一次OTA固件签名绕过事件的排查复盘

2025年9月，我参与了一次让整个安全团队失眠三天的应急响应。某自主品牌在OTA灰度推送过程中，安全运营中心收到告警：TSP后台签发的固件包SHA256与T-Box上报的实际写入镜像SHA256不一致。这不是网络丢包导致的校验失败——两个哈希值差异覆盖了整个固件的后半段，意味着固件包在"签名→下发→写入"的链路上被替换了。