ESP32-C3 手动启用 Secure Boot V2 与 Flash 加密流程

最新推荐文章于 2024-08-08 17:02:18 发布
最新推荐文章于 2024-08-08 17:02:18 发布
阅读量1.8k 收藏 7
点赞数 2
分类专栏： 芯片安全 (Chip Security) 专项功能 (Special Function) 文章标签： 嵌入式硬件 物联网
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Marchtwentytwo/article/details/132407717
版权

ESP-IDF 中 flash 加密可以在 bootloader 阶段自动启用，但是这需要设备自加密后重启一次，为了节省这次重启的步骤，你可以选择通过一些脚本工具在外部启用 flash 加密。

本篇文档用于介绍 ESP32-C3 手动启用 Secure Boot V2 与 Flash 加密的操作流程。其中，Flash 加密使用发布模式(Release Mode)，并使用主机生成的密钥对数据进行加密。Secure Boot 方案所需的公钥的 SHA-256 哈希摘要和和 Flash 加密方案需要的 Flash 加密秘钥均为外部生成（bootloader 阶段自动启用的方式为设备内自动计算并写入相关的 efuse）。其他相关的 efuse 也通过脚本工具进行烧录，更多信息请参考乐鑫官方文档 基于主机的安全工作流程。本篇文档可以看做官方文档的一次实践，仅做参考。

1 测试环境

2 通过 menuconfig 使能

2.1 调整分区表偏移量

使能 Flash 加密以及 Secure Boot V2 后，生成的 bootloader bin 会变大，可以通过调整分区表偏移量增大 bootloader 分区大小，本例中将分区表偏移量从默认的 0x8000 调整到 0xF000，这样 bootloader 分区的大小为 0xF000 - 0x1000 = 0xE000 (0x0 为 bootloader bin 烧录地址)，可以参考引导加载程序大小。
在这里插入图片描述

需要注意的是，开启 Flash 加密会默认使能 NVS 加密，需要在分区表中定义 NVS Key 分区，否则运行会出现错误。参考 NVS Key Partition。如果不需要 NVS 加密，可以通过 menuconfig 禁用该功能，配置路径： (Top) -> Component config -> NVS -> [ ] Enable NVS encryption，这样无需在分区表中定义 NVS Key 分区。

2.2 安全特征配置

在这里插入图片描述
Flash 加密 release 模式默认的 UART ROM download mode 为 Permanently switch to Secure mode (recommended)，在开发过程中，为了避出现意外无法使设备恢复正常，暂且使能 UART ROM 下载模式，后面可以通过烧录 ENABLE_SECURITY_DOWNLOAD 使用安全下载模式。

3 测试流程

3.1 生成 Secure Boot V2 签名秘钥并烧录到对应 efuse

  • 可使用如下指令生成签名秘钥:
python $IDF_PATH/components/esptool_py/esptool/espsecure.py generate_signing_key --version 2 secure_boot_signing_key.pem
  • 生成 secure_boot_digest.bin，该文件为 secure boot 公钥的 SHA-256 摘要:
python $IDF_PATH/components/esptool_py/esptool/espsecure.py digest_sbv2_public_key --keyfile secure_boot_signing_key.pem --output secure_boot_digest.bin
  • 烧录 secure_boot_digest.bin：
python $IDF_PATH/components/esptool_py/esptool/espefuse.py burn_key BLOCK_KEY0 secure_boot_digest.bin SECURE_BOOT_DIGEST0
  • 烧录 SECURE_BOOT_EN：
python $IDF_PATH/components/esptool_py/esptool/espefuse.py burn_efuse SECURE_BOOT_EN 1

