方案 V1

1. 准备初始密钥文件 set_aes_key.txt 和 set_nonce.txt。

   set_aes_key.txt 和 set_nonce.txt 文件中有一个初始密钥，需要手动修改其中的 HEX 密钥内容。

   cat set_aes_key.txt
       0123456789abcdef0123456789abcdef
   cat set_nonce.txt
       0123456789abcdef

2. 确保已经安装 OpenSSL。如未安装，可执行以下命令进行安装：

   sudo apt-get install openssl

3. 进入开发板根目录：

   cd SDK/target/<soc>/<board>/pack/keys/

   例如：

   cd SDK/target/d13x/demo88-nand/pack/keys/

4. 使用下列命令运行脚本生成所需的密钥文件和头文件：

   • 在 Linux 环境下：

     ./gen_spienc_key.sh

   • 在 Windows 环境下：

     gen_spienc_key.bat

   生成的文件如下所示：

   • AES 密钥 spi_aes.key

   • AES 对应的 C 语言头文件 spi_aes_key.h

   • spi_nonce.key

   • rotpk.bin

   • rsa_private_key.der

   • rsa_private_key.pem

   • rsa_public_key.der

   • rsa_public_key.pem

5. 将 spi_aes_key.h 文件复制粘贴至下列目录中，供编译烧录 eFuse 的程序时使用：

   spi_aes.key 和其它文件则保留在 SDK/target/<SoC>/<board>/pack/keys/，用于 mk_image.py 生成加密固件时使用，例如 SDK/target/d13x/demo88-nand/pack/keys/

   重要： 生成的密钥务必妥善保管，以免丢失或者泄露。
   目录下有 set_aes_key.txt 和 set_nonce.txt，里面有一个初始秘钥， 用户需要手动修改 txt 中的 HEX 秘钥内容，然后再运行脚本更新秘钥。

tinySPL [Built on Feb 27 2025 11:21:57]
BROM SPIENC is ENABLED
JTAG LOCK   is ENABLED
SPI ENC KEY:
0x406efde8 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   //烧录后的 key 对 CPU 不可见，所以无法读出
SPI ENC Key is read DISABLED
SPI ENC Key is write DISABLED

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录中执行下列命令：

   scons --apply-def=d13x_demo88-nand_rt-thread_bootloader_defconfig

3. 使用以下任意命令，打开 BootLoader 的 menuconfig 菜单：

   bm

   或

   scons --menuconfig

4. 在配置界面，勾选或确认已勾选下列参数：

   AIC_USING_SPIENC
   AICUPG_FIRMWARE_SECURITY

   参数对应的配置界面如下：

   Board options  --->
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak
       [*] Using Efuse/SID
           SID Parameter  --->
               (64) set efuse max word
   Bootloader options  --->
       [*] Upgrading  --->
           [*]   Secure transfer firmware and burn

   重要：

   编译量产固件时，需将编译烧录 eFuse 程序时的代码修改还原。

5. 在正式发布的固件中，建议将下列参数选项去掉，防止攻击者通过控制台读出 Flash 中的数据，否则可跳过：

   AIC_BOOTLOADER_CMD_MTD
   AIC_MTD_BARE_TEST

   参数对应的功能配置界面如下：

   BootLoader options  --->
       Commands  --->
           [ ] mtd read/write
   
   Drivers options  --->
       Drivers examples  --->
           [ ] Enable MTD driver test command

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录，执行下列命令：

   scons --apply-def=d13x_demo88-nand_rt-thread_bootloader_defconfig

3. 使用以下任意命令，打开 Application 的 menuconfig 菜单：

   bm

   或

   scons --menuconfig

4. 勾选或确认已勾选下列选项：

   AIC_USING_SPIENC

   对应的配置界面如下：

   Board options  --->
   
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak

5. 在正式版本的固件中，建议删除 bsp/examples/test-spinor/test_sfud.c bsp/examples/test-spinor/test_fal.c bsp/examples/test-spinand/test_mtd.c 文件中的 sf、 fal 和 mtd_nand 命令命令，防攻击者通过控制台读出 Flash 中的数据，否则可跳过此步。

