值。
只有当哈希值匹配时，U-Boot才会允许内核启动。如果验证失败，U-Boot应进入安全模式或直接拒绝启动，从而保障智能座舱的安全。
总结
智能座舱的安全启动是一个严密的信任接力过程，从硬件熔断的BootROM开始，通过SPL、U-Boot（SBL）逐级验证后续代码的真实性和完整性。通过采用FIT镜像和数字签名技术，我们可以有效地防止攻击者在内核或固件级别植入恶意代码，从而构建起坚不可摧的座舱信任根基。