2415597_ja-JP

Yes

Falconモードでセキュアブートを有効にする（カーネルバージョン6.12.49）|| iMX8MP_EVK

チームの皆さん、こんにちは。

Falcon ModeでSecure Boot を有効にするのを手伝ってもらえます か?

meta-imx-fastboot GitHubリポジトリの助けを借りて、Falcon Modeの実現に成功しました。しかし、meta-imx-fastbootの実装では、Falcon Modeのブートフロー中に意図的に OP-TEE が削除されていることがわかりました。

OP-TEEも私のユースケースに必要なので、NXPフォーラムで質問をしました。@elena_popa OP-TEEを保持・有効化するソリューションを提供してくれました。参考のためにフォーラムのリンクを添付しました。

現在、Secure Bootを有効にする際に問題に直面しています現在のカーネルバージョンでファルコンモード付きのセキュアブートに関するドキュメントが見つからなかったためです。
環境詳細:

ボード： i.MX8M Plus EVK（i.MX8MP EVK）
カーネルバージョン: 6.12.49
Yocto Environment: Yocto拠点のNXP BSP
ブートモード：ファルコンモード
要件：ファルコンモード + OP-TEE + セキュアブート

Yocto Project

Re: Enable Secure Boot in Falcon Mode (6.12.49 - Kernel Version) || iMX8MP_EVK

こんにちは、

どのエラーが出ているのか教えていただけますか?

よろしくお願いいたします。

Re: Enable Secure Boot in Falcon Mode (6.12.49 - Kernel Version) || iMX8MP_EVK

こんにちは、@JorgeCasさん
私がやったこと: imx-boot-signature レシピを拡張して、Falcon FIT バンドル (kernel-atf-dtb.itb、u-boot-atf.itb)imx_signerと、メインのimx-bootコンテナで使用されているものと同じsign.cfgを使用します。

問題： HABが開いている状態（ヒューズが焼損していない状態）で、hab_statusには以下が表示されます。

u-boot=> hab_status

セキュアブートが無効になっています

HAB 構成：0xf0、HAB 状態：0x66

--------- HABイベント1 -----------------
イベントデータ:
0xdb 0x00 0x14 0x45 0x33 0x0c 0xa0 0x00
0x00 0x00 0x00 0x00 0x40 0x1f 0xdd 0xc0
0x00 0x00 0x00 0x20

STS = HAB_FAILURE (0x33)
RSN = HAB_INV_ASSERTION (0x0C)
CTX = HAB_CTX_ASSERT (0xA0)
ENG = HAB_ENG_ANY (0x00)

--------- HABイベント2 -----------------
イベントデータ:
0xdb 0x00 0x14 0x45 0x33 0x0c 0xa0 0x00
0x00 0x00 0x00 0x00 0x40 0x1f 0xad 0xc0
0x00 0x00 0x00 0x04

STS = HAB_FAILURE (0x33)
RSN = HAB_INV_ASSERTION (0x0C)
CTX = HAB_CTX_ASSERT (0xA0)
ENG = HAB_ENG_ANY (0x00)

--------- HABイベント3 -----------------
イベントデータ:
0xdb 0x00 0x3c 0x45 0x33 0x18 0xc0 0x00
0xca 0x00 0x34 0x00 0x02 0xc5 0x00 0x00
0x00 0x00 0x0b 0x50 0x40 0x1f 0xad 0xc0
0x00 0x00 0x30 0x20 0x40 0x20 0x00 0x00
0x00 0x12 0x12 0xb8 0x40 0x32 0x12 0xb8
0x00 0x01 0x44 0x68 0x00 0x97 0x00 0x00
0x00 0x00 0xbd 0x00 0x56 0x00 0x00 0x00
0x00 0x09 0x57 0x50

STS = HAB_FAILURE (0x33)
RSN = HAB_INV_SIGNATURE (0x18)
CTX = HAB_CTX_COMMAND (0xC0)
ENG = HAB_ENG_ANY (0x00)

--------- HABイベント4-----------------
イベントデータ:
0xdb 0x00 0x3c 0x45 0x33 0x18 0xc0 0x00
0xca 0x00 0x34 0x00 0x02 0xc5 0x00 0x00
0x00 0x00 0x0b 0x50 0x40 0x1f 0xad 0xc0
0x00 0x00 0x30 0x20 0x40 0x20 0x00 0x00
0x00 0x12 0x12 0xb8 0x40 0x32 0x12 0xb8
0x00 0x01 0x44 0x68 0x00 0x97 0x00 0x00
0x00 0x00 0xbd 0x00 0x56 0x00 0x00 0x00
0x00 0x09 0x57 0x50

STS = HAB_FAILURE (0x33)
RSN = HAB_INV_SIGNATURE (0x18)
CTX = HAB_CTX_COMMAND (0xC0)
ENG = HAB_ENG_ANY (0x00)

障害が発生したブロックのアドレス/サイズは、u-boot-atf.itb のものと完全に一致します。ロード可能なファイル（U-Boot、ATF、OP-TEE）。これはクリーンな再建でもデターミニスティックです。一方、署名済みのimx-boot SPL+ATF+U-Bootコンテナ（同じレシピ/ツールで署名済み）は正常に認証される。

質問： Falconモードのu-boot-atf.itb（マルチロード可能なFIT：U-Boot + ATF + OP-TEE）に署名する場合、imx_signerのデフォルトのcsf_hab4.cfgが標準のimx-boot SDコンテナ用に生成するものとは異なるCSF構造が必要ですか？Falconのu-boot-atf.itb/kernel-atf-dtb.itbに署名するための具体的なリファレンスはありますか？

Re: Enable Secure Boot in Falcon Mode (6.12.49 - Kernel Version) || iMX8MP_EVK

どうか助けてください！

Re: Enable Secure Boot in Falcon Mode (6.12.49 - Kernel Version) || iMX8MP_EVK

こんにちは、

遅れて申し訳ありません。

リポジトリで述べられているように、安全なブートサポートはlf-6.6.36-2.1.0-secureで有効化されていますBranch とは参照として使用できますが、残念ながら lf-6.12.20-2.0.0-secure(安全)は使えますFalconブランチでは、そのBSPおよびそれ以降のバージョンではセキュアブートがサポートされていないことが明記されています。

6.6のセキュアブランチから安全なFalcon実装を移植するためのドキュメントは存在しません。imx-bootコンテナの認証は、FIT CSFブロックマップまたはCSF挿入オフセットの不一致を示唆しています。

よろしくお願いいたします。