👶 💞 🎩 I.MX6 में सुरक्षित बूट 💌 🌧️ 🔖

I.MX6 में सुरक्षित बूट

एम्बेडेड सिस्टम के लिए किसी भी परियोजना को विकसित करते समय, डेवलपर को दो अतिरिक्त मुद्दों को हल करना चाहिए:

उत्पाद में स्पूफिंग से फर्मवेयर की रक्षा कैसे करें;
सॉफ्टवेयर को कॉपी करने से कैसे बचाएं।

यह आलेख बताता है कि i.MX6 प्रोसेसर को उत्पाद में बूटलोडर को बदलने से कैसे बचाया जाए और फर्मवेयर को कॉपी करने की प्रक्रिया को जटिल किया जाए।

परिचय

नंगे धातु परियोजना [1] के मामले में बौद्धिक संपदा की रक्षा के लिए मुख्य रूप से हार्डवेयर कॉम्प्लेक्स, दोनों माइक्रोकंट्रोलर और बाहरी में मौजूद हैं। उदाहरण एक प्रतिष्ठित साइट [2] पर दिए गए हैं । अतिरिक्त सॉफ्टवेयर विधियों, जैसे कि [3] का उपयोग किया जाता है, हालांकि, वे अज्ञात सुरक्षा तंत्र पर आधारित होते हैं। यह उपकरणों की कम कंप्यूटिंग शक्ति और गतिशील फर्मवेयर पीढ़ी को लागू करने की असुविधा के कारण है।

जब SoC लिनक्स जैसे ऑपरेटिंग सिस्टम के साथ आता है, तो सुरक्षा को एक साथ कई स्तरों पर व्यवस्थित करने की आवश्यकता होती है:

अंत आवेदन स्तर
ऑपरेटिंग सिस्टम का स्तर
बूटलोडर का स्तर

किसी भी स्तर पर पहुंच प्राप्त करने के मामले में, आगे के स्तरों के सॉफ़्टवेयर को प्रभावित करना और अंतर-स्तरीय इंटरैक्शन में परिवर्तन करना काफी आसान है।

सबसे सरल उदाहरण: लिनक्स पर स्थापित आपका सॉफ़्टवेयर UART प्रोटोकॉल (उदाहरण के लिए, / dev / ttyACM0 के माध्यम से) एक माइक्रोकंट्रोलर के साथ संचार करता है। सिस्टम तक पहुंच प्राप्त करने वाला हमलावर UART संसाधन का उपयोग करता है और बेतरतीब ढंग से भेजे गए पैकेजों को दोहराता है। या, उदाहरण के लिए, यदि ड्राइवर को कर्नेल में बनाया गया है, तो एक हमलावर UART ड्राइवर कोड को दूसरे तरीके से लिखकर कर्नेल को फिर से जोड़ देता है। अंतिम एप्लिकेशन को पता नहीं है कि क्या हो रहा है।

सुरक्षित बूट क्या है और इसकी आवश्यकता क्यों है?

लक्ष्य प्रणाली पर आपके सॉफ़्टवेयर के लिए सुरक्षा का पहला स्तर सुरक्षित बूट है। इसके बाद, सुरक्षित बूट को i.MX6 परिवार के प्रोसेसर के लिए समझाया गया है।

I.MX6 में सुरक्षित बूट उच्च आश्वासन बूट (HAB) के माध्यम से कार्यान्वित किया जाता है और दो कार्य कर सकता है:

शुरुवात सुरक्षित करो
एन्क्रिप्टेड डाउनलोड।

इस लेख में, मैं सुरक्षित प्रोसेसर लोडिंग सुनिश्चित करने की प्रक्रिया का वर्णन करूंगा। I.MX6 भी एक एल्गोरिथ्म को लागू करता है जो बूटलोडर एन्क्रिप्शन प्रदान करता है। हालांकि, इसके उपयोग के लिए प्रत्येक उत्पाद के लिए एक अद्वितीय बूटलोडर की आवश्यकता होती है, क्योंकि यह प्रत्येक प्रोसेसर के लिए एक अद्वितीय एन्क्रिप्शन फ़ंक्शन का उपयोग करता है। यह श्रृंखला में एक असुविधाजनक प्रक्रिया है, इसलिए मैंने इसका वर्णन नहीं किया। अगर आपको इस विषय पर कुछ कहना है, तो मुझे सुनकर खुशी होगी।

