01前言
本文档通过一个动手实验, 详细演示了如何在 STM32H563 上运行一个 OEMiROT 的功能. 旨在针对那些 OEM 想自己实现一个基于 STM32H563 上的 iROT 功能而又不知如何开始的开发者.
) h& B5 V+ V& G8 N8 b" {: |
) ], u7 E% y: _6 L2 }02准备工作


! `+ o' b. }4 `
1 {; ~: \) `) r2 L6 S
软件包 : STM32Cube_FW_H5_V1.1.0
7 _7 ]! H& X$ L& L  \

! C) f( X) U6 h7 m: w; i! @工具:
9 P/ W/ C, ?3 T$ J7 y7 o: P• STM32CubeProgrammer v2.14.0
• Tera Term 串口终端显示
• Trust Package Creator(安装 STM32CubeProgrammer 时一并安装, 注意勾选)

, B( \- D6 T* ~, I8 C3 S7 T
IDE: STM32CubeIDE v1.13.0
, E6 c; P) V7 h, V# h% {! _3 |+ d
03烧录 OEMiROT 固件并运行
# {& E+ _8 q' g4 R3.1. 脚本环境配置板编程基础
, z) f9 G5 J1 b: k& E5 y本动手实验基于 STM32CubeH5 固件包, 此包必须位于一个没有中文且没有空格的路径下, 于是我们将此包拷贝到 C:\workspace 目录, 在此包路径 \STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning 目录下有一个 env.bat 文件, 用文本编辑器(如记事本)打开此文件:

- W% L) r) a2 x) H
3 P4 P/ ^" ?, [; o
1 ?2 n0 W2 D: @4 d( u; Z

# [" O/ F  H2 L- f% Z; `- n# L8 S检查上面两行, STM32CubeProgrammer_CLI.exe, 以及 STM32TrustedPackageCreator_CLI.exe 这两个工具的安装路径是否跟你电脑中的安装路径符 合, 如果不符, 则需要进行相应的修改.

' Z  M) L1 l% X& n2 h3.2. 运行 OEMiROT 预配置(provisioning)脚本

再进入到 cube 包下的目录 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEOH563ZI\ROT_Provisioning\OEMiROT 目录下, 有一个名为 provisioning.bat 的脚本, 双击运行它:

% _, i- F1 j' A) g


: j1 I- |$ x4 E; d- p' e# x如上图, 系统会自动打开一个 DOS 命令终端窗口, 在此动手实验过程中, 如无特别说明, 此窗口将一直保持, 我们将通过此窗口的提示信息进行每一步的操作.
' L) N0 M( a' j
" r" q/ u; D# t9 v
4 m) n: ~& [6 k! _; i  V, @$ ~如上图, 信息提示我们打开TrustedPackageCreator 工具, 生成 OEMiROT_Config.obk 文件.

  F5 b2 }& b* j" t2 n3.3. 生成 OEMiROT_Config.obk
打开 TrustedPackageCreator 工具:

2 \6 c' Z& u1 ?# u
7 `8 ~5 e- ~7 B$ Y. n: |
0 L5 f4 A' @/ b8 \- z
7 Y$ m. H. a0 U5 c' b% h0 i  Q, ]- Q
. l9 L6 h% L0 K4 j: c6 b: |如上图, 在最左边 ①处点击 “H5”, 然后在②处选项”OBKey”, 接下来在③处选择STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Config 目录下的 OEMiRoT_Config.xml 文件, 此文件为生成 OEMiROT 对应 obk 文件的配置文档. 然后下面会显示 3 个密钥对, 从上到下分别为 :
• OEMiRoT_Authentication_S.pem: Secure APP 对应的认证密钥(使用公钥)
+ P$ w* r2 _0 |# h5 o• OEMiRoT_Authentication_NS.pem: Non Secure APP 对应的认证密钥(使用公钥)
  f5 g% X0 f3 |. I( S6 s0 z: r• OEMiRoT_Encryption.pem : Secure APP+Non Secure APP 固件加密密钥对应的解包密钥(使用私钥)


! c* [- |2 T) G( f9 Q, ~这三个密钥其实都是成对的, 即公钥私钥对. 位于 Keys 目录下. STM32CubeH5 包下已经自带了默认的密钥对, 如果你不想使用默认的, 则可以点击上图中的4中的 “Regenerate” 重新生成这三个密钥对. 一旦重新生成, 则需要注意保存这三个密钥对.


