Gömülü cihazlarda güvenli boot: Sadece sizin firmware'iniz çalışsın

Güvenli boot (secure boot), cihazın açılışta yalnızca sizin imzaladığınız firmware'i çalıştırmasını sağlar. Sahadaki bir cihaza fiziksel ya da uzaktan erişen biri değiştirilmiş bir yazılım yükleyemez; yüklese bile cihaz onu çalıştırmaz. Bu yazıda güven zincirini, imza anahtarlarının nasıl korunacağını ve güvenli boot'un OTA güncellemeyle nasıl birlikte tasarlanacağını küçük ekiplerin gözünden anlatıyoruz.

Bağlı cihaz sayısı arttıkça "kimse bizim cihazı kurcalamaz" varsayımı zayıflıyor. Sahada duran bir kontrol kartı, bir enerji izleme cihazı ya da bir IoT ağ geçidi; debug portu açık kaldığında ya da güncelleme kanalı korumasız olduğunda saldırı yüzeyine dönüşür. Güvenli boot bu riski açılışın ilk anında kapatır.

Güven zinciri nedir?

Güvenli boot tek bir kontrol değil, zincirleme doğrulamadır:

1. Değiştirilemez ilk aşama (ROM bootloader): Çipin içinde, üretimde yazılmış ve değiştirilemeyen kod. Güvenin kökü (root of trust) burasıdır.
2. Açık anahtar veya özeti: Çipin tek seferlik programlanabilir belleğine (OTP/eFuse) yazılır. ROM, bir sonraki aşamayı bu anahtarla doğrular.
3. İkinci aşama bootloader: İmzası doğrulanınca çalışır ve uygulama firmware'inin imzasını kontrol eder.
4. Uygulama: İmzası geçerliyse çalışır; geçersizse cihaz çalıştırmaz, yedek imaja döner ya da kurtarma moduna geçer.

Zincirin herhangi bir halkası doğrulamasız kalırsa, tüm yapı o halka kadar güvenlidir.

İmza ve şifreleme aynı şey değil

Sık karıştırılan iki kavram:

• İmza (bütünlük ve kaynak): Firmware'in sizden geldiğini ve değiştirilmediğini kanıtlar. Güvenli boot'un temeli budur. ECDSA P-256 veya Ed25519 gibi açık anahtarlı algoritmalar yaygındır.
• Şifreleme (gizlilik): Firmware'in okunmasını engeller. Flash'tan kopyalanan imajın tersine mühendisliğini zorlaştırır ama tek başına çalıştırılmasını engellemez.

Çoğu ürün için öncelik imzadır. Fikri mülkiyetin korunması önemliyse flash şifreleme ikinci adım olarak eklenir.

Asıl zor kısım: anahtar yönetimi

Güvenli boot'un gücü, özel anahtarın güvenliği kadardır. Küçük ekiplerde gördüğümüz hatalar:

• Özel anahtarın geliştirici bilgisayarında ya da repoda durması
• Geliştirme ve üretim için aynı anahtarın kullanılması
• Anahtarın yedeğinin olmaması; kaybolursa sahadaki cihazlar bir daha güncellenemez

Pratik öneriler:

• Üretim anahtarı ayrı tutulur, yalnızca imzalama yapan CI adımı ya da donanım güvenlik modülü (HSM) erişir.
• Geliştirme kartları ayrı bir geliştirme anahtarıyla çalışır; üretim cihazına bu anahtarla imzalı yazılım girmez.
• Anahtarın şifreli, çevrimdışı ve en az iki ayrı yerde yedeği bulunur.
• Çip destekliyorsa anahtar iptali (revocation) için birden fazla anahtar yuvası planlanır.

Anahtarların ve sırların ekip içinde nasıl taşınacağını secret ve erişim yönetimi yazımızda anlattık.

Geri alma (rollback) koruması

İmzalı olması, bir firmware'in güncel olduğu anlamına gelmez. Saldırgan, bilinen bir açığı olan eski ama imzalı bir sürümü yükleyebilir. Bunu engellemek için:

• Her imaja bir güvenlik sürüm numarası eklenir.
• Cihaz, kabul ettiği en düşük sürümü kalıcı bir sayaçta (çoğu çipte eFuse) tutar.
• Kritik bir açık kapatıldığında sayaç artırılır; eski sürümler artık açılmaz.

