Anti-rollback
Protezione che impedisce a un dispositivo di avviare un firmware più vecchio, anche quando l'immagine è regolarmente firmata.
Una firma valida dimostra soltanto che il produttore ha compilato quell'immagine in un certo momento. Non dice nulla sul fatto che quella versione contenesse una falla poi corretta. Senza protezione dal downgrade, un attaccante installa semplicemente la vecchia release, vulnerabile ma perfettamente autentica, e sfrutta la falla con calma.
La soluzione è un contatore di versione monotono, conservato dove il software non può riportarlo indietro: eFuse, memoria OTP o un'area protetta della flash. Il bootloader rifiuta ogni immagine con una versione di sicurezza inferiore al contatore. Android Verified Boot lo chiama rollback index; Xbox 360 e Nintendo Switch bruciano dei fusibili a ogni aggiornamento importante. Il rovescio della medaglia è che anche un aggiornamento difettoso non si può annullare, il che rende le partizioni A/B quasi obbligatorie.