01前言
本文档通过一个动手实验, 详细演示了如何在 STM32H563 上运行一个 OEMiROT 的功能. 旨在针对那些 OEM 想自己实现一个基于 STM32H563 上的 iROT 功能而又不知如何开始的开发者.
3 U9 T1 i: w. p
3 K0 o: |- m) E* ~4 |4 Q02准备工作

$ C  u; G6 H! ^" L2 U, G0 v


软件包 : STM32Cube_FW_H5_V1.1.0

6 T/ \/ p: B0 }! F7 {
工具:
• STM32CubeProgrammer v2.14.0
1 _+ H, `3 J' k3 ]• Tera Term 串口终端显示
• Trust Package Creator(安装 STM32CubeProgrammer 时一并安装, 注意勾选)
9 l. J' r, m7 i5 D  @6 p
# |5 b% C* b) {2 t& _# v* X
; i* F* r4 ^1 \. R7 @9 P% B2 G: cIDE: STM32CubeIDE v1.13.0
  j9 v$ N: b; f  P& d5 y' S  u. x
4 w1 k5 u) v2 |- \# R, f3 k$ y+ j03烧录 OEMiROT 固件并运行
3.1. 脚本环境配置板编程基础
( g8 [7 ?" s4 O* D% h本动手实验基于 STM32CubeH5 固件包, 此包必须位于一个没有中文且没有空格的路径下, 于是我们将此包拷贝到 C:\workspace 目录, 在此包路径 \STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning 目录下有一个 env.bat 文件, 用文本编辑器(如记事本)打开此文件:
1 t' p9 h, o( D9 ~
. G, b" S( \0 t4 k# w
4 [# V( F9 m- ~+ |
1 [; S% g# F! e/ a5 Y* A+ M

检查上面两行, STM32CubeProgrammer_CLI.exe, 以及 STM32TrustedPackageCreator_CLI.exe 这两个工具的安装路径是否跟你电脑中的安装路径符 合, 如果不符, 则需要进行相应的修改.

8 p' A; }( v0 d* o. H" u3.2. 运行 OEMiROT 预配置(provisioning)脚本

1 c1 g) }% j  f5 \6 q5 D7 ?再进入到 cube 包下的目录 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEOH563ZI\ROT_Provisioning\OEMiROT 目录下, 有一个名为 provisioning.bat 的脚本, 双击运行它:
2 s7 s7 `% ?7 Q% G2 Z; \. l; d

) Y, X! M1 M0 H0 i# b- y* f
2 n2 O/ @: H1 V! J# q" w
. I2 R2 i# N1 a1 x如上图, 系统会自动打开一个 DOS 命令终端窗口, 在此动手实验过程中, 如无特别说明, 此窗口将一直保持, 我们将通过此窗口的提示信息进行每一步的操作.
* }. `3 ]1 d% J$ ^

0 S# b- Q8 I7 ]) d0 L如上图, 信息提示我们打开TrustedPackageCreator 工具, 生成 OEMiROT_Config.obk 文件.
  T/ X+ G4 F. {- I
3.3. 生成 OEMiROT_Config.obk
5 p1 [# Z8 g9 h& m, [1 o打开 TrustedPackageCreator 工具:

4 c, Q2 D* b, a+ e$ b



- f/ _9 r' ~  H% A  Z如上图, 在最左边 ①处点击 “H5”, 然后在②处选项”OBKey”, 接下来在③处选择STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Config 目录下的 OEMiRoT_Config.xml 文件, 此文件为生成 OEMiROT 对应 obk 文件的配置文档. 然后下面会显示 3 个密钥对, 从上到下分别为 :
: I/ [" W& l8 A: Q* k• OEMiRoT_Authentication_S.pem: Secure APP 对应的认证密钥(使用公钥)
% `5 N( \: A# j7 t+ t3 m" s3 [9 Q• OEMiRoT_Authentication_NS.pem: Non Secure APP 对应的认证密钥(使用公钥)
• OEMiRoT_Encryption.pem : Secure APP+Non Secure APP 固件加密密钥对应的解包密钥(使用私钥)
$ ?2 O+ [& t' p) k

. H5 ]( i  ~9 l+ x# g. b6 L这三个密钥其实都是成对的, 即公钥私钥对. 位于 Keys 目录下. STM32CubeH5 包下已经自带了默认的密钥对, 如果你不想使用默认的, 则可以点击上图中的4中的 “Regenerate” 重新生成这三个密钥对. 一旦重新生成, 则需要注意保存这三个密钥对.


