Я наверное не внятно описал гипотетическую ситуацию. Целость бутлоадера по уязвимости проблема N2. Речь про штатный режим, а не момент обновления. По проблеме N1:
Цитата
"левая" прошивка, которая не позволит штатным образом переходить в бутлоадер
Это каким способом можно "не позволить", если в результате сбоя в СК окажется код из пространства бутлоадера.
Цитата
RWWSB? Зачем его устанавливать?
Не этот бит так другой, позволяющий запретить самопрограммирование или делающее область загрузчика недоступной, при удачном старте основного кода. Похоже выхода нет - придется ставить внешний чип.