Android 4.4 及更高版本支持通过可选的 device-mapper-verity (dm-verity) 内核功能进行的验证启动，以便对块设备进行透明的完整性检查。dm-verity 有助于阻止可以持续保有 Root 权限并入侵设备的持续性 Rootkit。验证启动功能有助于 Android 用户在启动设备时确定设备状态与上次使用时是否相同。
更为狡猾且具有 Root 权限的恶意软件可以躲开检测程序的检测，并以其他方式掩蔽自己。可以获取 Root 权限的软件就能够做到这一点，因为它通常比检测程序的权限更高，从而能够“欺骗”检测程序。
通过 dm-verity 功能，您可以查看块设备（文件系统的底部存储层），并确定它是否与预期配置一致。该功能是利用加密哈希树做到这一点的。对于每个块（通常为 4k），都有一个 SHA256 哈希。
由于哈希值存储在页面树中，因此顶级“根”哈希必须可信，才能验证树的其余部分。能够修改任何块相当于能够破坏加密哈希。下图描绘了此结构。
图 1. dm-verity 哈希表
启动分区中包含一个公钥，该公钥必须已由原始设备制造商 (OEM) 在外部进行验证。该密钥用于验证相应哈希的签名，并用于确认设备的系统分区是否受到保护且未被更改。
为了大幅降低遭到入侵的风险，请使用烧录到设备上的密钥来验证内核。如需详细信息，请参阅验证启动。
要为设备启用 dm-verity，您必须使用基于块的无线下载 (OTA) 更新来确保所有设备均使用相同的系统分区。如需详细信息，请参阅基于块的 OTA。
在切换到面向块的 OTA 后，纳入最新的 Android 内核或使用现成的上游内核，然后通过添加相关配置选项 CONFIG_DM_VERITY 来启用 dm-verity 支持。
如果使用 Android 内核，dm-verity 会在该内核编译后启用。如需详细信息，请参阅实现 dm-verity。
验证启动
基于块的 OTA
实现 dm-verity
cryptsetup - dm-verity：device-mapper 块完整性检查目标
Chromium 项目 - 验证启动
Linux 内核文档：verity.txt