Use for authorized hardware an…

# STM32F407 工业网关固件安全审计方案

一、调试口（SWD/JTAG）关闭审计

检查要点：

• 全局搜索工程中是否有 __HAL_AFIO_REMAP_SWJ_NOJTAG() / GPIO_PinRemapConfig 或 HAL 库中 __HAL_RCC_SYSCFG_CLK_ENABLE 后对 SYSCFG->MEMRMP 的配置。
• STM32F407 使用 SYSCFG_MEMRMP 寄存器的 SWJ_CFG 位（模式 000=全开，001=禁 JTAG 保留 SWD，010=禁 SWD 保留 JTAG，100=全关）。确认量产固件运行时是否设置为“全关”或至少“仅 SWD”。
• 检查 PA13（SWDIO）、PA14（SWCLK）、PB3（JTDO）、PB4（NJTRST）、PA15（JTDI）引脚复用配置，量产后应重新配置为 GPIO 或复用为业务功能。
• 注意：建议在初始化完成后关闭调试口，并保留“引导阶段可调试”窗口，避免变砖；关闭前应验证固件升级（IAP/OTA）通路可用。

二、Flash 读保护（RDP）审计

检查要点：

• 使用 STM32CubeProgrammer 或 ST-Link Utility 连接后读取 Option Bytes，确认 RDP Level：
• Level 0 = 无保护（不合规）
• Level 1 = 读保护（推荐量产基线）
• Level 2 = 完全锁定（调试口永久关闭，慎用，不可回退）
• 检查工程启动代码/产测代码中是否有 FLASH_OB_RDPConfig 调用；若无，需在产测工装中烧写 OB，而非依赖固件运行时写（运行时写会触发系统复位）。
• 同步检查写保护（WRP）是否覆盖关键区段（Bootloader、密钥存储扇区）。
• 验证方式：尝试通过 SWD 读取 0x08000000 起始 Flash，返回总线错误或全 0xFF 即说明 Level 1 生效。

三、防拆检测方案

软件层：

• MPU + 栈罐检测：配置 MPU 监测关键 RAM 区，检测越界篡改。
• 固件完整性校验：Bootloader 启动时对应用区做 CRC/HMAC 校验，密钥存于独立扇区。
• 异常行为监测：检测到调试口被异常使用、RDP 状态变化时擦除密钥扇区并锁定。

硬件层：

• 外壳开盖微动开关 → 接入带中断的 GPIO，触发后立即擦除安全密钥并置篡改标志（存 Backup 寄存器，掉电由纽扣电池维持）。
• 关键信号线（如密钥走线）采用网格屏蔽走线，被短路/断开时触发检测。
• RTC 篡改检测：记录断电时间戳，上电比对发现时间回跳则判定拆机。

建议组合：RDP Level 1 + 量产前关闭 JTAG（保留 SWD）+ Bootloader 签名校验 + 外壳开关触发密钥擦除，即可覆盖绝大多数工业场景攻击面。