01前言
& w5 T' @8 i5 @# d8 ]本文档通过一个动手实验, 详细演示了如何在 STM32H563 上运行一个 OEMiROT 的功能. 旨在针对那些 OEM 想自己实现一个基于 STM32H563 上的 iROT 功能而又不知如何开始的开发者.
( p" D& j7 |$ @6 u/ Q) a
02准备工作
5 L& S: G, Q; r1 b3 w& j

% g0 r0 h- c: i

$ p0 K$ v/ }. V7 M. v软件包 : STM32Cube_FW_H5_V1.1.0
6 Y9 P4 _+ R  A

工具:
0 V; u+ \+ t& u4 b, t4 a• STM32CubeProgrammer v2.14.0
• Tera Term 串口终端显示
• Trust Package Creator(安装 STM32CubeProgrammer 时一并安装, 注意勾选)


2 ]0 z; h4 A( m! y) {. `IDE: STM32CubeIDE v1.13.0
# I# H  B! ?5 d( `/ f3 ]. t" R
. |4 i! }) |; K0 q3 o03烧录 OEMiROT 固件并运行
1 L0 p1 I" g; A3.1. 脚本环境配置板编程基础
8 f) j5 h) ?" ]. c( M( O本动手实验基于 STM32CubeH5 固件包, 此包必须位于一个没有中文且没有空格的路径下, 于是我们将此包拷贝到 C:\workspace 目录, 在此包路径 \STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning 目录下有一个 env.bat 文件, 用文本编辑器(如记事本)打开此文件:


0 E7 ?! F0 a- ~6 n. M/ ~- n

4 l9 q& ^" m/ X
) d' L* X* A, w( Q/ A) C* Y# A检查上面两行, STM32CubeProgrammer_CLI.exe, 以及 STM32TrustedPackageCreator_CLI.exe 这两个工具的安装路径是否跟你电脑中的安装路径符 合, 如果不符, 则需要进行相应的修改.
$ t# v4 T7 |8 @2 F. n8 {
5 W; i/ x% v% R9 j% A% ~/ Z3.2. 运行 OEMiROT 预配置(provisioning)脚本
2 |1 v9 e( ]% X$ l: E5 x" R
" p; D$ R0 t, v% [0 e% u- W. j再进入到 cube 包下的目录 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEOH563ZI\ROT_Provisioning\OEMiROT 目录下, 有一个名为 provisioning.bat 的脚本, 双击运行它:

: {; [+ U: [* L( Q* f$ W

8 w3 D. s" G" ]. W! c0 k
如上图, 系统会自动打开一个 DOS 命令终端窗口, 在此动手实验过程中, 如无特别说明, 此窗口将一直保持, 我们将通过此窗口的提示信息进行每一步的操作.
: ]3 z1 V; v& `1 m. S+ c; q- h/ U( h

如上图, 信息提示我们打开TrustedPackageCreator 工具, 生成 OEMiROT_Config.obk 文件.

3.3. 生成 OEMiROT_Config.obk
打开 TrustedPackageCreator 工具:

* [2 G$ L7 Z* z



- q& v& k* Y3 d& _' A; b7 R如上图, 在最左边 ①处点击 “H5”, 然后在②处选项”OBKey”, 接下来在③处选择STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Config 目录下的 OEMiRoT_Config.xml 文件, 此文件为生成 OEMiROT 对应 obk 文件的配置文档. 然后下面会显示 3 个密钥对, 从上到下分别为 :
• OEMiRoT_Authentication_S.pem: Secure APP 对应的认证密钥(使用公钥)
• OEMiRoT_Authentication_NS.pem: Non Secure APP 对应的认证密钥(使用公钥)
0 e9 E1 h, c6 ]' o4 u1 e• OEMiRoT_Encryption.pem : Secure APP+Non Secure APP 固件加密密钥对应的解包密钥(使用私钥)

, o' h- M2 ]$ u+ N- f. e$ Q
5 j; d, ]8 k9 A. @- k: E这三个密钥其实都是成对的, 即公钥私钥对. 位于 Keys 目录下. STM32CubeH5 包下已经自带了默认的密钥对, 如果你不想使用默认的, 则可以点击上图中的4中的 “Regenerate” 重新生成这三个密钥对. 一旦重新生成, 则需要注意保存这三个密钥对.
1 e2 R% x: m  N
: c+ u' h) P/ L2 ]' a/ t9 s
9 v5 I1 b' f" h. l# b% h接下来就要生成 OEMiROT 对应的 obk 文件了, 在右边的输出路径下, 选择一个路径, 比如Binary 目录. 最后点击生成. 则将在 Binary 目录下生成 OEMiRoT_Config.obk 文件.
) C) n( Z4 @5 ]# |: D7 k/ ~- |
# d2 `, @; g8 y/ `3.4. 生成 DA 对应的 obk 文件
9 b* m9 Y; {0 ]回到脚本终端窗口, 输入回车键 :
# v/ b7 b! k! h" P4 u! u
2 x$ {0 j# q6 d, A/ M