3.2 Flash 加密密钥生成与烧录

python $IDF_PATH/components/esptool_py/esptool/espsecure.py generate_flash_encryption_key my_flash_encryption_key.bin

python $IDF_PATH/components/esptool_py/esptool/espefuse.py burn_key BLOCK_KEY1 my_flash_encryption_key.bin XTS_AES_128_KEY
  • Flash 加密相关安全 eFuses：
    • DIS_DOWNLOAD_ICACHE: Disable UART cache
    • DIS_DIRECT_BOOT: Disable direct boot (legacy SPI boot mode)
    • DIS_USB_JTAG: Disable USB switch to JTAG
    • DIS_PAD_JTAG: Disable JTAG permanently
    • DIS_DOWNLOAD_MANUAL_ENCRYPT: Disable UART bootloader encryption access
      此处先不烧录 DIS_DOWNLOAD_MANUAL_ENCRYPT，如果不禁用这个 efuse，那么仍可通过 idf.py encrypted-app-flash/idf.py encrypted-flash (参考 Re-flashing Updated Partitions)或者 esptool.py write_flash --encrypt 这两种方式边写边加密明文固件。
python $IDF_PATH/components/esptool_py/esptool/espefuse.py burn_efuse DIS_DOWNLOAD_ICACHE 1 DIS_PAD_JTAG 1 DIS_USB_JTAG 1 DIS_DIRECT_BOOT 1
  • Flash 加密模式下 SPI_BOOT_CRYPT_CNT 需要设置为 7，此时 Flash 加密无法关闭。
python $IDF_PATH/components/esptool_py/esptool/espefuse.py burn_efuse SPI_BOOT_CRYPT_CNT 7

3.3 编译 bootloader

idf.py bootloader

3.4 编译 app/partition bin

idf.py build

Project build complete. To flash, run this command:
/home/mali/.espressif/python_env/idf5.0_py3.8_env/bin/python ../../../../components/esptool_py/esptool/esptool.py -p (PORT) -b 460800 --before default_reset --after no_reset --chip esp32c3 --no-stub write_flash --flash_mode dio --flash_size keep --flash_freq 80m 0xf000 build/partition_table/partition-table.bin 0x14000 build/ota_data_initial.bin 0x20000 build/simple_ota.bin
or run 'idf.py -p (PORT) flash'

由于使能了 Sign binaries during build, 会在构建过程中对 bootloader 和 app bin 进行签名，此时，生成的 bootloader.bin 和 app.bin 为签过名的明文固件。

  • 获取分区表信息：
$ idf.py partition-table
Executing action: partition-table
Running ninja in directory /home/mali/esp/esp32/rel_50/examples/system/ota/simple_ota_example/build
Executing "ninja partition-table"...
[1/2] cd /home/mali/esp/esp32/rel_50/examples/system/ota/simple_ota_example/build/esp-idf/partition_table && /home/mali/.e...sif/tools/cmake/3.24.0/bin/cmake -E echo "*******************************************************************************"Partition table binary generated. Contents:
*******************************************************************************
# ESP-IDF Partition Table
# Name, Type, SubType, Offset, Size, Flags
nvs,data,nvs,0x10000,16K,
otadata,data,ota,0x14000,8K,
phy_init,data,phy,0x16000,4K,
ota_0,app,ota_0,0x20000,1536K,
ota_1,app,ota_1,0x1a0000,1536K,
nvs_key,data,nvs_keys,0x320000,4K,encrypted
*******************************************************************************
[2/2] Running utility command for partition-tablePartition table built:

Partition Table build complete. To flash, run this command:
/home/mali/.espressif/python_env/idf5.0_py3.8_env/bin/python ../../../../components/esptool_py/esptool/esptool.py -p (PORT) -b 460800 --before default_reset --after no_reset --chip esp32c3 --no-stub write_flash 0xf000 build/partition_table/partition-table.bin
or run 'idf.py -p (PORT) partition-table-flash'

3.5 使用 Flash 加密密钥对签名后的 bin 文件进行加密

使用 Flash 加密密钥对 bin 文件加密时，需要指定 bin 文件的地址，这个地址可从 idf.py build 结束后输出的烧录指令中获取，在本例中，共有四个 bin 文件需要被加密。

