防抄板-SPIENC-D13x

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录中执行下列命令：

   scons --apply-def=d13x_demo88-nor_baremetal_bootloader_defconfig
   

3. 打开 BootLoader 的 menuconfig 菜单：

   scons --menuconfig

4. 在配置界面，勾选或确认已勾选下列参数：

   AIC_USING_SPIENC
   AIC_SPIENC_BYPASS_IN_UPGMODE

   配置界面示例如下：

   Board options  --->
   
       [*] Using Spienc
       [*]   Bypass during bootloader burn image
       [*]   Enc qspi0
       (0)     set qspi0 tweak
       [*] Using Efuse/SID
   

   注：

   编译量产固件时，需将编译烧录 eFuse 程序时的代码修改还原。

5. 在正式发布的固件中，建议将下列参数选项去掉，防止攻击者通过控制台读出 Flash 中的数据，否则可跳过：

   AIC_BOOTLOADER_CMD_MTD
   AIC_MTD_BARE_TEST
   

   功能配置界面示例如下：

   BootLoader options  --->
       Commands  --->
           [ ] mtd read/write
   
   Drivers options  --->
       Drivers examples  --->
           [ ] Enable MTD driver test command
   

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录，执行下列命令：

   scons --apply-def=d13x_demo88-nor_rt-thread_helloworld_defconfig
    

3. 打开 Application 的 menuconfig 菜单：

   scons --menuconfig

4. 勾选或确认已勾选下列选项：

   AIC_USING_SPIENC

   配置界面示例：

   Board options  --->
   
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak
   

5. 在正式版本的固件中，建议删除 kernel/rt-thread/components/drivers/spi/spi_flash_sfud.c中的 sf 命令，防攻击者通过控制台读出 Flash 中的数据，否则可跳过此步。

   宏 RT_USING_FINSH 包住的内容：

   #if defined(RT_USING_FINSH)...#endif

在 SDK/target/d13x/demo88-nor/pack/image_cfg.json 中配置并生成签名加密固件。

在 image_cfg.json 的 “temporary” 或 “pre-process” 对象的最后，添加 “spienc” 对象配置。

此处使用的 AES 加密密钥，即为SDK/target/d13x/demo88-nor/pack/keys/ 文件目录中生成的密钥。

在下列示例中，配置了一组需要使用 “spienc” 工具进行加密的组件，其中生成 bootloader.aic.enc 组件的配置参数为：

{
    "spi-nor": { // Device, The name should be the same with string in image:info:media:type
        "size": "16m", // Size of SPI NAND
        "partitions": {
            "spl":        { "size": "256k" },
            "os":         { "size": "2m" },
            "rodata":     { "size": "6m" },
            "data":       { "size": "7m" }
        },
    },
    "image": {
        ...
    },
    "info": { // Header information about image
        ...
    },
    "updater": { // Image writer which is downloaded to RAM by USB/UART
        ...
    },
    "target": { // Image components which will be burn to device's partitions
        ...
    },
    "pre-process": { // before v1.0.6 is the name "temporary"
        "spienc": {
            "bootloader.aic.enc": {
                "file": "bootloader.aic", // File to be encrypted
                "address": "0x0", // Flash start address file to be stored
                "key": "keys/spi_aes.key", // Keys the same in eFuse
                "nonce": "keys/spi_nonce.key", // Nonce the same in eFuse
                "tweak": "0",
            },
            "d13x_os.itb.enc": {
                "file": "d13x_os.itb", // File to be encrypted
                "address": "0x40000", // Flash start address file to be stored
                "key": "keys/spi_aes.key", // Keys the same in eFuse
                "nonce": "keys/spi_nonce.key", // Nonce the same in eFuse
                "tweak": "0",
            },
            ...
        },
    },
}

• file: 加密的源文件，此处为前面生成的 bootloader.aic 文件

• address: 是加密后的文件，存放在 Flash 的开始位置，这里应根据前面的分区表信息计算得到

• key: 使用的加密密钥

• nonce: 使用的加密 Nonce 值

• tweak: 该值不需要配置，保持为 0 即可

对于一个或者多个需要进行加密的组件，都应按照上述方式进行配置。

mk_image.py 工具在读取 image_cfg.json 文件时，逐个处理放在 “spienc” 中的配置，生成对应的加密组件，然后再进行打包。

在 image_cfg.json 中配置下列参数，打包加密组件：

1. updater 中打包的程序，应为非加密程序

   updater 中配置的参数，都不是 .enc 结尾的组件

2. target 中打包的程序和数据，应为加密后的程序

   target 中配置的参数，都是 .enc 结尾的组件

{
    "spi-nor": { // Device, The name should be the same with string in image:info:media:type
        "size": "16m", // Size of SPI NAND
        "partitions": {
            "spl":        { "size": "256k" },
            "os":         { "size": "2m" },
            "rodata":     { "size": "6m" },
            "data":       { "size": "7m" }
        },
    },
    "image": {
        ...
    },
    "info": { // Header information about image
        ...
    },
    "updater": { // Image writer which is downloaded to RAM by USB/UART
        "psram": {
            "file": "uartupg-psram-init.aic",
            "attr": ["required", "run"],
            "ram": "0x30043000"
        },
        "spl": {
            "file": "bootloader.aic",
            "attr": ["required", "run"],
            "ram": "0x40100000"
        },
    },
    "target": { // Image components which will be burn to device's partitions
        "spl": {
            "file": "bootloader.aic.enc",
            "attr": ["mtd", "required"],
            "part": ["spl"]
        },
        "os": {
            "file": "d13x_os.itb.enc",
            "attr": ["mtd", "required"],
            "part": ["os"]
        },
        "rodata": {
            "file": "rodata.fatfs.enc",
            "attr": ["mtd", "optional"],
            "part": ["rodata"]
        },
        "data": {
            "file": "data.lfs.enc",
            "attr": ["mtd", "optional"],
            "part": ["data"]
        },
    },
    "pre-process": { // before v1.0.6 is the name "temporary"
        ...
    },
}