[参考译文] AM62P：使用自己的密钥为 AM62P 启用安全启动。

这里有 AM62x 安全资源下载门户、其中安全配套资料/链接/工具... 托管的
客户可以使用该链接请求访问门户
https://www.ti.com/drr/opn/AM62X-RESTRICTED-SECURITY

访问门户后、请查看安全配套资料以及以下在线链接：
- TIFS
https://software-dl.ti.com/tisci/esd/latest/2_tisci_msgs/index.html#secure-management
https://software-dl.ti.com/tisci/esd/latest/6_topic_user_guides/index.html

- Linux SDK
https://software-dl.ti.com/processor-sdk-linux/esd/AM62PX/latest/exports/docs/linux/Foundational_Components_Security．html

此致、
- Hong

你好洪

客户可通过链接请求访问门户
https://www.ti.com/drr/opn/AM62X-RESTRICTED-SECURITY

我能够访问上述链接；但是、没有说明如何为上述文件启用签名和验证的文档。

我们希望启用该功能、以便对等文件进行签名 tiboot3.bin、tispl.bin、u-boot.img 和内核映像 私钥完成的。 此外、验证应由引导流程的前一阶段执行。

考虑到签名过程已集成到构建中、在 TI SDK 中是否需要执行任何确切的步骤来启用此功能？

非常感谢您的帮助。

此致、

Murali

您好 Murali、

- binman 工具用于在 Linux SDK 中构建/签名 u-boot 以实现安全启动
https://software-dl.ti.com/processor-sdk-linux/esd/AM62PX/latest/exports/docs/linux/Foundational_Components build/U-Boot/U-build-k3.html#build-u-boot BG
https://software-dl.ti.com/processor-sdk-linux/esd/AM62PX/latest/exports/docs/linux/Foundational_Components_Migration_Guide．html
-通过 binman 打包到 tiboot3.bin、tispl.bin 和 u-boot.img 中的所有条目都在 AM62P SoC 的*。dtsi 文件中进行了描述
https://git.ti.com/cgit/ti-u-boot/ti-u-boot/tree/arch/arm/dts/k3-binman.dtsi?h=11.02.08
https://git.ti.com/cgit/ti-u-boot/ti-u-boot/tree/arch/arm/dts/k3-am62p-sk-binman.dtsi?h=11.02.08
- Linux 内核适配映像签名
https://software-dl.ti.com/processor-sdk-linux/esd/AM62PX/latest/exports/docs/linux/Foundational_Components_Kernel_Users_Guide fit-image：html#fit-image

此致、
- Hong

Hong Hong：

我尝试对u-boot.img必须由 tispl.bin 验证的拟合映像签名、但我无法在映像中看到签名值。 这表明拟合图像可能没有正确签名。 有关详细信息、请参阅下图。

• 我已修改 arch/arm/dts/k3-am62p-sk-binman.dtsi如下所示。

&binman {
        u-boot {
                insert-template = <&u_boot_template>;

                fit {
                        images {
                                uboot {
                                        description = "U-Boot for AM62P5 Boards";
                                        hash {
                                          algo = "sha256";
                                        };
                                };

                                fdt-0 {
                                        description = "k3-am62px-sk";
                                        type = "flat_dt";
                                        arch = "arm";
                                        compression = "none";

                                        ti-secure {
                                                content = <&am62px_sk_dtb>;
                                                keyfile = "custMpk.pem";
                                        };

                                        am62px_sk_dtb: blob-ext {
                                                filename = AM62PX_SK_DTB;
                                        };

                                        hash {
                                                algo = "crc32";
                                        };
                                };
                        };

                        configurations {
                                default = "conf-0";

                                conf-0 {
                                        description = "k3-am62px-sk";
                                        firmware = "uboot";
                                        loadables = "uboot";
                                        fdt = "fdt-0";
                                        signature {
                                             algo = "sha256,rsa2048";
                                             key-name-hint = "uboot";
                                             sign-images = "firmware", "fdt";
                                        };
                                };

                        };
                };
        };
};

