你的浏览器版本过低,可能导致网站不能正常访问!
为了你能正常使用网站功能,请使用这些浏览器。

《STM32MPU安全启动》②MP15从BootRom启动FSBL(TF-A BL2)

[复制链接]
小萝卜啦啦啦 发布时间:2024-11-30 19:25
BootRom启动FSBL(TF-A BL2)是MP15启动的第一次跳转,对应到第一篇文章的这个图8 C* n- L: ?0 K2 _, D
5.png
" q, t$ `7 s% |, a
我是按从头到尾的流程来写的,和官方视频会有一些差异

% b% {) ]  M! {0 O
; n( w" @5 v, \/ m3 k- ^9 P
一、第一步:生成秘钥对

0 H" \2 X5 c/ G
首先说一下官方是提供了PC端上位机工具的(名字叫KeyGen_tool,这个工具在STM32CubeProgrammer是自带的),其中加密方式使用ECDSA 256加密算法,椭圆曲线提供P-256 NIST、Brainpool 256 T1这两种,我们可以自行选择
' v, ?1 ?6 T1 {/ T1 I2 d
. p* H" X) Y8 ?& C
我们需要在PC上生成PB key和PV key,最后我们还要计算PB key的hash值(简称PKH)(使用SHA-256计算hash)

' D6 m6 @9 O$ ?7 y
' j( b+ x# M8 M9 q" _. X
使用ST的工具生成的话,PKH是直接提供二进制的文件,这样我们就不需要自己再做转换了,下一步的烧录可以直接用

5 c6 I. k$ n8 \/ f
  \% {0 q: r/ U1 F: p5 t' f
6.png

/ u- m; G# c# m$ N- \' d
具体如何使用KeyGen,我这边就不赘述了,大家看下面这个视频
! B- Z* e- m* V
[media=x,500,375]【【STM32MPU 安全启动线上课程】2.1.2 MP15x SecureBootROM 如何使能】 【精准空降到 03:14】 https://www.bilibili.com/video/B ... 43b6b7afd3cc3&t=194[/media]
$ U4 z+ b  {8 x

! n2 p( C& k2 [' _# L9 C( a4 |! n$ k
二、第二步:编程OTP区数据
8 o5 N8 Q9 G8 W' y6 g/ p1 b) G
刚才第一步生成了一个PKH,他是要被写入到芯片的OTP中的,存放到OTP的第24-31字中
4 ?9 `* x5 M! B9 c# w
具体如何写入的操作这里就不展开了,可以看一下这个视频
, S. w/ c) R- G; S
[media=x,500,375]【【STM32MPU 安全启动线上课程】2.1.2 MP15x SecureBootROM 如何使能】 【精准空降到 07:02】 https://www.bilibili.com/video/B ... 43b6b7afd3cc3&t=422[/media]

! w4 R9 h* _% |8 o( N5 D
2 J' o0 J) N/ M) D" a4 N% {
这边我就简述一下有几种方法:

4 E- a, G! h& a* h' @$ [
方法1:使用STM32CubeProgrammer写入,可以使用命令行 或 GUI界面(作为开发人员,在开发阶段我首选就是GUI)

" S% B: Y1 @/ r  |: T  V/ v# _! E
方法2:使用U-Boot,可以使用stm32key command 或 fuse command
8 q5 s& e) Y1 p" a3 V
方法3:SSP(Secure Secret Provisioning),这是给代工厂生产时使用的,主要目的时实现在不安全的环境中安全的烧录这些敏感的数据到OTP中,他本质也是一些加密算法和加密硬件(ST有一个类似于身份认证的卡片,用于实现验证),对需要写入的数据做加解密,这样工厂就只能看到加密后的密文,解密后的明文都在ST的工具中执行,是一个黑盒,第三方是无法知道的,这样来实现安全烧录。对这个感兴趣的可以看一下这个视频

. W( K$ j& P3 L" r! A5 w( q
[media=x,500,375]【【STM32MPU 安全启动线上课程】2.4 OTP安全烧录介绍】 https://www.bilibili.com/video/B ... 8fc87a43b6b7afd3cc3[/media]
$ X! z1 r, Q- V1 ^
( ~8 Z: r. U6 V. [: Z' y
三、第三步:对TF-A固件签名

# W8 B1 p( d6 Z) u' D& @' m* {
ST也提供了签名用的工具,我们只需要把TF-A的固件、PV Key提供给工具就好,工具会使用PV Key对TF-A固件进行加密计算(加密方式就是我们之前说的ECDSA 256加密算法,2种椭圆曲线自己选择),这样得到的结果就是签名的结果了,可以放到header中。