0x0 build/bootloader/bootloader.bin (ESP32-C3 的 bootloader bin 的烧录地址是一个确定值，为 0x0)
0xf000 build/partition_table/partition-table.bin
0x14000 build/ota_data_initial.bin 
0x20000 build/simple_ota.bin

python $IDF_PATH/components/esptool_py/esptool/espsecure.py encrypt_flash_data --aes_xts --keyfile my_flash_encryption_key.bin --address 0x20000 --output simple_ota_enc.bin build/simple_ota.bin

python $IDF_PATH/components/esptool_py/esptool/espsecure.py encrypt_flash_data --aes_xts --keyfile my_flash_encryption_key.bin --address 0xf000 --output partition-table_enc.bin build/partition_table/partition-table.bin

python $IDF_PATH/components/esptool_py/esptool/espsecure.py encrypt_flash_data --aes_xts --keyfile my_flash_encryption_key.bin --address 0x0 --output bootloader_enc.bin build/bootloader/bootloader.bin

python $IDF_PATH/components/esptool_py/esptool/espsecure.py encrypt_flash_data --aes_xts --keyfile my_flash_encryption_key.bin --address 0x14000 --output ota_data_initial_enc.bin build/ota_data_initial.bin

3.6 烧录加密后的 bin 文件

  • 烧录前建议擦除 Flash 一次。
python $IDF_PATH/components/esptool_py/esptool/esptool.py -b 921600 --before default_reset --after no_reset --chip esp32c3 --no-stub write_flash --force --flash_mode dio --flash_size keep --flash_freq 80m 0x0 bootloader_enc.bin 0xf000 partition-table_enc.bin 0x14000 ota_data_initial_enc.bin 0x20000 simple_ota_enc.bin
  • 烧录完成后，检查设备是否可以正常启动。如果可以正常启动，从 log 中应该可以看到类似下面的日志：
E (1171) flash_encrypt: Flash encryption settings error: app is configured for RELEASE but efuses are set for DEVELOPMENT
E (1181) flash_encrypt: Mismatch found in security options in bootloader menuconfig and efuse settings. Device is not secure.

flash_encrypt 报错的的原因是当前烧录的 efuse 和 Flash 加密 release 模式不匹配，这是因为前面没有烧录 DIS_DOWNLOAD_MANUAL_ENCRYPT，release 模式下需要保证这个 efuse 烧录，此时，无法再可通过 idf.py encrypted-app-flash/idf.py encrypted-flash (参考 Re-flashing Updated Partitions)或者 esptool.py write_flash --encrypt 这两种方式边写边加密明文固件，需要先使用 Flash 加密秘钥对明文固件进行加密，然后直接烧录密文固件。

espefuse.py burn_efuse DIS_DOWNLOAD_MANUAL_ENCRYPT
  • 前面在 menuconfig 中使能 UART ROM 下载模式，Flash release 模式建议使用安全下载模式，该模式下，仍可烧录固件但是无法读取固件。
espefuse.py burn_efuse ENABLE_SECURITY_DOWNLOAD

4 补充内容

UART ROM 三种下载模式的比较

  1. 下面是对于 UART ROM 三种下载模式的大致比较，更多信息请见 UART ROM download mode。
  • SECURE_DISABLE_ROM_DL_MODE：禁用下载模式
  • SECURE_ENABLE_SECURE_ROM_DL_MODE：安全下载模式
  • SECURE_INSECURE_ALLOW_DL_MODE：使能下载模式
禁用下载模式安全下载模式使能下载模式
是否可以下载固件否是是
是否可以读取固件否否是（esptool.py --no-stub read_flash）
是否可以获取 efuse 信息否是（部分，esptool.py --no-stub get_security_info是（全部，espefuse.py summary）
通过烧录 efuse 使能espefuse.py burn_efuse DIS_DOWNLOAD_MODEespefuse.py burn_efuse ENABLE_SECURITY_DOWNLOAD无需烧录 efuse
  1. 如果要对已经使能 Flash 加密和 secure boot v2 的设备进行 OTA 升级，那么 ota bin 文件需要先进行签名再放到服务器上，对于通用的 ota 例程，放在服务器上的 ota bin 应为签名后的明文固件，在写入到 ota 分区时会自动进行加密。
espsecure.py sign_data --version 2 --keyfile PRIVATE_SIGNING_KEY --output SIGNED_BINARY_FILE BINARY_FILE

  • 此处的 PRIVATE_SIGNING_KEY 为前面生成的 Secure Boot 签名密钥 secure_boot_signing_key.pem，更多信息可见 Signing using espsecure.py。

