网络安全和数据保护

大家好，我是良许。

在当今这个万物互联的时代，网络安全和数据保护已经成为每个技术从业者都无法回避的话题。

作为一名嵌入式开发者，我深刻体会到，无论是智能家居设备、车载系统，还是工业控制设备，一旦联网，就面临着各种安全威胁。

今天我想和大家聊聊这个话题，从嵌入式开发者的视角，看看我们应该如何构建更安全的系统。

1. 为什么嵌入式设备的安全如此重要

1.1 嵌入式设备面临的安全威胁

很多人可能觉得，嵌入式设备功能简单，不会成为黑客的目标。

但事实恰恰相反。我在汽车电子领域工作这些年，见过太多因为安全问题导致的严重后果。

嵌入式设备往往直接控制物理世界，比如汽车的刹车系统、工厂的生产线、医疗设备等。

一旦被攻击，后果可能是灾难性的。

2015 年，两名安全研究人员远程入侵了一辆 Jeep 切诺基，控制了方向盘、刹车和变速器，最终导致该车型召回 140 万辆。

这个案例给整个行业敲响了警钟。

1.2 常见的攻击方式

在嵌入式领域，攻击者常用的手段包括:固件逆向工程、调试接口利用(比如 JTAG、UART)、网络协议漏洞利用、侧信道攻击等。

我曾经参与过一个项目的安全审计，发现开发板上的 UART 调试接口没有任何保护，直接连上就能获取 root 权限，这在生产环境中是非常危险的。

2. 嵌入式系统的安全防护策略

2.1 安全启动(Secure Boot)

安全启动是保护设备的第一道防线。

它确保设备只运行经过验证的可信代码。

在 STM32 等 MCU 上，我们可以利用芯片内置的安全特性来实现。

以 STM32H7 系列为例，可以这样配置安全启动:

// 配置安全启动
void ConfigureSecureBoot(void)
{
    // 使能Flash读保护
    FLASH_OBProgramInitTypeDef OBInit；
    
    HAL_FLASHEx_OBGetConfig(&OBInit);
    
    // 设置读保护级别为Level 2(最高级别，不可逆)
    // 注意:Level 2设置后无法回退，请谨慎使用
    OBInit.RDPLevel = OB_RDP_LEVEL_1; // 先用Level 1测试
    OBInit.OptionType = OPTIONBYTE_RDP;
    
    HAL_FLASH_Unlock();
    HAL_FLASH_OB_Unlock();
    
    if(HAL_FLASHEx_OBProgram(&OBInit) != HAL_OK)
    {
        // 配置失败处理
        Error_Handler();
    }
    
    HAL_FLASH_OB_Launch(); // 加载新的选项字节
    HAL_FLASH_OB_Lock();
    HAL_FLASH_Lock();
}

这段代码配置了 Flash 读保护，防止攻击者通过调试接口读取固件。

在实际项目中，我们还需要配合数字签名验证，确保固件的完整性。

2.2 数据加密存储

对于敏感数据，必须进行加密存储。

我在做车载系统时，用户的个人信息、车辆识别码等数据都需要加密保存。

可以使用 AES 算法，STM32 的硬件加密模块可以大大提高加密效率。

// 使用STM32硬件AES加密数据
HAL_StatusTypeDef EncryptData(uint8_t *plaintext， uint8_t *key， 
                               uint8_t *iv， uint8_t *ciphertext， uint32_t length)
{
    CRYP_HandleTypeDef hcryp;
    
    // 配置AES-128-CBC模式
    hcryp.Instance = AES;
    hcryp.Init.DataType = CRYP_DATATYPE_8B;
    hcryp.Init.KeySize = CRYP_KEYSIZE_128B;
    hcryp.Init.pKey = (uint32_t *)key;
    hcryp.Init.pInitVect = (uint32_t *)iv;
    hcryp.Init.Algorithm = CRYP_AES_CBC;
    
    if(HAL_CRYP_Init(&hcryp) != HAL_OK)
    {
        return HAL_ERROR;
    }
    
    // 执行加密
    if(HAL_CRYP_Encrypt(&hcryp， (uint32_t *)plaintext， length， 
                        (uint32_t *)ciphertext， HAL_MAX_DELAY) != HAL_OK)
    {
        return HAL_ERROR;
    }
    