接下来就要生成 OEMiROT 对应的 obk 文件了, 在右边的输出路径下, 选择一个路径, 比如Binary 目录. 最后点击生成. 则将在 Binary 目录下生成 OEMiRoT_Config.obk 文件.

3.4. 生成 DA 对应的 obk 文件
回到脚本终端窗口, 输入回车键 :
" t" c2 v/ ~( ]. l

& k' U; p; ?; e4 `9 v& u
! {8 X) T- B+ o7 t, K) J
4 t$ O- Y- p$ Y+ P: ~, B
& F1 o0 T9 Y  Y  A如上图, 提示你通过 TPC 工具生成 DA_Config.obk 文件. 有关如何生成 DA_Config.obk 文件,之前已有其它文档讲述, 且 STM32CubeH5 包下STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Binary 此目录中已经有现存的 DA 对应的 obk 文件, 其对应的私钥和证书分别位于上一级目录下的 Keys 目录和 Certificates 目录下, 这些文件均可直接使用, 所以这里不再重复讲述它们的生成过程.
- ?& d" {# H# d; I5 q3 w0 |7 f
% G; o, Z5 F' x0 X% P
直接按下回车键..

3.5. 编译 OEMiROT_Boot 工程





如上图, 提示用户打开 OEMiROT_Boot 工程并编译.

: c+ K% t0 z. s& p( z- L
于是用 STM32CubeIDE 打开工程, 路径为: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Boot\STM32CubeIDE 目录下, 编译过后,会在工程下的 Binary 目录下生成 OEMiROT_Boot.bin 文件.

" b+ h6 O# g2 H. C$ X
再回到终端窗口按下回车键…
  p% k" v* m- c$ M4 V7 i2 z0 Z
+ G1 k. \& x/ p4 L+ O3 }3.6. 编译 OEMiROT_Appli_TrustZone 工程

用 STM32CubeIDE 打开工程: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Appli_TrustZone\STM32CubeIDE

3 \- p; H: G* x& n# i6 n3 q
此工程下有两个子工程 :


7 X/ A1 ~) n: n# W

如上图所示, 先编译 Secure 工程, 再编译 NonSecure 工程. 编译通过后, postbuild 脚本会在Binary 目录下生成原始 bin 文件和加密后的固件.
/ H+ u5 V9 k( S' j7 {" O) j3 l
* Z' O: A1 O: ]. m, L
+ u! U9 y7 S, o) E/ c' Q
  d3 i. w5 n, p; d" t: x- ?. r
& x2 q* ?" e4 S" f" S9 g
( z& r1 ]% ?2 m4 R  J- e% n& S原始 bin 文件是用来初始安装的, 而加密后的固件是用来做升级的. 加密和签名过程正是postbuild 脚本来实现的, 其对应的固件加密密钥是此次编译过程中脚本随机产生的密钥. 此密钥会通过 3.3 节中所产生的 OEMiRoT_Encryption.pem 对应的公钥来进行打包并放入 header 中.而签名所用的私钥并正是 3.3 节中所产生的 OEMiRoT_Authentication_S.pem 私钥, 它对应Secure 工程签名, OEMiRoT_Authentication_NS.pem 则对应 Non Secure 工程签名.
4 x6 Y4 F8 L7 H' w
$ m2 g" H- @; I& |) Q: Z3.7. 手动生成加密且签名的映像文件(可选)
除了通过 postbuild 脚本来自动生成固件加密且签名的映像文件外, 你也可以通过手动的方式来生成它.如下图, 我们可通过 TPC 手动将原始 bin 文件加密且签名.
5 ], x; u) f/ B; m" h* H
/ z  m/ G! M- r
' h# ?/ W7 K% F6 g
. `4 E7 z! i$ W7 d' @) A
+ Q3 q2 X' I/ T
如上图, 打开 TPC, 左边①处选择 “H5”, 然后在②处选择”Image Gen”, 在③处输入配置文件 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images\ OEMiROT_S_Code_Image.xml. 然后在Firmware area size 处保持默认的 0x6000, version :1.0.0, Firmware binary input file 处导入S App 生成的明文固件映像. Image Out File 处即可生成的加密且签名的固件。加密的密钥是随机的, 它通过打包进 header 中, 如之前描述. 这就是手动生成加密且签名的固件映像方法. 由于App 工程的 postbuild 脚本会自动完成, 所以, 这一步骤并不是必须的.

