[FAQ] [参考译文] 【常见问题解答】如何在 AM6x SoC 上引导 ECDSA 密钥且已签名的 Linux SDK

1. OTP Keywriter
-它在出厂时用于在 HS-ROT FS（高安全性-现场安全）器件上对用户的安全 ROT 密钥、密钥版本和密钥计数进行编程
- FS 一旦在 FS 上对密钥版本和密钥计数进行编程、HS-SE（高安全性-强制安全型）即会转换为 HS-SE

2.从 AM62x 安全资源门户下载 AM62P OTP Keywriter
https://dr-download.ti.com/authenticated/secure/software-development/application-software-framework/MD-W5I8h4voaD/09.01.00.05/otp_keywriter_am62px_11_01_00-linux-x64-installer.run?
-门户是访问受控的,并通过链接发送访问 AM62x 安全资源门户的请求
https://www.ti.com/drr/opn/AM62X-RESTRICTED-SECURITY

下面列出了使用“/gen_keywr_cert.sh..."命令“命令生成密钥证书以对 ECDSA 密钥进行编程而不是对 RSA 密钥进行编程时的具体更改。 有关详细信息、请参阅 AM62P OTP Keywriter 用户指南。
-更改 SMPK/BMPK 的路径以指向 ECDSA 密钥
-添加“-s-type EC“或“-b-type EC“标志

我将从单触发 (SMPK/SMEK/BMPK/BMEK/MSV/KEY_CT/KEY_REV) 密钥编程中附加两个日志文件 FS 、使用 AM62P SR 1.2 (HS-SE) 上的 TI 测试密钥集进行编程、以将 HS-SE 转换 FS 为 HS-SE。
- am62p_ec_kw_wr_r5.log：r5 log
- am62p_ec_kw_wr_m4.log: m4 log

AM62P Linux SDK 更改
-将“CustMpk.pem/custMpk.key/custMpk.crt"复制“复制到“$u-boot/arch/arm/mach-k3/keys/"，“，其中、其中“custMpk.pem"是“是具有“secp384r1"曲线“曲线的 TI 测试 ECDSA 密钥、并生成“CustMpk.key/custMpk.crt"</s>“

cp -p custMpk.pem custMpk.key
openssl req -batch -new -x509 -key custMpk.key -out custMpk.crt

-按照 SDK 用户指南中的说明构建/签名 u-boot
https://software-dl.ti.com/processor-sdk-linux/esd/AM62PX/11_02_08_02/exports/docs/linux/Foundational_Components /U-Boot/LCD BG-Build-K3.html

我将连接 SMPK-H 日志 (ec_smpk-h_se.log)、该日志从“tiboot3-am62px-hs-evm.bin"解“解析。 解析的 SMPK-H 与从 OTP 密钥编程中捕获的 M4 日志相匹配

openssl x509 -inform der -in tiboot3-am62px-hs-evm.bin -pubkey -noout > ec_pubkey_tiboot3_se.pem
openssl ec -pubin -in ec_pubkey_tiboot3_se.pem -outform der | openssl dgst -sha512 > ec_smpk-h_se.log

我将在 AM62P SR 1.2 (HS-SE) 上将工作的 u-boot 日志 (am62p_sr1.2-se_11.2.8.2_uboot_ec.log) 与 AM62P Linux SDK 11.2.8.2 连接、其中 MMR 的 SMPK-H 读数列在日志中

e2e.ti.com/.../am62p_5F00_ec_5F00_kw_5F00_wr_5F00_r5.log

e2e.ti.com/.../am62p_5F00_ec_5F00_kw_5F00_wr_5F00_m4.log

e2e.ti.com/.../ec_5F00_smpk_2D00_h_5F00_se.log

e2e.ti.com/.../am62p_5F00_sr1.2_2D00_se_5F00_11.2.8.2_5F00_uboot_5F00_ec.log