    return HAL_OK;
}

密钥管理也很关键。

千万不要把密钥硬编码在代码里，这是新手最容易犯的错误。

可以使用芯片的 OTP(一次性可编程)区域存储密钥，或者使用专门的安全芯片(如 TPM、SE)。

2.3 网络通信安全

对于联网的嵌入式设备，网络通信必须加密。

TLS/SSL 是标准做法。

在嵌入式 Linux 系统上，我们可以使用 mbedTLS 这样的轻量级库。

// mbedTLS建立安全连接示例(简化版)
int establish_secure_connection(const char *server_addr， int port)
{
    mbedtls_net_context server_fd;
    mbedtls_ssl_context ssl;
    mbedtls_ssl_config conf;
    mbedtls_x509_crt cacert;
    
    // 初始化
    mbedtls_net_init(&server_fd);
    mbedtls_ssl_init(&ssl);
    mbedtls_ssl_config_init(&conf);
    mbedtls_x509_crt_init(&cacert);
    
    // 连接服务器
    if(mbedtls_net_connect(&server_fd， server_addr， 
                           port_str， MBEDTLS_NET_PROTO_TCP) != 0)
    {
        printf("Failed to connect to server\n");
        return -1;
    }
    
    // 配置SSL/TLS
    mbedtls_ssl_config_defaults(&conf，
                                MBEDTLS_SSL_IS_CLIENT，
                                MBEDTLS_SSL_TRANSPORT_STREAM，
                                MBEDTLS_SSL_PRESET_DEFAULT);
    
    // 加载CA证书
    mbedtls_x509_crt_parse(&cacert， ca_cert_pem， ca_cert_pem_len);
    mbedtls_ssl_conf_ca_chain(&conf， &cacert， NULL);
    
    // 设置验证模式
    mbedtls_ssl_conf_authmode(&conf， MBEDTLS_SSL_VERIFY_REQUIRED);
    
    mbedtls_ssl_setup(&ssl， &conf);
    mbedtls_ssl_set_bio(&ssl， &server_fd， mbedtls_net_send， 
                        mbedtls_net_recv， NULL);
    
    // 执行SSL握手
    while((ret = mbedtls_ssl_handshake(&ssl)) != 0)
    {
        if(ret != MBEDTLS_ERR_SSL_WANT_READ && 
           ret != MBEDTLS_ERR_SSL_WANT_WRITE)
        {
            printf("SSL handshake failed\n");
            return -1;
        }
    }
    
    printf("SSL connection established\n");
    return 0;
}

这段代码建立了一个 TLS 加密连接，并验证服务器证书。

在实际项目中，还需要考虑证书更新、证书吊销列表检查等问题。

3. 软件层面的安全实践

3.1 输入验证和边界检查

缓冲区溢出是最常见的安全漏洞之一。

我刚工作那会儿，写代码经常忽略边界检查，后来在代码审查中被前辈狠狠批评了一顿。

// 不安全的代码
void unsafe_copy(char *dest， char *src)
{
    strcpy(dest， src); // 危险!没有检查长度
}
​
// 安全的代码
void safe_copy(char *dest， char *src， size_t dest_size)
{
    if(dest == NULL || src == NULL || dest_size == 0)
    {
        return;
    }
    
    // 使用安全的字符串函数
    strncpy(dest， src， dest_size - 1);
    dest[dest_size - 1] = '\0'; // 确保字符串终止
    
    // 或者使用更安全的函数(C11标准)
    // strncpy_s(dest， dest_size， src， dest_size - 1);
}
​
// 处理网络数据时的验证
HAL_StatusTypeDef ProcessNetworkData(uint8_t *data， uint32_t length)
{
    // 验证数据长度
    if(length < MIN_PACKET_SIZE || length > MAX_PACKET_SIZE)
    {
        printf("Invalid packet length: %lu\n"， length);
        return HAL_ERROR;
    }
    
    // 验证数据包头
    PacketHeader *header = (PacketHeader *)data;
    if(header->magic != PACKET_MAGIC)
    {
        printf("Invalid packet magic\n");
        return HAL_ERROR;
    }
    
    // 验证校验和
    uint32_t calculated_crc = CalculateCRC32(data， length - 4);
    uint32_t received_crc = *(uint32_t *)(data + length - 4);
    if(calculated_crc != received_crc)
    {
        printf("CRC check failed\n");
        return HAL_ERROR;
    }
    