0 F8 ?& p9 I/ q) [; g' g, _+ O" t" O% t  m& E& F
最终你会得到一个经过签名的TF-A固件(他就=header信息+原来的TF-A固件)

: p5 f% U$ W8 H
8 A# A; a/ ^4 Y" `, E6 N+ o- a
当然header里面还会有其他东西,下图是整各header的内容,可以做一些了解,但我这边不会详细展开
- E# @; y* u! r5 k$ k  }% d
7.png
/ g; y& p8 l8 i& _. a& H
我们重点需要知道的是header里会储存PB Key(表中的ECDSA public key)、签名信息(表中的Image signature)、椭圆曲线(表中的ECDSA algorithm)
) `; V  s# O8 L; u, \! ^+ H5 A
8.png
2 F7 s2 i) C0 x3 l
还有一个Version number,这个也很重要,是用于防回滚的,我会在下面章节说这个,这里就不说了
4 R9 N5 _5 c' X
+ S- Y, c9 U/ N2 T6 ^
四、第四步:close device(非必选)
# v/ k1 Y* Z! \. _- Q6 z: f. u
什么是close device?

2 s+ r) M" @8 G7 Y) l
要解释这个东西,我们就要了解一下STM32MP15的Product Life Cycle,它覆盖了一个试用MP15的产品从开发、生产、市场问题排查三个阶段,下图为他的状态流程

% x: y* Y5 x; z3 H9 g$ s
9.png
' ~9 E& l/ H0 A4 ~5 e' c
我们就看C/F系列产品就好,其他系列都不支持安全启动,那也就没有close device这个操作了
4 U- l9 h3 H% w  V' E
( [2 \5 I# L+ R' r
UNDER_PROVISIONING状态时SSP时会经历的,我们开发阶段可以忽略

/ |. L9 a. B- d& ?  g' g' m
/ u' T3 j  L  F' G: m1 f- J0 U$ H
那么对于我们开发来说就只有3种状态了:LOCK、UNLOCK、RMA

/ }1 Z2 U0 m- G/ l  q$ d5 k' q% @; m# r/ f. h7 k; G) V
接下来我就描述一下这3种状态的具体含义
; H5 K6 j2 [+ _2 \, j
1.UNLOCK:出厂的默认状态,当产品为这个状态时,安全启动的业务都会执行,但是即使固件校验不通过,也会启动下一级的固件,可以用于早期调试阶段,这样旧不用每次都对固件签名,节省工作量

; R8 V" B2 Q3 ?& \
2:LOCK:UNLOCK的设备可以经过close device变成LOCK状态,在这个状态下会严格执行安全启动业务,校验不通过,就不会执行下一级的固件,并且各种调试接口都会被关闭。这个一般就是在生产阶段做的,生产好后的产品都是LOCK状态

9 q4 r* E! E* K
3:RMA:用于处理市场问题时使用,刚才说了LOCK阶段所有调试都会关闭,那么有问题的产品回来后,研发人员如何排查问题呢?RMA状态就是在这个时候用的,我们可以使用密码,让固件进入RMA状态,此时我们就可以使用JTAG调试了

* h5 }  _' u& m, M  [: f& f
11.png

4 J$ k" }: h- ^/ ^; ?5 U" U
还有一张图展示这三者的关系,虽然名字换成了open与close,但是是同一个意思

% p7 g* a3 X( i5 \9 h0 {9 h3 Z3 `) n# F
10.png

+ |5 k8 V& L( }$ v5 f, |
, C  n9 N2 q# ?. R
设备当前是否为open或close,是根据OTP中的一个flag来决定的,也就是说,我们close device的这个动作的本质就是往OTP中写入一个数据(图里也说了,如果OTP中没有数据的话,并且在没有干扰或错误的情况下完成了初始化OTP,设备就会处于open状态,这就是刚才说的出厂默认为UNLOCKJ)
7 I) W; a. ~/ E3 A  E

0 N6 |+ ]8 W2 U  b
五、第五步:运行时如何验证

; q$ A2 c% V& m' ~1 C3 V( L: n
简单流程如下图所示
+ }8 Y0 b. i7 g! v2 K; g2 ~
2.png
) h1 e! z' [1 t4 Z! y; m. y
1.上电后运行ROM Code,也就是BootRom,当要跳转到TF-A时,他会先加载FT-F的分区(这里面有2个东西,一个是TF-A固件代码,还有一个是TF-A的header,这个就是完成签名后的固件)
( q* j( b# g( A- _
3.png

$ e) B* _1 l' J: s
2.在芯片的OTP区中有PB key的hash值,还有一个version(这个用于防回滚,配合header中Version number实现的,他的具体机制后面会讲)

( I: n; R) D8 F0 t- c! `4 f
4.png

) h3 E$ t6 W& e3 X0 |
3.

