Anti-rollback
Beveiliging die voorkomt dat een apparaat oudere firmware opstart, ook als die oudere image keurig is ondertekend.
Een handtekeningcontrole bewijst alleen dat de fabrikant de image ooit heeft gebouwd. Of die versie een lek had dat later is gedicht, zegt ze niet. Zonder downgradebeveiliging flasht een aanvaller gewoon de oude, kwetsbare maar volstrekt authentieke release en buit het lek op zijn gemak uit.
De oplossing is een monotone versieteller op een plek waar software hem niet kan terugdraaien: eFuses, OTP-geheugen of een beschermd flashgebied. De bootloader weigert elke image waarvan de beveiligingsversie onder de teller ligt. Android Verified Boot noemt dit de rollback-index; de Xbox 360 en de Nintendo Switch branden bij grote updates fuses door. Keerzijde: ook een mislukte update is niet meer terug te draaien, waardoor A/B-partities bijna een must zijn.