सुरक्षित बूट यह सुनिश्चित करने की कोशिश करता है कि बूट लोडर आपके उत्पाद पर शुरू होता है, जिस कर्नेल को आपने इसमें लोड किया है।

उस परिभाषा के बारे में जिसे मैंने सुरक्षित बूट दिया था। सुरक्षित बूट आपको उत्पाद को कॉपी करने से नहीं बचाता है। हां, यह प्रक्रिया को अधिक कठिन बनाता है, लेकिन बहुत अधिक नहीं। बूटलोडर पूरे एफएस पर हस्ताक्षर नहीं कर सकता है, इसलिए यह ओएस स्तर पर और अंतिम आवेदन के स्तर पर सुरक्षा प्रदान नहीं करता है। यह सभी शास्त्रीय रूप से काम करता है: असममित एन्क्रिप्शन के माध्यम से। मैं उंगलियों पर प्रक्रिया का वर्णन करूंगा, इसे [4] में और अधिक गहराई से पढ़ा जा सकता है। बूटलोडर एचएबी के लिए स्क्रिप्ट को इंगित करता है, जहां हस्ताक्षर किए गए मेमोरी क्षेत्र इंगित किए जाते हैं, और जहां डिजिटल हस्ताक्षर निहित है। सार्वजनिक कुंजी वन टाइम प्रोग्रामेबल (ओटीपी) प्रोसेसर मेमोरी में पहले से स्थित है। लोड करते समय, स्क्रिप्ट संलग्न डिजिटल हस्ताक्षर और एक वायर्ड कुंजी का उपयोग करके निर्दिष्ट मेमोरी क्षेत्र की जांच करती है। यदि परीक्षण विफल हो जाता है, तो प्रोसेसर डाउनलोड शुरू नहीं करता है। OTP मेमोरी क्षेत्र में थोड़ा सेट करके HAB ऑपरेशन को भी सक्रिय किया जाना चाहिए।

सुरक्षित बूट के नुकसान:

यदि एचएबी सक्रिय नहीं है, तो फर्मवेयर अभी भी शुरू होगा। इसका मतलब है कि बिना जोड़ के। सुरक्षा विधियाँ आपके फर्मवेयर उत्पाद की एक प्रति पर चलेंगी। इसे होने से रोकने के लिए, बूटलोडर को स्वतंत्र रूप से स्टार्टअप पर एचएबी को सक्रिय करना चाहिए। लेकिन फिर एक अन्य उत्पाद में यूएसबी फ्लैश ड्राइव डालने और सार्वजनिक कुंजी को फ्लैश करने के लिए भूलकर, आप प्रोसेसर को बाहर फेंक सकते हैं।
प्रोसेसर मेमोरी तक पहुंचते समय, आप सार्वजनिक कुंजी को कॉपी कर सकते हैं, यह उत्पाद की प्रतिलिपि बनाने के लिए पर्याप्त है।

कार्यान्वयन

सामान्य तौर पर, कार्यान्वयन विषय पर इंटरनेट पर काफी कुछ अंग्रेजी भाषा के लेख [5] [6] हैं, लेकिन एक भी प्रस्तावित विधि एक बार में नहीं हुई और सॉफ्टवेयर के लिंक मरने लगे, इसलिए मैंने इसे मुख्य रूप से अपने लिए एक लेख के रूप में सहेजने का फैसला किया, जब मैं भविष्य में इस मुद्दे पर लौटूंगा।

सबसे पहले आपको निम्नलिखित सॉफ्टवेयर डाउनलोड करने की आवश्यकता है: कोड साइनिंग टूल [7] और चाबी बनाने और हस्ताक्षर करने के लिए आवश्यक स्क्रिप्ट। निर्दिष्ट संग्रह में, मैंने सभी अनावश्यक उपयोगिताओं और पुस्तकालयों को हटा दिया, क्योंकि हमारे कार्य के लिए बहुत अधिक अप्रयुक्त हैं।