2 C: \- K* [5 s7 ~# y
3.1 验证PB Key是否有效
2 O6 m4 T' R" F8 R# b( D
        在header中有一个信息就是PB key,可以算出他的hash值,现在我们就可以用OTP中的hash值和header中的做个对比,看看是否一致,验证PB key是否有效。

9 N3 ?: y& s/ [
3.2 验证image是否有效

2 D7 a8 t' T" `, X  @) A6 ]1 x
        如果PB Key有效,就可以开始验证TF-A固件,用PB key对TF-A固件代码进行ECDAS 256计算,和header中的Image signature作对比,验证固件是否被篡改(当然,如果设备为UNLOCK,即使验证失败,固件也会被启动)
2 y6 q, p2 T; i" M+ o
3.3 防回滚机制
7 B( M# c) \7 F  p& Z" v% E
        下面有防回滚机制,这里不展开说

% g; X( S# M& r+ t3 `: A0 N
5.png
& y- q/ i& P5 |. ~5 s& M9 B$ h

. r9 f+ l: W& _  p" x: u, q% [
六、防回滚机制

1 ]# t* Z* a) a
刚才说了在OTP中会有一个version,TF-A的固件中也有一个version,他俩配合实现防回滚

5 t) u  @1 N2 s) c  Y6 O2 F" K9 r6 `  H
其中OTP的是一个单向计数器,也就是说这玩意儿他只能++,看了一下header中的version,有32bit,也足够大,不管怎么++,也肯定够用了
/ x& |) W+ g  A1 C6 \! \

/ m1 ?; s6 w0 K8 O
当OTP中的version比header里的高,那么这个固件就不会被启动,这就是触发了防回滚的机制

& n: O* P; o9 p/ R
- n' t3 a! g4 E" G
如果我想退回到旧版本的固件应该怎么办?可以重新生成一个新的带签名的固件,但是header中的version写大一点,比OTP中的大,这样就可以达到目的啦
. L  R- t9 s7 a, d) A
$ \/ n$ O$ L9 k) d$ @
七、疑问与思考
. O* b5 t! M. E* S9 l
0 ~( }, H! Z/ F3 @: T  p+ N
这里我有几个疑问' _" c* s; I, h( D, M0 ?
1:既然保存在OTP中的UNLOCK与LOCK判定相关的数据这么重要,那么在LOCK后,我们应该是无法再次改写OTP了(这不是废话吗,这么明显的漏洞ST肯定堵住了),我想知道ST是否还做了其他的保护措施,例如给芯片一些干扰,让他读取到错误数据后,是否会阴差阳错的进入到UNLOCK状态?还有我直接磨芯片是否可以实现篡改OTP数据实现攻击?(有些产品使用单片机,会把关键数据储存到片内flash,有些攻击就是直接磨芯片,飞线直接读写flash)
% @  `% g! L6 T) `4 }2.LOCK与RMA之间relock最多就3次?为什么要这样设计?超过3次就永远锁死芯片?万一有一些玄学问题,需要反复LOCK与RMA之间切换该怎么办?) h. d, e, \' @5 M0 w+ p# u
3.如果我header中的version不小心写成了0xFFFFFFFF,是不是这颗芯片就废了?因为OTP中的version无法再++了
+ \; C" y! C' T( v$ I4.OTP中的version是在什么时候增加的?是当TF=A固件成功运行后,直接把OTP中的version加到和header中的version一致?5 o2 V# L/ m1 k) {/ h
5。我如果生成新的TF-A固件,但是header中的version还是和上一个可以正常运行的固件的版本一样,那设备会怎么样呢?会正常启动吗?还是说有一些什么其他机制来做判断1 t% a4 u8 D8 F- h

3 s/ q) H. r" ?) x8 M' X5 m" i" _' p7 V3 m
+ a8 I: x/ x; u) v0 c
% E  N2 Z1 e. A
收藏 评论0 发布时间:2024-11-30 19:25

举报

0个回答
关于
我们是谁
投资者关系
意法半导体可持续发展举措
创新与技术
意法半导体官网
联系我们
联系ST分支机构
寻找销售人员和分销渠道
社区
媒体中心
活动与培训
隐私策略
隐私策略
Cookies管理
行使您的权利
官方最新发布
STM32N6 AI生态系统
STM32MCU,MPU高性能GUI
ST ACEPACK电源模块
意法半导体生物传感器
STM32Cube扩展软件包
关注我们
st-img 微信公众号
st-img 手机版