This thread has been locked.

If you have a related question, please click the "Ask a related question" button in the top right corner. The newly created question will be automatically linked to this question.

[参考译文] AM623:二进制之间的信任链

Guru**** 2535150 points
Other Parts Discussed in Thread: AM623

请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

https://e2e.ti.com/support/processors-group/processors/f/processors-forum/1564653/am623-chain-of-trust-between-binaries

器件型号:AM623


工具/软件:

您好、

我正在使用适用于 AM623 的 Yocto 构建、它会为 HS-SE 和 FS 型号生成 tiboot3 映像。 我有以下问题:

为什么 tispl.bin 和 u-boot.img 没有特定的 HS-SE 构建?

2.信任链如何在这些启动阶段工作?

由于 HS-SE 和 HS-SE FS 器件都使用了相同的 tispl.bin 和 u-boot.img、因此引导过程是否会跳过 FS 上的身份验证?

在 FS 器件上、它能否使用已签名的 tiboot3-hs.bin 映像进行引导?

5.我用两个不同的密钥进行了测试。 一个构建版本可在我的 HS-SE 器件上成功启动、而另一个构建版本(使用不同的 SMPK 密钥签名)则无法启动。 在我的测试中、我只tiboot3-hs.bin从工作编译中获取了文件并使用它来启动器件。 已成功引导。 然后、我tipsl.bin从另一个(不正确)版本加载、并在日志中遇到错误。  您能解释一下这里实际发生了什么吗? 具体来说、这些二进制文件如何确定信任根? 日志附在下面。

U-Boot SPL 2023.04-ti- g2bedcd265ca6 (2024 年 12 月 07 日 — 07:04:35 +0000)
SYSFW ABI:4.0(固件版本 0x000a '10.1.8--v10.01.08 (Fiery Fox)')
SPL 初始栈使用量:13408 字节
它会尝试从 DFU 进行引导
################################################################### 下载...确定
Corl+C 退出
...
TI sci system-controller@44043000:消息 Not nazinedAuthentication failed!
###错误###请重置主板###

此致、

RJ

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    您好、

    所有器件类型映像都是在 U-Boot 构建过程中自动生成的。 对于 HSFS 和 HSSE 器件、`tispl.bin`和` u-boot.img `保持不变。  因此、我们没有为这些映像单独构建。  

    对于 HSSE 器件、` tiboot3.bin `名为`tiboot3-am62x-hs-evm.bin`、不能在 FS 器件上使用。

    我还会将您的其他问题转交给我们的专家。 请期待下周初收到回复。

    此致、

    Suren

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    尊敬的 Suren Porwar:

    感谢您的快速响应! 期待您提供进一步的意见。 如果您有与我的问题相关的任何文档或相关链接、我们也非常感谢您提供的帮助。

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    您好:

    1.为什么 tispl.bin 和 u-boot.img 没有特定的 HS-SE 版本?

    这些图像仅使用 HSSE 密钥签名。 但是、它们也会在 HSFS 器件上启动、因此无需为这些映像进行单独的构建。

    2.信任链如何在这些启动阶段工作?

    https://software-dl.ti.com/processor-sdk-linux/esd/AM64X/11_01_05_03/exports/docs/linux/Foundational_Components_Secure_Boot.html

    3.由于 HS-SE 和 HS-SE FS 器件都使用了相同的 tispl.bin 和 u-boot.img、因此引导过程是否会跳过 FS 上的身份验证?

    是的。 身份验证仅涉及比较 SHA512 哈希值。

    4.在 HS-CCS FS 设备上、它能否使用已签名的 tiboot3-hs.bin 映像进行引导?

    编号 `tiboot3.bin`专为 HSFS 和 HSSE 器件而构建。

    然后、我tipsl.bin从其他(不正确)版本加载、并在日志中遇到错误。  您能解释一下这里实际发生了什么吗?

    这是正常现象、因为映像未使用编程的密钥进行签名、所以身份验证失败。

    https://software-dl.ti.com/tisci/esd/latest/6_topic_user_guides/authentication.html#authentication-sequence

    此致、

    Prashant

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    你好 Prashant、

    感谢您的回答! 我使用 Yocto 版本进行签名。 在编译过程中、custMpk.pem文件被复制到ti/keys/目录中、并且签名会正确进行 、所有内容都按预期运行。

    但是、我想更好地了解整个过程 .pem、从复制文件开始、到如何在二进制文件中附加用于签名的密钥、最后是如何生成 HS-SE 映像。

    能否请您详细说明整个引导签名流程? 非常感谢!

    此致、

    RJ

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    请查看以下内容是否有帮助:

    software-dl.ti.com/.../Foundational_Components_Secure_Boot.html