今天给大家讲述STM32Trust生成加密固件的实战内容。
( |5 ]) @* {! h, T5 j" B7 e- R1回顾STM32Trust

STM32Trust是一套STM32解决方案，提供完整的代码保护和执行保护工具套件，如下图：

: I! I! R4 Q4 J. D& Y1 v$ \今天讲述的就是代码保护中，使用STM32TrustedPackageCreator生成SFI和SMI加密固件。
2加密基础介绍

SFI：Secure Firmware Installation，安全固件安装解决方案。

SMI：Secure Module Install，安全模块安装。

OEM：Original Equipment Manufacturer，原始设备制造商（或原厂）；

' d+ C' G% N! H3 A1 p

SFI格式是由ST公司创建的固件加密格式，它使用带有128位密钥的AES-GCM算法将固件(Elf、Hex、Bin或Srec格式)转换为SFI格式的加密和认证固件。

SMI格式是ST公司创建的一种格式，旨在保护合作伙伴的软件(软件模块和库)。

# t! y3 P3 A! N3 C4 [# `0 A

3安装STM32Trust生成器

STM32TrustedPackageCreator安全包生成器工具属于STM32CubeProgrammer编程工具中的一部分（附加的工具）。

1 b% K: }' C  W( N4 @- z

所以，在安装STM32CubeProgrammer工具时，集成有STM32TrustedPackageCreator这个工具，只是默认不安装，需要手动勾选。

; H5 ~/ F4 [) J. J/ {

打开STM32TrustedPackageCreator工具，在主界面你就会看到一些我们之前说的SFI、SMI、HSM内容。

& Q8 P  U# a( v+ [9 w4SFI固件生成过程

主要过程如下框图，由原厂固件、随机数、密钥，经过STM32TrustedPackageCreator工具加密成SFI格式固件。

; m6 h3 z: @9 h8 E% X生成过程生产主要过程见下图：

在执行AES-GCM加密一个区域之前，我们计算初始化向量(IV)为:

IV = nonce + Area Index

  W0 T7 Y0 @7 D0 c2 O

该工具将固件映像划分为几个加密的部分，这些部分对应于不同的内存区域。

这些附加到相应描述符(由工具生成的未加密的描述性头部)的加密部分称为区域。

$ S8 \% j# D' l  [. S) T

这些领域分不同的类型:

F：固件区域(输入固件中的常规段)M：模块区域(用于SFI-SMI组合图像生成，对应于来自SMI模块的输入)
" O( z6 ]# P8 z+ Q6 z7 @C：配置区域(用于选择字节配置)
! S( z8 v' K- Q) A5 H( T( N8 _$ YP：表示“暂停”区域R：回复区域
# X4 L+ }9 R2 b

区域“P”和“R”并不代表真正的固件区域，而是在SFI映像被分割成几个部分时创建的，这是在SFI映像的全局大小超过用户在创建SFI映像期间预定义的允许RAM大小时的情况。

2 Y  i4 z( C& G: b; }% S3 z

下面RAM大小和CT地址输入用于SFI：

P和R区域与常规SFI区域：

, E! [8 _9 M: t: I此生成过程的最终输出是单个文件，该文件是经过加密和验证的SMI格式固件。SFI格式布局如下：

7 M3 d$ |- k8 g4 B当SFI图像在生成过程中被分割时，“P”和“R”区域出现在SFI图像布局中，如图下图所示：

5SMI固件生成过程

SMI同样是一种加密固件，只是这里面加密的是针对模块和库。

SMI加密过程和SFI有点类似，如下图：

9 `& W1 Y- e5 X/ J  E* Z9 `1 t生成过程
生产主要过程见下图：

AES-GCM加密使用以下输入:

•128位AES加密密钥

•输入nonce作为初始化向量(IV)

•作为附加身份验证数据的安全版本(AAD)

在创建SMI映像文件之前，对SMI映像有效性进行PCROP检查:

•PCROP部分必须在Flash字(256位)上对齐，否则将显示警告

•该区域的大小必须至少为2个Flash单词(512位)，否则将显示警告

•该部分必须在Flash单词边界(256位单词)上结束，否则将显示警告

•如果紧随PCROP部分之后的部分的起始地址与PCROP部分的最后一个Flash单词重叠(在执行PCROP对齐约束之后)，则生成失败并出现错误消息。

如果一切正常，在指定的路径下创建两个输出:

•SMI图像

•Lib数据

SMI格式布局如下：

6总结

现在众多处理器厂家都在推出“安全级别”芯片，其中，软件加密也算一项，本文重点让大家知道这个加密过程。

2 c! B1 e3 q. U4 q, [
转载自：strongerHuang

; j$ \. S) t; ]/ K
) r6 _" l* o$ h& u