接下来就要生成 OEMiROT 对应的 obk 文件了, 在右边的输出路径下, 选择一个路径, 比如Binary 目录. 最后点击生成. 则将在 Binary 目录下生成 OEMiRoT_Config.obk 文件.
& K. Y* a( B- k" x& |; o
3.4. 生成 DA 对应的 obk 文件
9 j% \$ r  Z  J, P6 l0 X9 f% [回到脚本终端窗口, 输入回车键 :
- R- V6 S) T) m% U! l
& O, z2 w3 \0 y* k+ m

, O% M, |' O2 Y" Y: e4 |
* _4 O7 L5 l- Q/ D
3 y4 n' I$ B; A! Q4 r如上图, 提示你通过 TPC 工具生成 DA_Config.obk 文件. 有关如何生成 DA_Config.obk 文件,之前已有其它文档讲述, 且 STM32CubeH5 包下STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Binary 此目录中已经有现存的 DA 对应的 obk 文件, 其对应的私钥和证书分别位于上一级目录下的 Keys 目录和 Certificates 目录下, 这些文件均可直接使用, 所以这里不再重复讲述它们的生成过程.

# A7 g. p  }# T, h4 |; |
直接按下回车键..
) w4 D( z" M# r7 {2 T
3.5. 编译 OEMiROT_Boot 工程
5 A  l6 w$ X9 J2 x/ f$ g
- j1 A  m' R( T. W4 W
6 a7 \' Z0 X* k2 t/ Z8 R- Q" J0 f

5 @! u7 P# m( D
如上图, 提示用户打开 OEMiROT_Boot 工程并编译.
+ X' e8 G( ]3 x' h7 g% o+ S9 A+ d. J

; ^  O' ^$ R+ h3 }- V4 l于是用 STM32CubeIDE 打开工程, 路径为: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Boot\STM32CubeIDE 目录下, 编译过后,会在工程下的 Binary 目录下生成 OEMiROT_Boot.bin 文件.
2 S/ _; H/ j) A* J% u, [0 \
% b* j7 o0 V( ^7 I
/ X( ?  q0 {5 h$ q1 f3 Y; }再回到终端窗口按下回车键…
7 u* T9 D0 x+ x6 k+ j: ?7 I
3.6. 编译 OEMiROT_Appli_TrustZone 工程
& d* ]- E+ U+ a' I8 f
0 p- M6 A( A( `7 f1 _+ y4 T用 STM32CubeIDE 打开工程: STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\Applications\ROT\OEMiROT_Appli_TrustZone\STM32CubeIDE

% z5 }, j( K; G1 P1 ^: N8 B
! S% H# H8 [% v) B, h1 {此工程下有两个子工程 :

2 A+ y% O( O" l$ P/ ~5 }: m
/ a4 E- e$ N7 H! w- h! A

如上图所示, 先编译 Secure 工程, 再编译 NonSecure 工程. 编译通过后, postbuild 脚本会在Binary 目录下生成原始 bin 文件和加密后的固件.
1 q2 p+ ^: q. g




原始 bin 文件是用来初始安装的, 而加密后的固件是用来做升级的. 加密和签名过程正是postbuild 脚本来实现的, 其对应的固件加密密钥是此次编译过程中脚本随机产生的密钥. 此密钥会通过 3.3 节中所产生的 OEMiRoT_Encryption.pem 对应的公钥来进行打包并放入 header 中.而签名所用的私钥并正是 3.3 节中所产生的 OEMiRoT_Authentication_S.pem 私钥, 它对应Secure 工程签名, OEMiRoT_Authentication_NS.pem 则对应 Non Secure 工程签名.
3 x1 f8 a+ Z) E% G' i
3.7. 手动生成加密且签名的映像文件(可选)
除了通过 postbuild 脚本来自动生成固件加密且签名的映像文件外, 你也可以通过手动的方式来生成它.如下图, 我们可通过 TPC 手动将原始 bin 文件加密且签名.


' v! Z! c9 ?  |. `


如上图, 打开 TPC, 左边①处选择 “H5”, 然后在②处选择”Image Gen”, 在③处输入配置文件 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images\ OEMiROT_S_Code_Image.xml. 然后在Firmware area size 处保持默认的 0x6000, version :1.0.0, Firmware binary input file 处导入S App 生成的明文固件映像. Image Out File 处即可生成的加密且签名的固件。加密的密钥是随机的, 它通过打包进 header 中, 如之前描述. 这就是手动生成加密且签名的固件映像方法. 由于App 工程的 postbuild 脚本会自动完成, 所以, 这一步骤并不是必须的.

