This thread has been locked.

If you have a related question, please click the "Ask a related question" button in the top right corner. The newly created question will be automatically linked to this question.

[参考译文] CC3220S:使用 Yubikey 的 DigiCert 协设计证书

Guru**** 2482215 points
Other Parts Discussed in Thread: CC3220S, UNIFLASH, CC3235S, SHA-256

请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

https://e2e.ti.com/support/wireless-connectivity/wi-fi-group/wifi/f/wi-fi-forum/1316534/cc3220s-digicert-codesigning-certificate-with-yubikey

器件型号:CC3220S
主题中讨论的其他器件: UNIFLASHCC3235SSHA-256

使用 Yubikey 5 FIPS 对 DigiCert 的代码签名证书作为 HSM 如何适用于 CC3220S? 为二进制映像签名。

有人尝试过这种方法吗?

此工作流程是否有任何问题?

目前、我们使用的是来自 TI 的虚拟证书、以及使用 uniflash 进行签名。

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    您好、Lokesh。

    这是不可能的。 Uniflash 只能使用文件中的私钥签名。 它不支持 USB 令牌。

    遗憾的是、CC3220对安全启动证书具有 ROM 引导加载程序限制。 它不支持 SHA-384或 SHA-512。 您需要具有长度为128或256字节的 SHA1证书。 不幸的是,我认为目前还不存在能够颁发此类证书的单一 CA

    我认为您有以下选择:

    • 使用 CC3235S、并不仅限于 SHA-384或 SHA-512。 但您需要在文件中要求 CA 提供私钥。
    • 使用供应商器件验证(将自己的自签名证书编程到 sFlash 的 OTA 部分)。 有关更多详细信息、请参阅此处
    • 如果您的 SHA-256证书已过期、则可以使用它们(ROM 引导加载程序不会检查过期情况)。

    1月

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    如果映像由 Uniflash 外部的 DigiCert 代码签名证书签名、则 uniflash 是否允许下载。

    如何使用 YubiKey 进行代码签名证书-完整指南(electronicsandyou.com)

    如上文链接中所述。 Windows 随证书一起提供的签名工具。 签名的映像可安装到 CC3220S 串行闪存。

    如果遵循上述流程、CC3220S 是可以正常工作还是会出错?

    我们仍在使用来自受信任根目录的 CA。

    DigiCert 已确认提供含 SHA256、RSA 2048密钥的代码签名证书。

    但是、他们不允许下载该文件、声称对私钥 存储有新的规定。

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    您好!

    理论上,你可以尝试使用 Unfilash CLI 的--signature_filename 命令。但我略有怀疑这是否可行。 此处描述了 Uniflash CLI 命令

    1月

  • 请注意,本文内容源自机器翻译,可能存在语法或其它翻译错误,仅供参考。如需获取准确内容,请参阅链接中的英语原文或自行翻译。

    可以根据签名验证图像。 您只需随根 CA (需要存储在文件系统中)一起提供签名文件(而不是私钥)。