Anti-rollback
Protección que impide a un dispositivo arrancar un firmware anterior, aunque esa versión antigua esté correctamente firmada.
La comprobación de firma solo demuestra que el fabricante construyó la imagen en algún momento. No dice nada de si esa versión tenía un agujero que luego se parcheó. Sin protección contra la degradación, al atacante le basta con flashear la versión vieja, vulnerable pero perfectamente auténtica, y explotar el fallo con toda calma.
La solución es un contador de versión que solo puede crecer, guardado donde el software no pueda hacerlo retroceder: eFuses, memoria OTP o una zona protegida de la flash. El bootloader rechaza cualquier imagen cuya versión de seguridad sea inferior al contador. Android Verified Boot lo llama rollback index; la Xbox 360 y la Nintendo Switch queman fusibles en las actualizaciones importantes. La otra cara es que una actualización defectuosa tampoco puede deshacerse, lo que vuelve casi obligatorias las particiones A/B.