芯耀
780
前言
本文是上文 《STM32H5 DA 之初體驗(帶 TrustZone)》的后續(xù)之作。倘若你還沒有閱讀此文，那么建議你先閱讀下，然后再回過頭來閱讀本文。
之前我們已經(jīng)講過了如何通過 DA 認證來回退芯片產(chǎn)品狀態(tài)，或者重新打開調(diào)試口，這樣開發(fā)人員在芯片為 Closed 狀態(tài)下時仍可以調(diào)試芯片。在這個 DA 認證過程中，有使用到兩個東西：證書和私鑰，它與之前已經(jīng)預(yù)配置到芯片內(nèi)部的 obk 文件是對應(yīng)的關(guān)系。也就是說, 如果你已經(jīng)預(yù)配置了芯片, 但對應(yīng)的私鑰文件或者證書丟失或忘記保存了, 那么此芯片多半是無法再還原了, 除非你找到對應(yīng)的私鑰和證書.
證書鏈介紹
在產(chǎn)品的開發(fā)過程中, 我們假設(shè)有三個團隊:
- 安全開發(fā)團隊: 負責(zé)開發(fā) secure 部分代碼, 并向 non secure 提供 API 接口. 當芯片燒錄完 secure 代碼后, 芯片會被設(shè)置為 TZ_Closed 狀態(tài).
- OEM 開發(fā)團隊: 負責(zé)開發(fā) non secure 部分代碼, 無法直接訪問 secure 世界的代碼,但能調(diào)用 secure 提供的特定的 API 接口, 以完成特定功能. 此團隊拿到芯片時, 芯片已經(jīng)處于 TZ_Closed 狀態(tài). 在此狀態(tài)下, 開發(fā) non secure 工程不受任何限制. 可以隨意調(diào)試 NS 工程.
- 現(xiàn)場技術(shù)支持團隊: 產(chǎn)品到達終端客戶, 若出現(xiàn)任何問題, 需要現(xiàn)場進行技術(shù)支持.對于這三個團隊, 需要授予不同的權(quán)限. 安全開發(fā)團隊需要授予平臺軟硬件完全訪問的權(quán)限. 且安全開發(fā)團隊可向 OEM 團隊授予權(quán)限. 完全訪問權(quán)限就包括了可完全回退+部分回退, S+NS 調(diào)試.
OEM 開發(fā)團隊的權(quán)限應(yīng)該僅僅局限在 NS 部分, 不應(yīng)該影響其 NS 代碼的調(diào)試, 當然回退也不應(yīng)該限制. 僅需要限制其調(diào)試 S 代碼的權(quán)利. 因此, OEM 團隊包括的權(quán)限應(yīng)該有: 完全回退+部分回退, NS 調(diào)試. 除此之外, OEM 開發(fā)團隊應(yīng)可向現(xiàn)場技術(shù)支持團隊授予權(quán)限的能力.
現(xiàn)場技術(shù)支持團隊的權(quán)限應(yīng)該僅限于回退的權(quán)利.而且僅能完全回退. 以便檢查硬件方面的問題.
動手實驗
其它問題
在生成證書鏈過程中, 有涉及到中間證書, 我們用它來生成二級證書, 原則上中間證書只能用來生成二級證書, 其本身并不會直接使用, 那么這里有一個問題, 直接使用中間證書能有效嗎?