% v# {) H  e" _0 W+ n2 D
此外需要注意地是, 在 STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\OEMiROT\Images 目录下还有其它几个用来手动生成加密签名映像的配置文件, 如下图所示 :
# u6 T2 |+ g; @% W


& O# T0 _! O( s
1 S1 J+ E5 ^) F3 P2 y* F* Y% W通过这几个文件名, 顾名思义, 分别对应着 Secure App 的固件, 数据, NonSecure App 的固件,数据映像, 如果需要手动生成这四种加密且签名的映像文件, 则通过 TPC 手动导入对应的 xml配置文件. 在 Firmware binary input file 输入原始 bin 文件, 在 Image Out File 处输入导出文件, 然后点击 Generate Image, 生成最终的加密且签名的映像文件(如rot_tz_s_app_enc_sign.hex, 或者 rot_tz_ns_app_enc_sign.hex).
/ J$ r$ }$ {& c& l/ w( i" ]  v
3.8. 生成加密签名的数据映像(可选)
9 W0 F0 d5 M- P4 F+ v回到终端窗口按下回车键, 如下所示 :



: p+ b; w) N- ~+ H
8 f5 G5 [; o! ~* ^2 q
$ I) D5 Z! X) I' m提示我们通过 TPC 手动生成加密数据映像. 工程中默认是未定义任何 Data image 的(flash_layout.h 头文件):

' p5 b  W" }5 U( G) U  {+ f

2 f2 F* x0 B8 U8 r$ v
因此, 此步骤默认我们是可以跳过. 如果工程中此宏修改成 1, 则需要手动通过 TPC 来生成加密的数据映像. 方法类似于 3.6 节的手动生成环节, 只不过配置文件换成 xxx_Data_Image.xml.

3 X0 i( Z. d4 X5 m
5 h: y! S! ~, u/ |这一步骤, 我们直接在终端窗口中按下回车键…
& _# R/ I! \0 B; X  N
. ^# v1 r! r1 p- D( T, x- Y
$ V. p- o: S- l4 ~' q
. N6 G& `( B# _' f# e

+ f$ @5 @" ]! a3 U8 K接下来再次提示生成 NS APP 对应的 Data Image, 同理, 在工程中默认宏中是没有配置的, 因此直接按下回车键…

3.9. 预配置(provisioning)
5 M, t1 v/ K  V$ `; J- p; r; s

3 {2 R/ `1 t* V* v0 o5 H8 F4 \
6 d$ D; I# m: F8 S+ p$ x% `
- h) e+ ^8 m5 V7 d' D
: j  R# ~* Y! B4 W- N& b- p. U在做预配置之前, 提示你是否已将 BOOT0 引脚拉低. 确认 NUCLEO-H563ZI 板上的 BOOT0引脚没有连到 VDD(CN4 的 BOT0 引脚未接任何东西即可). 确认后按下回车键…

9 I2 `+ X) b# p/ t, h

4 `  W* F0 _8 U$ ~3 }

/ P" c. Z. |* P如上图, 这此过程中, 脚本会自动烧录 boot, S APP, NS APP 三个 bin 文件, 以及配置 option bytes, 接下来提示你输入芯片最终的 product state, 这里我们输入”CLOSED”…(千万别设置为 LOCKED 状态!)
9 K0 Z$ u  G+ L8 T* C6 |5 p


, A& c, o8 P4 [' K  R9 C
; w' \6 q% \& f
如上图所示, 在此过程中, 脚本会先将芯片的 product state 切换到 provisioning 状态, 然后再做预配置, 这里会预配置 OEMiROT 的 obk 文件,以及 DA 的 obk 文件, 然后最终将芯片的product state 设置为你上一步输入的最终芯片状态. 最后系统提供已完成. 到这一步, 脚本的整个流程结束. 接下来, 我们验证下烧录后的芯片是否工作正常.

8 l* Q' x$ a% ^3.10.检查程序运行状态
打开 Tera Term, 设置串口波特率为 115200 bps, 然后复位板子, 查看打印信息…

! ^5 N+ \8 [, m6 ~6 w* c0 k" {+ o

# V, R% K9 f) a1 h& E* P
) H7 E+ }$ H) @7 t0 @如上图所示, 当打印信息显示 User App #A 时, 表示 NS APP 已经运行成功, 所有程序运行结果均正常!

6 ~$ X/ y2 P: i4 U& s0 [04固件更新
接下来, 我们将演示通过 NS APP 触发程序跳转到内置的 bootloader 中, 并通过串口下载新的加密固件, 复位后并安装它.
6 T8 X9 U  s- A8 Z) N5 |
( M. {+ r1 @2 Y  b( e4.1. 修改代码, 并重新编译工程
( e2 u; i. g# Q# S9 B4 N打开 NS APP 的工程, 在 main.c 文件中将 NS APP 的版本号从 “A”改成”B”:


. x, e7 I( u" J" b4 S/ w" B% K


# R2 u% U/ c% d! y8 m) i" V6 x5 w然后重新编译 NS APP 工程.
8 [- e* |% b6 m# n  M0 D

) w% H6 I( C1 z, d  i- N; e5 C' pPostbuild 脚本将重新生成 S APP 和 NS APP 的加密固件 :

/ p4 L: F: T9 E( H# a# n  L4 u! F0 {



+ t6 b- S) H' B3 u- Y; _% d如上图所示, 这四个文件均将重新生成.