  • 如果担心服务器上的明文 ota.bin 被他人窃取(例如： non-TLS).，可以对 ota.bin 进行预加密，参考例程 pre_encrypted_ota。

5 参考链接

25March
关注
  • 2
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
ESP32-C3模组上跑通HTTPS分次传输文件（1）
phmatthaus的专栏
08-01 294
ESP32-C3模组上跑通HTTPS分次传输文件（1）
ESP32-C3入门教程——导读
热门推荐
小康师兄
09-13 5万+
一、环境篇 ESP32-C3入门教程 环境篇①——简单介绍与软硬件准备 ESP32-C3入门教程 环境篇②——Windows开发环境准备 ESP32-C3入门教程 环境篇③——VS Code IDE快速入门 二、基础篇 ESP32-C3入门教程 基础篇①——GPIO口控制 ESP32-C3入门教程 基础篇②——PWM控制 ESP32-C3入门教程 基础篇③——ADC输入 ESP32-C3入门教程 基础篇④——串口通信 ESP32-C3入门教程 基础篇⑤——SPI通信 ESP32-C3入门教程 基础篇⑥——I
GITHUB上的一些DevSecOps
qq_44005305的博客
01-31 200
最近一直在完善自己的扫描器和攻击链，所以也一直在GITHUB上看自动化的一些知识，脑壳痛看起来比较优秀的如下，本人只推荐哈DefectDojoDefectDojo 是一个安全编排和平台。DefectDojo 允许您管理您的应用程序安全程序，维护 产品和应用信息、分类漏洞和 将结果推送到 JIRA 和 Slack 等系统。DefectDojo 丰富并 使用许多启发式算法来优化漏洞数据，这些算法 随着您使用该平台的次数越多越好。github；搭建好的运行截图如下。
ESP32 快速入门（十一）：Secure Boot 与 Flash encryption 的介绍与实践
Zombie's blog
05-27 1821
此篇博客为 ESP32 Secure Boot 与 ESP32 Flash encryption 的介绍与实践。 1 ESP32 Secure Boot 1.1 ESP32 Secure Boot 功能概述 Secure Boot 的目的是保证芯片只运行用户指定的程序，芯片每次启动时都会验证从 flash 中加载的 partition table 和 app images 是否是用户指定的 Secure Boot 中采用 ECDSA 签名算法对 partition table 和 app images 进
ESP32-Secure Boot 安全方案
乐鑫 Espressif
02-24 1万+
Secure Boot 功能概述 方案概述 Secure Boot 的目的是保证芯片只运行用户指定的程序，芯片每次启动时都会验证从 flash 中加载的 partition table 和 app images 是否是用户指定的 Secure Boot 中采用 ECDSA 签名算法对 partition table 和 app images 进行签名和验证，ECDSA 签名算法使用公钥/...
ESP32 Secure Boot和Flash加密
一个人要像一支队伍
01-21 7651
ESP32的代码是存在外部Flash中，如果不加密，很容易被窃取代码。 ESP32的secure boot和flash加密是两个功能，但是要配合一起使用，其加密效果才好。 一、初次加密。 这里只写可重复烧写的加密方式，其加密步骤如下： 1、进入menuconfig配置secure boot和flash加密。 make menuconfig 这里Secure bootloader mode选择Reflashable。配置后要与下图完全一致。 2、生成私钥，即pem文件。 pyth.
ESP32开发阶段启用 Secure Boot 与 Flash encryption
tiantangmoke的博客
08-09 425
Secure Boot 与 Flash encryption
【esp32】secure boot （安全启动）配置
最新发布
weixin_45880295的博客
08-08 1028
Secure Boot，即安全启动，是一种确保在一个平台上运行的程序的完整性的过程或机制。它的主要作用是在固件和应用程序之间建立一种信任关系，从而保护操作系统免受恶意攻击。
ESP32-C3模组上跑通NVS（2）
phmatthaus的专栏
06-05 1073
ESP32-C3模组上跑通NVS（2）
ESP32-C3入门教程 环境篇①——简单介绍与硬件准备
小康师兄
09-13 9900