; r: `; ]5 w# y& C- Q

* i5 }) r9 l7 Q: v0 `( m如上图, 提示你通过 TPC 工具生成 DA_Config.obk 文件. 有关如何生成 DA_Config.obk 文件,之前已有其它文档讲述, 且 STM32CubeH5 包下STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Binary 此目录中已经有现存的 DA 对应的 obk 文件, 其对应的私钥和证书分别位于上一级目录下的 Keys 目录和 Certificates 目录下, 这些文件均可直接使用, 所以这里不再重复讲述它们的生成过程.


1 j% [. \8 @- e+ N直接按下回车键..
0 D: r3 k- V7 Q1 q7 e; H, h6 W
3.5. 编译 OEMiROT_Boot 工程
7 ]. N  A' K, v$ k+ ~' F+ G7 u

' F( q% W: `: {8 T3 p
& p9 ^! Y# B3 f2 s; M

如上图, 提示用户打开 OEMiROT_Boot 工程并编译.
( V! J& z" Q) y

于是用 STM32CubeIDE 打开工程, 路径为: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Boot\STM32CubeIDE 目录下, 编译过后,会在工程下的 Binary 目录下生成 OEMiROT_Boot.bin 文件.
: H) U" R  y. k8 W" m/ d7 c
% a6 e% _; b( c
再回到终端窗口按下回车键…

8 }6 m2 O- y& s4 ]+ ?: X3.6. 编译 OEMiROT_Appli_TrustZone 工程

) L. @9 w0 `. ]3 U: W# `* Y用 STM32CubeIDE 打开工程: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Appli_TrustZone\STM32CubeIDE


此工程下有两个子工程 :


3 d0 G2 M# D5 w/ m# E7 s+ w$ ]. i. |
7 K" A7 G9 e( N! k5 C! ~
如上图所示, 先编译 Secure 工程, 再编译 NonSecure 工程. 编译通过后, postbuild 脚本会在Binary 目录下生成原始 bin 文件和加密后的固件.

; @; h, [! l! a8 r3 ?: \6 q0 B
1 ?! |) ]+ R* r, z$ T


原始 bin 文件是用来初始安装的, 而加密后的固件是用来做升级的. 加密和签名过程正是postbuild 脚本来实现的, 其对应的固件加密密钥是此次编译过程中脚本随机产生的密钥. 此密钥会通过 3.3 节中所产生的 OEMiRoT_Encryption.pem 对应的公钥来进行打包并放入 header 中.而签名所用的私钥并正是 3.3 节中所产生的 OEMiRoT_Authentication_S.pem 私钥, 它对应Secure 工程签名, OEMiRoT_Authentication_NS.pem 则对应 Non Secure 工程签名.

3.7. 手动生成加密且签名的映像文件(可选)
除了通过 postbuild 脚本来自动生成固件加密且签名的映像文件外, 你也可以通过手动的方式来生成它.如下图, 我们可通过 TPC 手动将原始 bin 文件加密且签名.
, p- h& U# [6 }% u/ l: \: L2 e
: N. f- ?# F+ R* N, L
5 f! Q* L. ]" Z: ?, v6 `5 S3 v
! r1 W, i8 u+ |# g% d  r
7 \2 I6 Y4 p  i" t+ l
7 A& u& y& c4 U如上图, 打开 TPC, 左边①处选择 “H5”, 然后在②处选择”Image Gen”, 在③处输入配置文件 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images\ OEMiROT_S_Code_Image.xml. 然后在Firmware area size 处保持默认的 0x6000, version :1.0.0, Firmware binary input file 处导入S App 生成的明文固件映像. Image Out File 处即可生成的加密且签名的固件。加密的密钥是随机的, 它通过打包进 header 中, 如之前描述. 这就是手动生成加密且签名的固件映像方法. 由于App 工程的 postbuild 脚本会自动完成, 所以, 这一步骤并不是必须的.


