Havenlon｜AI 时代的执行安全语言体系（五九）：调试、维护与旁路
Working Draft · AI Era Execution Security Language
This article is part of the Havenlon Execution Security Language project.
The terminology and definitions presented here describe the current
working draft and may evolve as the discipline matures.AI 时代执行安全语言体系（工作草案）
本系列旨在建立 AI 时代执行安全的共同语言。
本文中的术语与定义代表当前工作草案，
将随着理论研究、工程实践和社区讨论持续修订
19. Debug Interface｜调试接口
一句话定义
调试接口，是用于开发、测试、诊断或固件操作的高权限硬件或软件入口。
严格定义
常见调试接口包括：
- JTAG；
- SWD；
- UART console；
- bootloader shell；
- recovery console；
- factory test interface；
- hidden maintenance API。
调试接口可能允许：
- 读取内存；
- 修改固件；
- 提取密钥；
- 绕过启动验证；
- 修改 counter；
- 关闭 Policy；
- 直接调用执行逻辑。
上位概念
- Maintenance Interface
- Attack Surface
下位概念
- JTAG
- SWD
- Serial Console
- Bootloader Console
- Factory Interface
相关概念
- Debug Lock
- Boundary Bypass
- Physical Attack
- Manufacturing Mode
- Recovery Boundary
权力边界
调试接口不能在生产环境中成为不受治理的万能执行入口。
约束机制
- 永久关闭；
- 生命周期状态；
- 认证调试；
- 物理拆机；
- 限时授权；
- 调试事件留证；
- 生产模式锁定。
结果目标
防止攻击者绕过协议和执行链直接控制硬件状态。
在 Havenlon 中
生产设备的调试接口应锁定，必要维护必须进入受控恢复和治理流程。
20. Debug Lock｜调试锁定
一句话定义
调试锁定，是在生产状态下限制或关闭调试接口读取、修改和控制能力的机制。
严格定义
调试锁定可以包括：
- RDP；
- JTAG fuse；
- lifecycle state；
- secure debug authentication；
- bootloader lock；
- console disable；
- production key activation。
调试锁定必须考虑：
- 是否可逆；
- 谁能解锁；
- 解锁是否清除密钥；
- 解锁是否留下证据；
- 恢复是否绕过锁定；
- 供应链阶段何时启用。
上位概念
- Device Hardening
- Physical Boundary Protection
下位概念
- Permanent Debug Lock
- Authenticated Debug
- Destructive Unlock
- Lifecycle Lock
相关概念
- RDP
- Secure Boot
- Manufacturing State
- Physical Recovery
- Tamper Response
权力边界
能够解锁调试状态的主体不能因此无痕恢复完整执行能力。
约束机制
- 不可逆锁定；
- 认证调试；
- 解锁清密钥；
- 物理操作；
- 多方授权；
- 解锁证据；
- 解锁后 Safe Mode。
结果目标
让生产设备不能通过开发接口直接绕过执行边界。
在 Havenlon 中
关键 MCU 在生产注入和验证后进入受限调试生命周期状态。
21. Maintenance Path｜维护路径
一句话定义
维护路径，是用于诊断、更新、修复、恢复或更换设备的特殊系统路径。
严格定义
维护路径可能包括：
- 固件更新；
- 配置修复；
- 日志导出；
- 设备替换；
- Key Rotation；
- Policy 恢复；
- Evidence 修复；
- Owner Recovery。
维护路径通常拥有比正常业务路径更高的系统访问能力，因此容易成为绕过执行边界的最短路径。
上位概念
- Execution Path
- Recovery Path
下位概念
- Update Path
- Diagnostic Path
- Recovery Path
- Factory Service Path
- Key Rotation Path
相关概念
- Boundary Bypass
- Governance Recovery
- Firmware Update Boundary
- Physical Recovery
- Safe Mode
权力边界
维护权限不能自动包含业务执行权，维护状态下也不能默认放宽执行限制。
约束机制
- 独立维护角色；
- 物理存在；
- 时间窗口；
- 多方治理；
- 维护模式禁用执行；
- 完整留证；
- 退出验证。
结果目标
让系统可以维护和恢复，但不把维护入口变成超级后门。
在 Havenlon 中
设备维护和恢复必须与正常执行隔离，并在维护期间限制高风险业务能力。
22. Manufacturing Boundary｜生产制造边界
一句话定义
生产制造边界，是控制设备在制造、注入、测试和交付过程中如何建立身份、密钥和安全状态的边界。
严格定义
生产阶段可能接触：
- 设备根密钥；
- 证书；
- 固件；
- 调试接口；
- 安全元件配置；
- 生命周期状态；
- 初始 Governance State；
- 序列号与供应链信息。
制造环节失陷可能导致：
- 克隆设备；
- 注入攻击者密钥；
- 保留调试后门；
- 替换固件；
- 伪造设备身份；
- 交付前复制执行密钥。
上位概念
- Supply Chain Security
- Device Lifecycle
下位概念
- Key Injection Boundary
- Firmware Provisioning Boundary
- Factory Test Boundary
- Device Activation Boundary
相关概念
- Secure Provisioning
- RDP Lock
- Device Identity
- Supply Chain Compromise
- Attestation
权力边界
制造方不应长期保留可以控制已交付设备执行权的万能密钥或调试能力。
约束机制
- 分阶段注入；
- 区域隔离；
- HSM 注入；
- 设备唯一证书；
- 生产后锁定；
- 注入审计；
- 客户激活；
- 密钥不可回读。
结果目标
让设备从制造到交付的身份和安全状态可以验证，同时避免生产方成为永久信任根。
在 Havenlon 中
设备密钥注入、RDP 锁定和现场激活需要分离，生产环境不能保留任意控制已交付设备的能力。