IoT设备如何知道固件升级的校验和？

我不知道您有哪些信息来源，表明只有校验和用于验证固件。

已建立的软件更新方法(包括固件)使用加密签名。在这种情况下，固件用私钥签名，私钥对固件的发行者保密。该设备包含匹配的公钥，然后可用于验证签名。这样，就不需要新固件的校验和，而是只需要谁发出它(即，哪个公钥是可信的)。

如果不信任特定的公钥，而是依赖公钥基础结构(PKI)中的信任锚，这个过程可能会更复杂，但基本思想是一样的:信任是在固件的加密验证的颁发者中，而不是在特定的校验和中。