Sayacı her sürümde değil, yalnızca güvenlik düzeltmelerinde artırmak gerekir; eFuse sayısı sınırlıdır.

OTA ile birlikte tasarım

Güvenli boot ile OTA güncelleme aynı zincirin iki ucudur:

• OTA ile inen imaj, yazılmadan önce de doğrulanır; bozuk ya da yetkisiz imaj flash'a hiç yazılmaz.
• A/B bölüm yapısı kullanılır: Yeni imaj boştaki bölüme yazılır, ilk açılışta doğrulanır ve sağlıklı çalıştığı onaylanmazsa eski bölüme dönülür.
• Yeni sürümün "sağlıklıyım" onayı, watchdog ile birlikte çalışır: Uygulama takılırsa cihaz kendini kurtarır.

Ayrıntılı akışı OTA güncelleme yazımızda bulabilirsiniz.

Debug portunu unutmayın

Güvenli boot açık olsa bile JTAG/SWD gibi debug portları açık kalırsa, bellek okunabilir ya da doğrudan kod çalıştırılabilir. Üretim cihazlarında:

• Debug erişimi kalıcı olarak kapatılır ya da kimlik doğrulamalı hale getirilir.
• Okuma koruması (readout protection) etkinleştirilir.
• Bu adımlar üretim hattındaki programlama betiğine eklenir; elle yapılan adımlar unutulur.

Üretim hattı kontrol listesi

Adım	Amaç
Açık anahtar özetini OTP/eFuse'a yaz	Güvenin kökünü sabitle
Güvenli boot'u etkinleştir ve kilitle	İmzasız kodun çalışmasını engelle
Debug portunu kapat veya kilitle	Bellek okuma ve kod enjeksiyonunu engelle
Flash şifrelemeyi etkinleştir (gerekirse)	Firmware'in kopyalanmasını zorlaştır
Cihaza özel kimlik/sertifika yükle	Buluta bağlanırken cihazı tanı
İlk açılış testini otomatik çalıştır	Kilitleme sonrası cihazın açıldığını doğrula

eFuse işlemleri geri alınamaz. Bu yüzden akış önce birkaç numune kartta denenir, sonra üretime alınır.

SSS

Her mikrodenetleyicide güvenli boot var mı?
Hayır. Yeni nesil MCU ve SoC'lerin çoğunda donanım desteği vardır; eski ya da çok düşük maliyetli çiplerde yoktur. Donanım desteği yoksa imza doğrulaması yazılım bootloader'ında yapılabilir, ancak bootloader'ın kendisinin değiştirilmesi engellenemiyorsa koruma sınırlı kalır.

Güvenli boot açılış süresini uzatır mı?
İmza doğrulaması genelde milisaniyeler mertebesindedir. Çok büyük imajlarda ya da yavaş flash'ta fark edilebilir; donanım hızlandırıcı varsa ihmal edilebilir.

Anahtar kaybolursa ne olur?
Sahadaki cihazlar yeni bir imajı kabul etmez; güncelleme ancak fiziksel müdahaleyle ya da hiç yapılamaz. Bu yüzden anahtar yedeği, güvenli boot projesinin ilk maddesidir.

TW Bilişim bu konuda ne yapıyor?
Firmware, bootloader ve üretim betiklerini birlikte tasarlıyoruz: imzalama adımını CI'a taşıyor, A/B güncelleme ve geri alma korumasını kuruyor, üretim hattı için tekrarlanabilir bir kilitleme akışı hazırlıyoruz.

Sonuç

Güvenli boot, cihaz güvenliğinin temelidir ama tek başına yeterli değildir. Güven zinciri, iyi korunan anahtarlar, geri alma koruması, kapalı debug portları ve OTA ile uyumlu bir bölüm yapısı birlikte düşünüldüğünde sahadaki cihaz gerçekten sizin kontrolünüzde kalır.

Ürününüz için güvenli boot ve güncelleme mimarisini birlikte planlamak isterseniz: iletişim veya [email protected].