, ~8 ^1 V, C/ i& Z
6 ~* ?3 s, V$ q/ e5 d! N7 L此外需要注意地是, 在 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images 目录下还有其它几个用来手动生成加密签名映像的配置文件, 如下图所示 :


( e( c! `4 D  N9 t- K. W, `

通过这几个文件名, 顾名思义, 分别对应着 Secure App 的固件, 数据, NonSecure App 的固件,数据映像, 如果需要手动生成这四种加密且签名的映像文件, 则通过 TPC 手动导入对应的 xml配置文件. 在 Firmware binary input file 输入原始 bin 文件, 在 Image Out File 处输入导出文件, 然后点击 Generate Image, 生成最终的加密且签名的映像文件(如rot_tz_s_app_enc_sign.hex, 或者 rot_tz_ns_app_enc_sign.hex).

( x- P1 o# h, s6 m5 m* C5 u( p3.8. 生成加密签名的数据映像(可选)
回到终端窗口按下回车键, 如下所示 :




+ z) N$ e1 f6 d7 N& s7 {  Y
提示我们通过 TPC 手动生成加密数据映像. 工程中默认是未定义任何 Data image 的(flash_layout.h 头文件):
. L# y( [1 M0 \  H
0 j' e& X' b/ e/ ^  m3 R; M
9 e; L1 f9 e( }, b

& K- h, r/ t# u; x$ l5 S+ a8 w- ~% @$ w因此, 此步骤默认我们是可以跳过. 如果工程中此宏修改成 1, 则需要手动通过 TPC 来生成加密的数据映像. 方法类似于 3.6 节的手动生成环节, 只不过配置文件换成 xxx_Data_Image.xml.

4 ^# @' {! J1 x2 ?* K9 m: O5 l. `
这一步骤, 我们直接在终端窗口中按下回车键…

9 M' q$ _# b. {" \8 y



& Y, D" O4 Z9 ~3 H% Q  a* J接下来再次提示生成 NS APP 对应的 Data Image, 同理, 在工程中默认宏中是没有配置的, 因此直接按下回车键…
& Y+ i7 O1 p+ F: L
8 W1 M4 I7 k0 @& j  J3.9. 预配置(provisioning)




$ h4 U  X# {) Z9 A  Z; P
& D6 Z9 t& Y+ x1 a; `在做预配置之前, 提示你是否已将 BOOT0 引脚拉低. 确认 NUCLEO-H563ZI 板上的 BOOT0引脚没有连到 VDD(CN4 的 BOT0 引脚未接任何东西即可). 确认后按下回车键…

0 M$ v* a  ]8 b+ G/ ^5 S+ `1 `4 V


3 D$ G9 Y' h: l: Y8 B* _
. w8 ^- K5 c+ r1 `( R* h如上图, 这此过程中, 脚本会自动烧录 boot, S APP, NS APP 三个 bin 文件, 以及配置 option bytes, 接下来提示你输入芯片最终的 product state, 这里我们输入”CLOSED”…(千万别设置为 LOCKED 状态!)


% I7 A7 b% U1 T. @
. H% i( `6 a& \7 }' f. S0 ]$ m" ^
$ `' e" \" v  r3 r; G. G3 Q- ~) `! k9 ]
如上图所示, 在此过程中, 脚本会先将芯片的 product state 切换到 provisioning 状态, 然后再做预配置, 这里会预配置 OEMiROT 的 obk 文件,以及 DA 的 obk 文件, 然后最终将芯片的product state 设置为你上一步输入的最终芯片状态. 最后系统提供已完成. 到这一步, 脚本的整个流程结束. 接下来, 我们验证下烧录后的芯片是否工作正常.
% y2 M" E- [$ a
3.10.检查程序运行状态
打开 Tera Term, 设置串口波特率为 115200 bps, 然后复位板子, 查看打印信息…

! A+ m9 O2 j: x7 w* @

* L# Q* E$ m6 w+ O! p/ ^% }
如上图所示, 当打印信息显示 User App #A 时, 表示 NS APP 已经运行成功, 所有程序运行结果均正常!

% R4 q# E; k0 d6 X: h04固件更新
! E  O$ V/ ?* |接下来, 我们将演示通过 NS APP 触发程序跳转到内置的 bootloader 中, 并通过串口下载新的加密固件, 复位后并安装它.
8 ?* V& M; j; Q
9 R$ @: ^2 @' T( x/ Y4.1. 修改代码, 并重新编译工程
打开 NS APP 的工程, 在 main.c 文件中将 NS APP 的版本号从 “A”改成”B”:


: w  M* I- }5 N, Y# N1 R

1 K, V4 r5 G: [  \
( z4 w5 v  o& C* G然后重新编译 NS APP 工程.


1 b  U3 @/ s  F- u0 G  l6 gPostbuild 脚本将重新生成 S APP 和 NS APP 的加密固件 :

, L0 h) r% l" k- B; r

/ F! u# f8 ^$ m" O% y

. f0 Z  l8 v0 m3 l如上图所示, 这四个文件均将重新生成.