# C" ?) Q' H; F5 M此外需要注意地是, 在 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images 目录下还有其它几个用来手动生成加密签名映像的配置文件, 如下图所示 :
5 _  P5 X$ m$ x* `* H
/ q6 t4 k7 j$ D' l! {1 X
! q1 F/ U* w' p" L5 i. F
+ b1 y: N3 u. j
通过这几个文件名, 顾名思义, 分别对应着 Secure App 的固件, 数据, NonSecure App 的固件,数据映像, 如果需要手动生成这四种加密且签名的映像文件, 则通过 TPC 手动导入对应的 xml配置文件. 在 Firmware binary input file 输入原始 bin 文件, 在 Image Out File 处输入导出文件, 然后点击 Generate Image, 生成最终的加密且签名的映像文件(如rot_tz_s_app_enc_sign.hex, 或者 rot_tz_ns_app_enc_sign.hex).
+ M% S) n, x% ?$ u1 D
' p/ H1 ?4 D0 ^1 h) N2 r# l3.8. 生成加密签名的数据映像(可选)
回到终端窗口按下回车键, 如下所示 :
* o+ c3 c6 S) i7 k8 e
4 s! R( N2 _. p8 I& P
% m4 K" u; @6 }- I* Y' [


提示我们通过 TPC 手动生成加密数据映像. 工程中默认是未定义任何 Data image 的(flash_layout.h 头文件):
1 Y, s$ g2 w* c0 q: z8 g' y
0 ~  k* N# o5 x% v4 {
' x! X, \+ g7 x2 h  ~4 s) }
( S5 V; F4 Z# P& X3 o
因此, 此步骤默认我们是可以跳过. 如果工程中此宏修改成 1, 则需要手动通过 TPC 来生成加密的数据映像. 方法类似于 3.6 节的手动生成环节, 只不过配置文件换成 xxx_Data_Image.xml.

( A1 [% \6 [. @5 y* a
这一步骤, 我们直接在终端窗口中按下回车键…


% [# r8 i$ C, i) q: ^

; v' j" {$ J+ e5 d1 U$ U1 V
$ z+ ?8 t/ X( I1 ]# [接下来再次提示生成 NS APP 对应的 Data Image, 同理, 在工程中默认宏中是没有配置的, 因此直接按下回车键…

3.9. 预配置(provisioning)
/ {) C1 M( K  G/ t
: G1 D. t* _* S/ w( y+ [( a/ u2 {7 p, z
* K, J- u" j) y+ ^+ G

, a+ O" J8 A5 c* N& ]/ t4 T5 s
% a- _  A8 A# X( ^" w: Q4 V在做预配置之前, 提示你是否已将 BOOT0 引脚拉低. 确认 NUCLEO-H563ZI 板上的 BOOT0引脚没有连到 VDD(CN4 的 BOT0 引脚未接任何东西即可). 确认后按下回车键…
9 d" x5 d* `2 e$ v" O; Q8 k



+ z" I9 r2 [: @+ q. X$ H. `9 x
如上图, 这此过程中, 脚本会自动烧录 boot, S APP, NS APP 三个 bin 文件, 以及配置 option bytes, 接下来提示你输入芯片最终的 product state, 这里我们输入”CLOSED”…(千万别设置为 LOCKED 状态!)
0 S: ^& H: n( {! v

. z" r" g4 B8 h$ y9 E/ i9 p


如上图所示, 在此过程中, 脚本会先将芯片的 product state 切换到 provisioning 状态, 然后再做预配置, 这里会预配置 OEMiROT 的 obk 文件,以及 DA 的 obk 文件, 然后最终将芯片的product state 设置为你上一步输入的最终芯片状态. 最后系统提供已完成. 到这一步, 脚本的整个流程结束. 接下来, 我们验证下烧录后的芯片是否工作正常.
/ y4 K6 e) [: ?- a. v
3.10.检查程序运行状态
7 U/ ~# \4 E0 V% d打开 Tera Term, 设置串口波特率为 115200 bps, 然后复位板子, 查看打印信息…
5 z. s! h* w. k0 I
# E( N1 u5 U9 i  u# R- p

8 H0 k5 j: o  G  p4 [5 g& }9 K1 l( @* z
3 g, l" `" F+ g3 Y! [如上图所示, 当打印信息显示 User App #A 时, 表示 NS APP 已经运行成功, 所有程序运行结果均正常!

04固件更新
接下来, 我们将演示通过 NS APP 触发程序跳转到内置的 bootloader 中, 并通过串口下载新的加密固件, 复位后并安装它.
# Q3 f- k" D% v7 v, w( q. v4 r' B
4.1. 修改代码, 并重新编译工程
打开 NS APP 的工程, 在 main.c 文件中将 NS APP 的版本号从 “A”改成”B”:

* X3 I6 g: A/ u/ V/ @
: w; k, N6 g6 w/ Z
! a. v4 n7 z0 D8 d
) a- }2 D- ~5 Y& x
然后重新编译 NS APP 工程.