    // 数据验证通过，继续处理
    return HAL_OK;
}

所有外部输入都应该被视为不可信的，包括网络数据、用户输入、传感器数据等。

永远不要假设输入是合法的。

3.2 最小权限原则

在嵌入式 Linux 系统中，应该遵循最小权限原则。

不要让所有进程都以 root 权限运行。

我在做项目时，会为不同的功能模块创建专门的用户，限制其权限。

// 降低进程权限
void drop_privileges(const char *username)
{
    struct passwd *pw = getpwnam(username);
    if(pw == NULL)
    {
        fprintf(stderr， "User %s not found\n"， username);
        exit(1);
    }
    
    // 先设置组ID
    if(setgid(pw->pw_gid) != 0)
    {
        perror("setgid failed");
        exit(1);
    }
    
    // 再设置用户ID
    if(setuid(pw->pw_uid) != 0)
    {
        perror("setuid failed");
        exit(1);
    }
    
    printf("Dropped privileges to user %s\n"， username);
}
​
int main(int argc， char *argv[])
{
    // 初始化需要root权限的操作
    init_hardware();
    bind_privileged_port();
    
    // 完成后立即降低权限
    drop_privileges("app_user");
    
    // 后续代码以普通用户权限运行
    run_application();
    
    return 0;
}

3.3 安全的 OTA 升级

远程升级功能很方便，但也带来了安全风险。

必须确保升级包的完整性和来源可信。

// OTA升级安全验证流程
typedef struct {
    uint32_t version;
    uint32_t size;
    uint8_t signature[256]; // RSA-2048签名
    uint8_t hash[32];       // SHA-256哈希
} FirmwareHeader;
​
HAL_StatusTypeDef VerifyAndInstallFirmware(uint8_t *firmware_data， 
                                           uint32_t data_size)
{
    FirmwareHeader *header = (FirmwareHeader *)firmware_data;
    uint8_t *firmware_body = firmware_data + sizeof(FirmwareHeader);
    uint32_t body_size = data_size - sizeof(FirmwareHeader);
    
    // 1. 验证版本号(防止降级攻击)
    if(header->version <= GetCurrentFirmwareVersion())
    {
        printf("Firmware version too old， rejecting\n");
        return HAL_ERROR;
    }
    
    // 2. 验证哈希值
    uint8_t calculated_hash[32];
    SHA256_Calculate(firmware_body， body_size， calculated_hash);
    if(memcmp(calculated_hash， header->hash， 32) != 0)
    {
        printf("Hash verification failed\n");
        return HAL_ERROR;
    }
    
    // 3. 验证数字签名
    if(RSA_Verify(header->hash， 32， header->signature， 
                  public_key) != HAL_OK)
    {
        printf("Signature verification failed\n");
        return HAL_ERROR;
    }
    
    // 4. 所有验证通过，开始安装
    printf("Firmware verified， installing...\n");
    if(InstallFirmware(firmware_body， body_size) != HAL_OK)
    {
        printf("Installation failed\n");
        return HAL_ERROR;
    }
    
    printf("Firmware installed successfully\n");
    return HAL_OK;
}

这个流程包含了版本检查、完整性验证和签名验证三重保护。

在实际项目中，我还会加上回滚机制，确保升级失败时能恢复到旧版本。

4. 硬件层面的安全措施

4.1 禁用调试接口

生产环境的设备应该禁用或保护调试接口。

我见过有些产品为了方便售后调试，保留了 JTAG 接口，结果被人利用来提取固件。

// 在生产固件中禁用调试功能
void DisableDebugInterfaces(void)
{
    #ifdef PRODUCTION_BUILD
    
    // 禁用JTAG和SWD
    __HAL_AFIO_REMAP_SWJ_DISABLE();
    
    // 禁用调试模式下的功能
    DBGMCU->CR = 0x00000000;
    
    // 关闭调试串口
    #ifdef DEBUG_UART
    HAL_UART_DeInit(&huart_debug);
    #endif
    
    #endif
}

4.2 使用安全芯片

对于高安全要求的应用，可以使用专门的安全芯片(如 ATECC608A)来存储密钥和执行加密运算。

这些芯片具有防篡改特性，即使物理攻击也很难提取密钥。

// 使用安全芯片进行认证
HAL_StatusTypeDef AuthenticateWithSecureElement(void)
{
    uint8_t challenge[32];
    uint8_t response[64];
    
    // 生成随机挑战
    GenerateRandomChallenge(challenge， 32);
    