इसके बाद, आपको चाबी बनाने की आवश्यकता है:

cd ${CST_PATH}/release/keys
echo ${serial} > serial //8 ,     
echo ${password} >  key_pass.txt //   ,     
echo ${password} >>  key_pass.txt //
./hab4_pki_tree.sh //     
Do you want to use an existing CA key (y/n)?: n 
Do you want to use Elliptic Curve Cryptography (y/n)?: n
Enter key length in bits for PKI tree: 4096
Enter PKI tree duration (years): 10
How many Super Root Keys should be generated? 4
Do you want the SRK certificates to have the CA flag set? (y/n)?: y
 ../linux64/bin/srktool -h 4 -t SRK_1_2_3_4_table.bin -e SRK_1_2_3_4_fuse.bin \
 -d sha256 -c ./SRK1_sha256_4096_65537_v3_ca_crt.pem,\
./SRK2_sha256_4096_65537_v3_ca_crt.pem,./SRK3_sha256_4096_65537_v3_ca_crt.pem,\
./SRK4_sha256_4096_65537_v3_ca_crt.pem -f 1

प्रमुख पीढ़ी की स्क्रिप्ट उपरोक्त प्रश्न उठाती है। मैंने मानक विकल्पों का उदाहरण दिया। उनका उत्तर यह निर्धारित करता है कि उत्पन्न की गई चाबियाँ और उत्पन्न की गई चाबियों के मापदंडों को कैसे कहा जाएगा। आगे के आदेशों के साथ विचार करें। अगला, हम प्रोसेसर को लिखने के लिए आवश्यक सार्वजनिक कुंजी पढ़ते हैं। हम इसके लिए एक सुविधाजनक स्क्रिप्ट का उपयोग [5] से करेंगे ।

cd ${CST_PATH}/release/linux64/bin
./var-u-boot_fuse_commands.sh 
fuse prog 3 0 0xFFFFFFFF //   uboot.
fuse prog 3 1 0xFFFFFFFF //     
fuse prog 3 2 0xFFFFFFFF //       .
fuse prog 3 3 0xFFFFFFFF //  -   .
fuse prog 3 4 0xFFFFFFFF //      .
fuse prog 3 5 0xFFFFFFFF //
fuse prog 3 6 0xFFFFFFFF  //
fuse prog 3 7 0xFFFFFFFF //

यह कार्य एकीकृत एसपीएल के साथ या अलग एसपीएल और यूबूट (उदाहरण के लिए रॉको रिलीज) के साथ uboot पर लागू किया जा सकता है। मैं एक रिलीज लिख रहा हूं ताकि आप जान सकें कि उन्हें मानक के रूप में कहां उपयोग किया जाता है। यदि आप अपने आप को यूबूट संकलित करते हैं, तो सबसे अधिक संभावना है कि आपका एसपीएल यूबूट में एकीकृत हो जाएगा। डिफ़ॉन्फ़िग बूटलोडर में एक महत्वपूर्ण बिंदु निम्नलिखित विकल्पों को जोड़ना है:

CONFIG_SECURE_BOOT=y
CONFIG_SYS_FSL_HAS_SEC=y 
#define CONFIG_SYS_FSL_SEC_COMPAT    4 /* HAB version */
#define CONFIG_FSL_CAAM
#define CONFIG_CMD_DEKBLOB
#define CONFIG_SYS_FSL_SEC_LE
#define CONFIG_FAT_WRITE

ये विकल्प हार्डवेयर मॉड्यूल के साथ काम करने के लिए ड्राइवरों को सक्रिय करते हैं। सब कुछ लिनक्स के लिए menuconfig की तरह है। बूटलोडर को संकलित करते समय, वर्बोज़ मोड का उपयोग करें (V = 1. इस पैरामीटर के साथ असेंबली को गाइड में लिखा गया है। हालाँकि, मैंने इसे स्वयं साफ किया है)। इस मामले में, प्रवेश बिंदु के पते के बारे में और डिजिटल हस्ताक्षर को रिकॉर्ड करने के लिए आवश्यक अन्य चीजों को संकलन लॉग में जोड़ा जाता है। संकलन के बाद, हमें निम्न आउटपुट फ़ाइलों की आवश्यकता है:

यू-बूट-ivt.img
यू-बूट-ivt.img.log
एसपीएल
SPL.log

उन्हें $ {CST_PATH} / रिलीज़ / linux64 / bin पर कॉपी करें। अगला, आपको एक काफी सरल स्क्रिप्ट चलाने की आवश्यकता है।

स्क्रिप्ट प्रक्रिया का विस्तृत विवरण

(*.csf). , :

. , ( ).