& W0 F7 X5 M( D* e- [4 s& V" k接下来我们将升级 APP 固件.


4.2. 跳转到 loader 程序
( O5 D& m1 I) T. ^. t  w: G
在串口终端中我们输入”1”:


0 V6 B+ A: H4 m1 J
5 ]6 b: t8 u4 _  Z0 }. e8 m
如上图所示, 输入 1 后, 程序跳转到芯片内置的 bootloader 中.
( k8 m4 W+ e+ U# k2 V0 R# v
% X( Z" J* Y" C4 a
6 Y  U; `$ w: Z. Y' G6 n断开 Tera Term 的串口连接 :


& {; l" ]7 l. m$ q

! _6 U- N9 w- o4.3. 通过 STM32CubeProgrammer 下载新固件
& r, B8 r$ i9 R" {; x7 b打开 STM32CubeProgrammer, 并通过串口模式连接芯片:
7 M; M) o; f; q: t* E2 y9 O5 ?8 C2 Z8 h

1 S6 @( z5 r6 C+ L& o, t% |
! {+ l" |0 _. E1 G3 {! z+ j6 r
* q# x) R, B7 [  ]# |+ D将新生成 NS APP 的加密后的固件 rot_tz_ns_app_enc_sign.hex 拖入到STM32CubeProgrammer 中 :
' H* E$ e: a/ C3 s. }
+ ]  b4 q& C: u, F& O) ^



% n6 R! ]; w0 C9 X如上图点击下载.


同样的, 也可以将 S APP 的加密固件 rot_tz_s_app_enc_sign.hex 拖入STM32CubeProgrammer 中并下载 :


& D; {+ U6 k& [7 |; k/ L
/ P2 d) v9 F7 S; u3 g

1 R% }# |& g% S' D. R下载成功后, 断开 STM32CubeProgrammer 的串口连接, 并使 Tera Term 重新连接串口 , 然后再重启 NUCLEO-H563ZI 板, 于是可以看到如下打印信息 :
3 ~$ b. D/ R9 V9 c" P( V  q
# R; e3 T; o# _7 R/ v0 U5 d

8 U. _4 Q0 S* p9 D4 U0 }2 ^8 T

如上图所示, NS APP 的版本打印信息从 “A”已经改成”B”了, 这说明固件(加密且签名的)已经更新成功.
; q+ j! ?9 M+ H) D; _9 Y0 C* s# t
7 F( J6 ^* A: H1 }05还原
5.1. DA 回退
1 s7 P3 X; q/ ^$ E8 ]2 i% M0 h打开 STM32CubeProgrammer, 采用 ST-Link 模式, 在未连接的情况下,在左边选择盾牌图标, 然后再选择”DA”选项卡, 再点 Discover 按键….



/ F9 ~' J) @- ~+ j# I  m8 i  O/ s  y
界面变成如下所示 :
0 Q: U( `8 E$ k
* h3 a1 i1 ]$ m
. W, J: M# [; A
+ Z: y- d, H! {! ?2 z  |

如上图所示, 第一个红框内输入 DA 私钥文件 :

3 S& z: z) t+ G. N: c( C8 o# X
% |0 i6 f+ B4 t2 i# |STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Keys\key_1_root.pem,
1 ~: K+ Z" F, a8 r& m

第二个红模式内输入证书 : STM32Cube_FW_H5_V1.1.0\Projects\NUCLEO-H563ZI\ROT_Provisioning\DA\Certificates\ cert_root.b64


5 r0 `! e3 n8 Z' Q* L) d6 F然后击点 continue 按键, 然后界面变成如下所示 :
1 V7 w5 q( ?0 e( V/ Q8 f9 {$ Q
; i* E  f  B/ J3 N; M+ A

! X) N  W% E; X2 w. {: R  i) C
: D7 r0 ^; P4 x2 c% g  u
如上图所示, 在左边选择”Full Regression”, 然后再点击 Execute 按键…
$ v" Q4 h8 a9 m9 i3 `9 N' I$ t
* L8 G3 V4 A, S; Q
. f4 K4 C4 \8 l8 }; ]8 ^


然后如上图所示, DA 回退成功. 此时,查看 option bytes 值 , product state 已经变成Open(0xED), TZEN 依然使能(TZEN=0xB4) :
5 m; O" |. C( k$ A7 V; r



* o' d4 r$ x+ S1 [# |7 T
5.2. 关闭 trustzone
3 B+ z; Y% v" A# k- ?% {如果需要也可以将 TZEN 关闭(TZEN=0xC3, 可直接修改, 这点与U5必须伴随 RDP回退操作不同), 这样芯片就完成恢复成原始状态了.
$ H5 X& o. Y  V



+ f. K' y! z3 Y  Z
) u; Q6 v* Y7 l) H转载自： STM32单片机
如有侵权请联系删除

值得收藏