    // 发送挑战到安全芯片，获取签名响应
    if(SecureElement_Sign(challenge， 32， response) != HAL_OK)
    {
        return HAL_ERROR;
    }
    
    // 验证响应
    if(VerifySignature(challenge， 32， response， 64) != HAL_OK)
    {
        return HAL_ERROR;
    }
    
    return HAL_OK;
}

5. 数据保护的法律合规

5.1 遵守数据保护法规

现在各国都有严格的数据保护法规，比如欧盟的 GDPR、中国的《个人信息保护法》等。

作为开发者，我们必须了解并遵守这些法规。

在我做车载系统时，需要收集用户的位置信息、驾驶习惯等数据。

我们必须做到:明确告知用户收集哪些数据、用于什么目的；获得用户明确同意；提供数据删除功能；数据传输和存储必须加密；定期进行安全审计。

5.2 数据最小化原则

只收集必要的数据，不要贪多。

我见过有些产品恨不得把用户所有信息都收集起来，结果不仅增加了安全风险，还可能违反法规。

// 数据收集示例:只收集必要信息
typedef struct {
    uint32_t device_id；        // 设备ID(匿名化)
    uint32_t timestamp;        // 时间戳
    float temperature;         // 温度数据
    uint8_t error_code;        // 错误码
    // 不收集用户个人身份信息
} TelemetryData;
​
void CollectTelemetry(void)
{
    TelemetryData data;
    
    data.device_id = GetAnonymizedDeviceID(); // 使用匿名化ID
    data.timestamp = GetCurrentTimestamp();
    data.temperature = ReadTemperature();
    data.error_code = GetLastError();
    
    // 加密后上传
    EncryptAndUpload(&data， sizeof(data));
}

6. 安全开发流程

6.1 威胁建模

在项目开始阶段就应该进行威胁建模，识别潜在的安全风险。

我现在做新项目时，会专门组织团队进行威胁分析会议，列出所有可能的攻击面和攻击方式，然后针对性地设计防护措施。

6.2 代码审查和安全测试

代码审查不仅要关注功能实现，更要关注安全问题。

我在公司推行的代码审查 checklist 中，专门有一个安全检查部分，包括:是否有缓冲区溢出风险；是否正确处理错误；是否有硬编码的密钥或密码；是否验证了所有输入；是否使用了安全的 API 等。

定期进行渗透测试也很重要。

可以请专业的安全团队来测试，或者使用自动化工具扫描漏洞。

6.3 安全事件响应计划

即使做了充分的防护，也不能保证 100% 安全。

必须有应急响应计划。

我们公司的应急预案包括:漏洞发现后的上报流程；紧急补丁的发布机制；用户通知方案；事后分析和改进措施等。

7. 总结与建议

网络安全和数据保护是一个系统工程，需要从硬件、软件、流程等多个层面综合考虑。

作为嵌入式开发者，我们不能只关注功能实现，更要把安全放在首位。

我的建议是:第一，从项目一开始就考虑安全，不要等到出问题才补救。

第二，持续学习最新的安全技术和攻击手段，安全是一个动态的过程。

第三，建立安全意识，让团队每个人都重视安全；第四，遵守法律法规，保护用户隐私。

在我创业做咨询的这些年，接触了很多嵌入式项目，发现安全问题往往不是技术难题，而是意识问题。

很多团队觉得自己的产品不会成为攻击目标，或者为了赶进度忽略安全。

但一旦出事，代价是巨大的，不仅是经济损失，更是品牌信誉的损害。

希望这篇文章能给大家一些启发，让我们一起构建更安全的嵌入式系统。

如果你在项目中遇到安全相关的问题，欢迎和我交流讨论。

更多编程学习资源

• C 语言零基础入门电子书-2026 最新版
• STM32 零基础入门电子书-2026 最新版
• FreeRTOS 零基础入门电子书-2026 最新版
• C++ 零基础入门电子书-2026 最新版
• 51 单片机零基础入门学习路线
• AD 画板零基础入门学习路线
• C 语言零基础入门学习路线
• C++ 语言零基础入门学习路线
• ESP32 零基础入门学习路线
• FreeRTOS 零基础入门学习路线
• Linux 应用开发零基础入门学习路线
• Linux 底层开发零基础入门学习路线
• LVGL 零基础入门学习路线
• QT 零基础入门学习路线
• STM32 零基础入门学习路线