% t: w6 Y% h! n& `
1 G' _2 J, i9 _% {, d8 `接下来我们将升级 APP 固件.


4.2. 跳转到 loader 程序

9 t8 J& h' P) W/ h' W2 L在串口终端中我们输入”1”:

3 O$ s/ Q9 o$ K
: U" u5 h* e/ n1 y7 |
% x% d$ s7 _% k
如上图所示, 输入 1 后, 程序跳转到芯片内置的 bootloader 中.
% I& i- B  `: x3 u' ?$ k) ]  r
# t/ g5 {* K7 t5 Y/ R+ r
断开 Tera Term 的串口连接 :

" Q) O5 ?  w( k9 _( B0 O1 C

* k" X$ z- B; K! B8 v1 Y
4.3. 通过 STM32CubeProgrammer 下载新固件
打开 STM32CubeProgrammer, 并通过串口模式连接芯片:
% E# j; s; _# L9 J5 {& }2 R2 m



将新生成 NS APP 的加密后的固件 rot_tz_ns_app_enc_sign.hex 拖入到STM32CubeProgrammer 中 :
$ b8 x; m# t# @4 b) ?! M




( U8 J5 z- O9 t) l5 o9 Q如上图点击下载.

. ?2 p5 F% _( c. s. M* A3 q: r" E
' I& ^% x8 O) y1 P1 _% d/ u同样的, 也可以将 S APP 的加密固件 rot_tz_s_app_enc_sign.hex 拖入STM32CubeProgrammer 中并下载 :


! h& }4 |" e: j# e1 n& ]) w
  q7 w! m/ V! V9 ~" W' x
7 @3 p' [- l; R8 S1 O" N( e
下载成功后, 断开 STM32CubeProgrammer 的串口连接, 并使 Tera Term 重新连接串口 , 然后再重启 NUCLEO-H563ZI 板, 于是可以看到如下打印信息 :
& Z/ v' \' l2 s! T- @+ Q
. W$ L1 b3 Y+ E' [+ H



$ J8 Q8 q$ a) P. ]9 p6 [! x. x如上图所示, NS APP 的版本打印信息从 “A”已经改成”B”了, 这说明固件(加密且签名的)已经更新成功.

5 F5 H# Y+ D% s" C  A05还原
6 a3 `  [* B+ T! z; Y5.1. DA 回退
% k5 Z( h  G1 a' E4 ^; `打开 STM32CubeProgrammer, 采用 ST-Link 模式, 在未连接的情况下,在左边选择盾牌图标, 然后再选择”DA”选项卡, 再点 Discover 按键….

4 y7 g6 Z2 U8 t9 ~


& L' x3 c( }4 I# ^1 A" B界面变成如下所示 :

; {( J* q( t0 w4 x( o) @1 O; w
$ d8 ^0 v5 ~: z3 l* f; e
& b/ ?  R' l/ ~4 g% Y1 `
- [! z: q/ x% ^5 a; j4 k1 Z
如上图所示, 第一个红框内输入 DA 私钥文件 :


STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Keys\key_1_root.pem,

6 P8 O# T5 k, W6 r
- G( Q0 |: Q1 }! u+ R3 w2 ~第二个红模式内输入证书 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Certificates\ cert_root.b64
8 c, k( p% @8 m7 W3 D3 T

然后击点 continue 按键, 然后界面变成如下所示 :

) K) ~. J. d9 e% i0 W* y# ^
- f  l- M/ |  ^% x+ x2 s0 H
3 y# \# O% l4 \" V5 Z  V) D

* @, x$ T. |# h9 Q如上图所示, 在左边选择”Full Regression”, 然后再点击 Execute 按键…




( F2 S6 v& r5 C* b
2 n6 U  ~2 y/ o" x$ r+ X* _! v然后如上图所示, DA 回退成功. 此时,查看 option bytes 值 , product state 已经变成Open(0xED), TZEN 依然使能(TZEN=0xB4) :

' N, g; |1 U/ I9 c

  h6 b* A+ r+ s1 ~
6 L+ t. i8 w' A
5.2. 关闭 trustzone
, Z8 Q# @: g8 C% |: M! D如果需要也可以将 TZEN 关闭(TZEN=0xC3, 可直接修改, 这点与U5必须伴随 RDP回退操作不同), 这样芯片就完成恢复成原始状态了.





转载自： STM32单片机
如有侵权请联系删除


! N7 G# j7 J( W/ _' o

值得收藏