:

Image Name:   U-Boot 2019 //  U-boot
Created:      XXXXXX
Image Type:   ARM U-Boot Firmware with HABv4 IVT (uncompressed)
Data Size:    339904 Bytes = 331.94 KiB = 0.32 MiB
Load Address: 17800000
Entry Point:  00000000
HAB Blocks:   0x177fffc0   0x0000   0x00051020

Image Type:   Freescale IMX Boot Image //  SPL
Image Ver:    2 (i.MX53/6/7 compatible)
Mode:         DCD
Data Size:    61440 Bytes = 60.00 KiB = 0.06 MiB
Load Address: 00907420
Entry Point:  00908000
HAB Blocks:   00907400 00000000 0000cc00
DCD Blocks:   00910000 0000002c 00000004

«HAB Blocks». ,

cd ${CST_PATH}/release/linux64/bin
./cst --o u-boot_csf.bin --i u-boot.csf
cat u-boot-ivt.img u-boot_csf.bin > u-boot_signed.img

जहां तक मुझे एकीकृत एसपीएल के मामले में याद है, सबसे अधिक संभावना है कि सब कुछ उसी तरह से काम करेगा, लेकिन यह इसे जांचने के लायक है। मुझे अब याद नहीं है और इस लेख को लिखते समय संकलन करना शुरू नहीं किया है।

cd ${CST_PATH}/release/linux64/bin
SOC=mx6 ./var-som_sign_image.sh SPL u-boot-ivt.img

स्क्रिप्ट के परिणामों के अनुसार, आपको दो फाइलें मिलेंगी: SPL_signed, u-boot-ivt.img_sign, जिसे लक्ष्य प्रणाली की डिस्क पर लिखा जाना चाहिए। मैं लक्ष्य प्रणाली के लिए एक रिकॉर्डिंग स्क्रिप्ट का एक उदाहरण लागू करता हूं। सूदो के बिना, ताकि गलती से आपको पैर में गोली न लगे।

dd if=SPL_signed of=${DEVICE(/dev/sd*)} bs=1K seek=1; sync
dd if=u-boot-ivt.img_signed of=${DEVICE(/dev/sd*)} bs=1K seek=69; sync

रिक्त माध्यम से लिखे जाने के बाद, आपको कर्नेल के बिना एक बूटलोडर प्राप्त करना चाहिए जो कंसोल में क्रैश हो जाएगा, क्योंकि यह dtb और कर्नेल नहीं मिलेगा। कंसोल में, आप जांच सकते हैं कि आपने क्या किया है या वास्तव में काम नहीं करता है। घटना की उपस्थिति में - कुछ गलत हुआ। महत्वपूर्ण: यदि बूटलोडर को एचएबी समर्थन के बिना संकलित किया जाता है, तो कोई त्रुटि नहीं होगी।

hab_status
HAB Configuration: 0xf0, HAB State: 0x66
No HAB Events Found!

अंतिम चरण एचएबी को सक्रिय करना है, ध्यान एक बार का कमांड है, इसे ठीक नहीं किया जा सकता है, इसलिए सावधान रहें

fuse prog 0 6 0x2

निष्कर्ष

मैंने इस सभी को योक्टो में एकीकृत करने की प्रक्रिया का वर्णन करना शुरू नहीं किया, लेकिन मुझे रहस्य रखना होगा। हालांकि, यह संभव है और इसके लिए अधिक समय की आवश्यकता नहीं है।

संदर्भ

[१] नंगे धातु-एम्बेडेड सॉफ्टवेयर जो सीधे ऑपरेटिंग सिस्टम के रूप में बिना किसी एब्स्ट्रैक्ट के हार्डवेयर पर चलते हैं
[२] we.easyelectronics.ru/Soft/zaschita-ustroystva-ot-vzloma-iopirovaniya.html
[३ ] habr.com/en/post/350602
[4] में HAB4_API.pdf github.com/BMValeev/CST_TOOL
[5] variwiki.com/index.php?title=High_Assurance_Boot
[6] boundarydevices.com/high-assurance-boot -हाब-डमीज़
[7] github.com/BMValeev/CST_TOOL

I.MX6 में सुरक्षित बूट