• 以下变量已使用.bbappend文件设置：
  • UBOOT_FITIMAGE_ENABLE =“1"</s>“
  • UBOOT_SIGN_ENABLE =“1"</s>“
  • UBoot_sign_keyname =“uboot"</s>“
  • UBOOT_SIGN_KEYDIR =“$｛TOPDIR｝/../keys/devkeys

注意：uBoot_sign_KEYDIR 包含私钥 (uboot.key) 和证书 (uboot.crt) 文件。

是否需要启用任何其他配置来签署u-boot.img文件？

请告知我们、并告诉我们如何在 tispl.bin 贴合图像上签名、由 tiboot3.bin 验证。

此致、
Murali K

您好 Murali、

-在 AM62P SoC 的*。dtsi 文件中描述了通过 binman 打包到 tiboot3.bin、tispl.bin 和 u-boot.img 中的所有条目
https://git.ti.com/cgit/ti-u-boot/ti-u-boot/tree/arch/arm/dts/k3-binman.dtsi?h=11.02.08
https://git.ti.com/cgit/ti-u-boot/ti-u-boot/tree/arch/arm/dts/k3-am62p-sk-binman.dtsi?h=11.02.08

根据两个 dtsi 文件中的配置、u-boot 正确的二进制文件和 DTB 首先单独签名、然后打包到 u-boot.img FIT 二进制文件中。
您是否会在 u-boot A53 构建文件夹下上传/共享 u-boot.map 文件？
此致、
- Hong

Hong Hong：

以下是 build 目录下 u-boot.map 的内容。

ImagePos    Offset      Size  Name
00000000  00000000  00168779  u-boot
00000000   00000000  00168779  fit
00000130    00000130  0015460c  uboot
00000130     00000000  000006a4  ti-secure
000007d4     000006a4  00153f68  u-boot-nodtb
001547fc    001547fc  00013a24  fdt-0
001547fc     00000000  000006a4  ti-secure
00154ea0     000006a4  00013380  blob-ext

如果我们在这里遗漏了一些信息、请告知我们。

此致、
Muralli K

您好 Murali、
从随附的 u-boot.map 文件中、u-boot.img fit 二进制布局看起来很好。
我们是否尝试过在板载 (HS-SE) 上引导 tiboot3.bin/tispl.bin/u-boot.img？
此致、
- Hong

Hong Hong：

我想我们可能会考虑该问题的不同方面、因为这与 ROM 级验证无关。

我们的目标是使核查成为可能 u-boot.img 在启动期间由 tispl.bin 提供的 FIT 映像 、类似于 U-Boot 在将内核打包为适合映像时如何验证内核。

我们执行了以下步骤：

1. k3-am62p-sk-binman.dtsi已使用补丁进行更新。

   我修改了 arch/arm/dts/k3-am62p-sk-binman.dtsi如下所示。
2. 在.bbappend文件中添加了所需变量。
   

   已使用.bbappend文件

   设置了以下变量
3. 已启用拟合签名和验证所需的配置选项。
   

   CONFIG_FIT=y
   CONFIG_FIT_SIGNATURE=y
   CONFIG_RSA=y
   CONFIG_FIT_SIGNATURE_STRICT=y
   CONFIG_OF_CONTROL=y
   
   CONFIG_SPL=y
   CONFIG_SPL_FIT=y
   CONFIG_SPL_LOAD_FIT=y
   CONFIG_SPL_FIT_SIGNATURE=y
   
   CONFIG_SPL_RSA=y
   CONFIG_SPL_CRYPTO=y
   CONFIG_RSA_VERIFY=y

但是,在构建之后,我们会在生成的拟合图像 (u-boot.img) 中观察到以下内容:

符号值：不可用

时间戳：不可用

建议 FIT 图像没有正确签名。 有关详细信息、请参阅下图。
[/报价]

此外、我们无法在tispl DTB 中找到公钥。

如果可以、请告诉我们 缺少启用适配签名和验证所需的任何步骤或配置 干扰源？

此致、
Murali K

Hong Hong：

感谢您澄清我们的疑虑。

在 RoT 安全启动流程中、tiboot3.bin/tispl.bin/u-boot.img 由 ROM 或 TIFS

此致、

Murali K