9 E) O3 A6 O( y3 n4 ^
. O3 I- u* |! T$ p1 DPostbuild 脚本将重新生成 S APP 和 NS APP 的加密固件 :
8 Q# G" S) R0 D* K& K$ G
3 r8 Q) I- @1 ?1 A
3 K6 ]( d# R6 T

# }& P0 ?. c# b) c9 Z; h, l
如上图所示, 这四个文件均将重新生成.
' ^  w6 ]% b9 |9 f( O3 T
$ B# I0 O9 M6 ~: n' H6 D8 x
2 p1 I) g; w/ X! l接下来我们将升级 APP 固件.
& m9 o9 {( F5 d2 D+ r' s

4.2. 跳转到 loader 程序
5 |( r+ B# Y& ]7 k
在串口终端中我们输入”1”:


$ c3 C, ?- b9 w' Y& Z& _+ R

/ J7 y6 X9 ~+ _' M/ t7 Q. O# _' E如上图所示, 输入 1 后, 程序跳转到芯片内置的 bootloader 中.


' ?  ~) q# }. }) R断开 Tera Term 的串口连接 :
' R7 U4 M( E( M! f



4.3. 通过 STM32CubeProgrammer 下载新固件
打开 STM32CubeProgrammer, 并通过串口模式连接芯片:




将新生成 NS APP 的加密后的固件 rot_tz_ns_app_enc_sign.hex 拖入到STM32CubeProgrammer 中 :

" D5 {: e9 n; T# E$ w
8 J/ p8 z* D1 E6 o! _( R3 t

$ l9 S# L' ], W( C4 x4 [8 Z% L
6 ?6 {( D6 M& ]% M/ q8 e; \如上图点击下载.
: \: ~' l7 j! h3 n( e
: ]/ E" d' D. M3 r7 u9 H
, J' Q9 G: {5 L& j: F' \同样的, 也可以将 S APP 的加密固件 rot_tz_s_app_enc_sign.hex 拖入STM32CubeProgrammer 中并下载 :



) f3 _  U  A7 \

下载成功后, 断开 STM32CubeProgrammer 的串口连接, 并使 Tera Term 重新连接串口 , 然后再重启 NUCLEO-H563ZI 板, 于是可以看到如下打印信息 :

6 i; C  m/ G  B6 p

. g1 k" U. c3 h

如上图所示, NS APP 的版本打印信息从 “A”已经改成”B”了, 这说明固件(加密且签名的)已经更新成功.
7 ]6 |& O. w% A* h% ^+ M0 V9 Q; k
- H4 H. u7 s# u7 K5 B" d05还原
" L3 m' Z0 t9 @( `, {5.1. DA 回退
打开 STM32CubeProgrammer, 采用 ST-Link 模式, 在未连接的情况下,在左边选择盾牌图标, 然后再选择”DA”选项卡, 再点 Discover 按键….
# y  M, w1 ~& {- y: R9 T0 O) D/ z

0 a: A* J' g0 J1 D+ m
- G2 f0 e3 h. A# v. K  K
6 _$ f" p" H% C) Q界面变成如下所示 :
: H3 @& U0 R$ J$ _% c

7 }  M2 t$ H9 c( E# c% R" e
: {( @/ U. C+ y; M* m- ?3 S
1 w# K! A$ q1 A0 ?/ Y# D0 a/ L
如上图所示, 第一个红框内输入 DA 私钥文件 :
' t9 E' s/ q4 S" I8 m
* y( W' V7 z3 d6 H2 d
+ W) @2 X5 m; Z9 A/ c: c  p/ USTM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Keys\key_1_root.pem,

. T/ J" x, P3 T6 O' k. ^
8 u/ c' Z0 E) k! o" I" ], C' }/ y/ v第二个红模式内输入证书 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Certificates\ cert_root.b64

0 s, ]* ~: M/ ]1 [
" R% _" z* _" Q' w0 G; r然后击点 continue 按键, 然后界面变成如下所示 :
5 R9 i6 \6 V2 E- T, u
9 N: t# H' E# @


! T1 i# d& `0 x  n% b- z
如上图所示, 在左边选择”Full Regression”, 然后再点击 Execute 按键…
8 n& p, j$ u6 U& R2 z. \
% T. n/ l, l- Q! T

( s% |/ l6 s$ h
8 c' C+ V- y: @  F
% c) J' `6 y4 X3 M然后如上图所示, DA 回退成功. 此时,查看 option bytes 值 , product state 已经变成Open(0xED), TZEN 依然使能(TZEN=0xB4) :


' ]7 ~5 v$ y, c5 b, M% Q
2 ^' w; Y/ ?9 E$ i' Y
# M  J$ r' s6 Z! }, J  z
* S+ a9 e3 G% w5 |9 x! o4 ^& K5.2. 关闭 trustzone
如果需要也可以将 TZEN 关闭(TZEN=0xC3, 可直接修改, 这点与U5必须伴随 RDP回退操作不同), 这样芯片就完成恢复成原始状态了.
" ^: X1 ?& n9 h  ^# U; x" k$ N




; _" h8 o. H0 I3 H* b' ~转载自： STM32单片机
! ]3 w. y% W1 g, ^3 A5 f' H: _& d如有侵权请联系删除

( g- r. _" }4 a# r9 L9 K

值得收藏