1. 配置生成签名的组件

   开启了安全启动后，需要对 BootLoader 进行签名。参考签名相关部分的内容进行修改：

   {
       "spi-nand": {
           ...
       },
       "image": {
           ...
       },
       "info": { // Header information about image
           ...
       },
       "updater": { // Image writer which is downloaded to RAM by USB/UART
           ...
       },
       "target": { // Image components which will be burn to device's partitions
           ...
       },
       "pre-process": { // before v1.0.6 is the name "temporary"
           "aicimage": { // Create aic boot image
               "usbupg-ddr-init.aic": { // No loader, only PreBootProgram to initialize DDR
                   "head_ver": "0x00010001",
                   "resource": {
                       "private": "ddr_init.bin",
                       "pubkey": "keys/rsa_public_key.der",   // 签名相关
                       "pbp": "d13x.pbp",or               },
                   "signature": {
                        "algo": "rsa,2048",
                        "privkey": "keys/rsa_private_key.der",   // 签名相关
                   },
               },
               "pbp_ext.aic": {
                   "head_ver": "0x00010001",
                   "resource": {
                       "pbp": "d13x.pbp",or                   "pubkey": "keys/rsa_public_key.der",   // 签名相关
                       "private": "pbp_cfg.bin",
                   },
                   "signature": {   // 签名相关
                        "algo": "rsa,2048",
                        "privkey": "keys/rsa_private_key.der",
                   },
                   // combine to use with loader.aic
                   "with_ext": "true",
               },
               "loader.aic": {
                   "head_ver": "0x00010001",
                   "loader": {
                       "file": "bootloader.bin",
                       "load address": "CONFIG_AIC_BOOTLOADER_LOAD_BASE",
                       "entry point": "CONFIG_AIC_BOOTLOADER_TEXT_BASE", // 256 byte aic header
                   },
                   "resource": {
                       "private": "ddr_init.bin",
                       "pubkey": "keys/rsa_public_key.der",  // 签名相关
                   },
                   "signature": {  // 签名相关
                        "algo": "rsa,2048",
                        "privkey": "keys/rsa_private_key.der",
                   },
               },
           },
       },
   }

2. 生成烧录器量产固件
   在 SDK 根目录执行 me 或者 scons --menuconfig 打开配置界面进行如下配置。

   Application options  --->
       [*] Generate burner format image

   配置完成后进行编译，编译完成后在编译输出目录 (images)/burner下找到烧录器烧录所使用到的镜像，例如 d13x_demo88-nor_page_2k_block_128k_v1.0.0.bin。

3. 对烧录器量产固件进行加密
   执行下列命令：

   tools/scripts/spienc --key spi_aes.key --nonce spi_nonce.key --tweak 0x0 --addr 0x0 --start 0x0 --input d13x_demo88-nor_page_2k_block_128k_v1.0.0.bin --output d13x_demo88-nor_page_2k_block_128k_v1.0.0.bin.enc

   • key: 使用的加密秘钥。

   • nonce: 使用的加密 Nonce 值。

   • tweak: 该值不需要配置，保持为 0 即可。

   • addr: 该值不需要配置，保持为 0 即可。

   • start: 该值不需要配置，保持为 0 即可。

   • input: 加密的源文件，此处为前面生成的量产烧录器固件 (d13x_demo88-nor_page_2k_block_128k_v1.0.0.bin) 文件。

   • output: 加密后的文件，此处为固件 (d13x_demo88-nor_page_2k_block_128k_v1.0.0.bin.enc)文件。

   注：

   此处使用的 AES 加密密钥，即为生成密钥章节中SDK/target/<soc>/<board>/pack/keys/ 文件目录生成的密钥。