方案 V1

1. 准备初始密钥文件 set_aes_key.txt 和 set_nonce.txt。

   set_aes_key.txt 和 set_nonce.txt 文件中有一个初始密钥，需要手动修改其中的 HEX 密钥内容。

   cat set_aes_key.txt
       0123456789abcdef0123456789abcdef
   cat set_nonce.txt
       0123456789abcdef

2. 确保已经安装 OpenSSL。如未安装，可执行以下命令进行安装：

   sudo apt-get install openssl

3. 进入开发板根目录：

   cd SDK/target/<soc>/<board>/pack/keys/

   例如：

   cd SDK/target/d13x/demo88-nand/pack/keys/

4. 使用下列命令运行脚本生成所需的密钥文件和头文件：

   • 在 Linux 环境下：

     ./gen_spienc_key.sh

   • 在 Windows 环境下：

     gen_spienc_key.bat

   生成的文件如下所示：

   • AES 密钥 spi_aes.key

   • AES 对应的 C 语言头文件 spi_aes_key.h

   • spi_nonce.key

   • rotpk.bin

   • rsa_private_key.der

   • rsa_private_key.pem

   • rsa_public_key.der

   • rsa_public_key.pem

5. 将 spi_aes_key.h 文件复制粘贴至下列目录中，供编译烧录 eFuse 的程序时使用：

   spi_aes.key 和其它文件则保留在 SDK/target/<SoC>/<board>/pack/keys/，用于 mk_image.py 生成加密固件时使用，例如 SDK/target/d13x/demo88-nand/pack/keys/

   重要： 生成的密钥务必妥善保管，以免丢失或者泄露。
   目录下有 set_aes_key.txt 和 set_nonce.txt，里面有一个初始秘钥， 用户需要手动修改 txt 中的 HEX 秘钥内容，然后再运行脚本更新秘钥。

tinySPL [Built on Feb 27 2025 11:21:57]
BROM SPIENC is ENABLED
JTAG LOCK   is ENABLED
SPI ENC KEY:
0x406efde8 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   //烧录后的 key 对 CPU 不可见，所以无法读出
SPI ENC Key is read DISABLED
SPI ENC Key is write DISABLED

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录中执行下列命令：

   scons --apply-def=d13x_demo88-nand_rt-thread_bootloader_defconfig

3. 使用以下任意命令，打开 BootLoader 的 menuconfig 菜单：

   bm

   或

   scons --menuconfig

4. 在配置界面，勾选或确认已勾选下列参数：

   AIC_USING_SPIENC
   AICUPG_FIRMWARE_SECURITY

   参数对应的配置界面如下：

   Board options  --->
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak
       [*] Using Efuse/SID
           SID Parameter  --->
               (64) set efuse max word
   Bootloader options  --->
       [*] Upgrading  --->
           [*]   Secure transfer firmware and burn

   重要：

   编译量产固件时，需将编译烧录 eFuse 程序时的代码修改还原。

5. 在正式发布的固件中，建议将下列参数选项去掉，防止攻击者通过控制台读出 Flash 中的数据，否则可跳过：

   AIC_BOOTLOADER_CMD_MTD
   AIC_MTD_BARE_TEST

   参数对应的功能配置界面如下：

   BootLoader options  --->
       Commands  --->
           [ ] mtd read/write
   
   Drivers options  --->
       Drivers examples  --->
           [ ] Enable MTD driver test command

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录，执行下列命令：

   scons --apply-def=d13x_demo88-nand_rt-thread_helloworld_defconfig

3. 使用以下任意命令，打开 Application 的 menuconfig 菜单：

   me

   或

   scons --menuconfig

4. 勾选或确认已勾选下列选项：

   AIC_USING_SPIENC

   对应的配置界面如下：

   Board options  --->
   
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak

5. 在正式版本的固件中，建议删除 bsp/examples/test-spinor/test_sfud.c bsp/examples/test-spinor/test_fal.c bsp/examples/test-spinand/test_mtd.c 文件中的 sf、 fal 和 mtd_nand 命令，防攻击者通过控制台读出 Flash 中的数据，否则可跳过此步。

{
    "spi-nand": {
        ...
    },
    "image": {
        ...
    },
    "info": { // Header information about image
        ...
    },
    "updater": { // Image writer which is downloaded to RAM by USB/UART
        ...
    },
    "target": { // Image components which will be burn to device's partitions
        ...
    },
    "pre-process": { // before v1.0.6 is the name "temporary"
        "aicimage": { // Create aic boot image
            "usbupg-ddr-init.aic": { // No loader, only PreBootProgram to initialize DDR
                "head_ver": "0x00010001",
                "resource": {
                    "private": "ddr_init.bin",
                    "pubkey": "keys/rsa_public_key.der",   // 签名相关
                    "pbp": "d13x.pbp",             
                },
                "signature": {
                     "algo": "rsa,2048",
                     "privkey": "keys/rsa_private_key.der",   // 签名相关
                },
            },
            "pbp_ext.aic": {
                "head_ver": "0x00010001",
                "resource": {
                    "pbp": "d13x.pbp",                 
                    "pubkey": "keys/rsa_public_key.der",   // 签名相关
                    "private": "pbp_cfg.bin",
                },
                "signature": {   // 签名相关
                     "algo": "rsa,2048",
                     "privkey": "keys/rsa_private_key.der",
                },
                // combine to use with loader.aic
                "with_ext": "true",
            },
            "loader.aic": {
                "head_ver": "0x00010001",
                "loader": {
                    "file": "bootloader.bin",
                    "load address": "CONFIG_AIC_BOOTLOADER_LOAD_BASE",
                    "entry point": "CONFIG_AIC_BOOTLOADER_TEXT_BASE", // 256 byte aic header
                },
                "resource": {
                    "private": "ddr_init.bin",
                    "pubkey": "keys/rsa_public_key.der",  // 签名相关
                },
                "signature": {  // 签名相关
                     "algo": "rsa,2048",
                     "privkey": "keys/rsa_private_key.der",
                },
            },
        },
    },
}

• algo: 加密的算法

• file: 加密的源文件，此处为前面生成的 bootloader.aic 文件

• key: 使用的加密密钥

• nonce: 使用的加密 Nonce 值

• tweak: 该值不需要配置，保持为 0 即可