文章目录一、概述参考 一、概述 参考 https://docs.espressif.com/projects/esp-idf/zh_CN/latest/esp32c3/get-started/index.html#get-started-get-prerequisites
ESP32-C3入门教程 基础篇④——ADC（模拟量转数字量）单次读取简单实例
小康师兄
05-24 2896
ESP32-C3入门教程 基础篇④——ADC（模拟量转数字量）单次读取简单实例
flash加密工具 破解版
03-16
flash加密工具 破解版 和大家分享是是生是死事实上事实上是生是死是生是死是生是死是生是死是生是死是生是死
ESP32-C3模组上跑通OTA升级（8）
phmatthaus的专栏
05-25 1039
ESP32-C3模组上跑通OTA升级（8）
ESP32 ECO3 手动启用 Secure Boot V2 与 flash 加密流程
ESP 技术分享，推动万物互联
02-02 5435
本篇文档用来说明 ESP32(eco3) 芯片同时使能 Secure Boot V2 和 flash 加密的操作流程，其中，flash 加密使用发布模式(Release Mode)，使用主机生成的密钥对数据进行加密。 文章目录1. 测试环境1. 未使能前查询 efuse2. 通过 menuconfig 配置使能2.1 将 ESP32 芯片版本设置为 revision 32.2 调整分区表偏移量2.3 安全特征配置3. 测试流程3.1 secure boot v2 秘钥生成与烧录3.2 flash 加密秘钥生
ESP32 Secure boot 与 Flash encryption 过程前后部分问题整理
Zombie's blog
09-27 1128
此篇博客用来整理 ESP32 Secure boot 与 Flash encryption 过程前后部分问题的解决方法。 1. secure boot 后重新烧录程序发现无法正常进入 bootloader 对应 log 如下： csum err:0x9a!=0x5f ets_main.c 371 ets Jun 8 2016 00:22:57 rst:0x10 (RTCWDT_RTC_RESET),boot:0x13 (SPI_FAST_FLASH_BOOT) configsip: 0, SPIWP:0x
ESP32-S3 V5.0.2 flash 手动生成密钥加密 _By星年（已验证）
qq_18070087的博客
06-16 793
(4)加密镜像并烧录（根据idf.py build编译后信息，修改文件路径、文件名、烧录地址及生成文件名）环境 ESP32-S3 ESP_IDF V5.0.2 手动生成密钥加密。三、关闭加密和解密已加密镜像（关闭解密只有1次机会）(3)烧录密钥到设备（修改端口号）（只能烧录一次）(1)AES-128（256 位密钥）(2)AES-256（512 位密钥）(2)工程加密配置及串口配置安全模式。1.查看是否加密：（修改端口号）(5)烧录加密bin。
基于 ESP32-C3 开启 Flash 加密和安全启动并进行 OTA 测试
ESP 技术分享，推动万物互联
01-02 2796
【应用笔记】基于 ESP32-C3 开启 Flash 加密和安全启动并进行 OTA 测试
每天学一点flash flash简单加密讲解(1)
夏天的树人的专栏
07-30 2294
 每天学一点flash 某一段时间,有个客户要求我开发一个flash网站.内容要符合他本人的要求,无论风格还是导航.这是一个很难搞的客户,每天都在郁闷学习中,因为flash 也是刚刚学的,对于客户不段变更的需求,我感觉到有心无力. 客户是上帝,我们不可以得罪上帝,但是对于无理的客户来说,拿了网站后,一句话,不符合要求,要求退订.苦苦一个月的辛勤劳动,谁知道他却暗暗拿了flash修改,当
flash加密
lihongdian的专栏
08-18 668
第一种:在第一帧中加入如下代码： fscommand ("allowscale", "0"); url = "http://www.fllashbank.cn"; if (_url.substring(0, 22)gotoAndPlay (2); } else { gotoAndPlay (3); } actions for frame 2 stop (); actions for frame 3
ESP32-C3-MINI-1模组技术规格书：低成本RISC-V IoT芯片
"乐鑫最新的ESP32-C3是一款针对物联网(IoT)设计的低成本芯片，旨在与ESP8266保持pin to pin兼容，同时继承了ESP32系列的成熟软件架构。该芯片采用RISC-V处理器，支持Wi-Fi和Bluetooth LE 5.0功能，具有400 KB的SRAM...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值