方案 V2

1. 准备初始密钥文件 set_aes_key.txt 和 set_nonce.txt。

   set_aes_key.txt 和 set_nonce.txt 文件中有一个初始密钥，需要手动修改其中的 HEX 密钥内容。

   cat set_aes_key.txt
       0123456789abcdef0123456789abcdef
   cat set_nonce.txt
       0123456789abcdef

2. 确保已经安装 OpenSSL。如未安装，可执行以下命令进行安装：

   sudo apt-get install openssl

3. 进入开发板根目录：

   cd SDK/target/<soc>/<board>/pack/keys/

   例如：

   cd SDK/target/d12x/demo68-nor/pack/keys/

4. 使用下列命令运行脚本生成所需的密钥文件和头文件：

   • 在 Linux 环境下：

     ./gen_spienc_key.sh

   • 在 Windows 环境下：

     gen_spienc_key.bat

   生成的文件如下所示：

   • AES 密钥 spi_aes.key

   • AES 对应的 C 语言头文件 spi_aes_key.h

5. 将 spi_aes_key.h 文件复制粘贴至下列目录中，供编译烧录 eFuse 的程序时使用：

   spi_aes.key 和其它文件则保留在 SDK/target/<SoC>/<board>/pack/keys/，用于 mk_image.py 生成加密固件时使用，例如 SDK/target/d12x/demo68-nor/pack/keys/

   重要： 生成的密钥务必妥善保管，以免丢失或者泄露。
   目录下有 set_aes_key.txt 和 set_nonce.txt，里面有一个初始秘钥， 用户需要手动修改 txt 中的 HEX 秘钥内容，然后再运行脚本更新秘钥。

tinySPL [Built on Feb 27 2025 11:21:57]
BROM SPIENC is ENABLED
JTAG LOCK   is ENABLED
SPI ENC KEY:
0x406efde8 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   //烧录后的 key 对 CPU 不可见，所以无法读出
SPI ENC Key is read DISABLED
SPI ENC Key is write DISABLED

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录中执行下列命令：

   scons --apply-def=d12x_demo68-nor_baremetal_bootloader_defconfig

3. 使用以下任意命令，打开 BootLoader 的 menuconfig 菜单：

   bm

   或

   scons --menuconfig

4. 在配置界面，勾选或确认已勾选下列参数：

   AIC_USING_SPIENC
   AICUPG_FIRMWARE_SECURITY

   参数对应的配置界面如下：

   Board options  --->
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak
       [*] Using Efuse/SID
           SID Parameter  --->
               (64) set efuse max word
   Bootloader options  --->
       [*] Upgrading  --->
           [*]   Secure transfer firmware and burn

   重要：

   编译量产固件时，需将编译烧录 eFuse 程序时的代码修改还原。

5. 在正式发布的固件中，建议将下列参数选项去掉，防止攻击者通过控制台读出 Flash 中的数据，否则可跳过：

   AIC_BOOTLOADER_CMD_MTD
   AIC_MTD_BARE_TEST

   参数对应的功能配置界面如下：

   BootLoader options  --->
       Commands  --->
           [ ] mtd read/write
   
   Drivers options  --->
       Drivers examples  --->
           [ ] Enable MTD driver test command

1. 进入 SDK 根目录：

   cd <SDK_ROOT>

2. 在 SDK 根目录，执行下列命令：

   scons --apply-def=d12x_demo68-nor_baremetal_bootloader_defconfig

3. 使用以下任意命令，打开 Application 的 menuconfig 菜单：

   bm

   或

   scons --menuconfig

4. 勾选或确认已勾选下列选项：

   AIC_USING_SPIENC

   对应的配置界面如下：

   Board options  --->
   
       [*] Using Spienc
       [*]   Enc qspi0
       (0)     set qspi0 tweak

5. 在正式版本的固件中，建议删除 bsp/examples/test-spinor/test_sfud.c bsp/examples/test-spinor/test_fal.c bsp/examples/test-spinand/test_mtd.c 文件中的 sf、 fal 和 mtd_nand 命令命令，防攻击者通过控制台读出 Flash 中的数据，否则可跳过此步。

1. 对组件进行加密

   在 image_cfg.json 的 “temporary” 或 “pre-process” 对象的最后，添加 “data_crypt” 对象配置。

   此处使用的 AES 加密密钥，即为生成密钥章节中SDK/target/<soc>/<board>/pack/keys/ 文件目录生成的密钥。

   在下列示例中，配置了一组需要使用 “data_crypt” 工具进行加密的组件，其中生成 bootloader.aic.enc 组件的配置参数为：

   • algo: 加密的算法

   • file: 加密的源文件，此处为前面生成的 bootloader.aic 文件

   • key: 使用的加密密钥

   • tweak: 该值不需要配置，保持为 0 即可

   {
       "spi-nor": {
           ...
       },
       "image": {
           ...
       },
       "info": { // Header information about image
           ...
       },
       "updater": { // Image writer which is downloaded to RAM by USB/UART
           ...
       },
       "target": { // Image components which will be burn to device's partitions
           ...
       },
       "pre-process": { // before v1.0.6 is the name "temporary"
           "data_crypt": {
               "bootloader.aic.enc": { //加密 bootloader 分区
                   "algo": "spienc-aes-128-ecb",
                   "file": "bootloader.aic", // File to be encrypted
                   "key": "keys/spi_aes.key", // Keys the same in eFuse
                   "tweak": "0",
               },
               "env.bin.enc": { //加密 env 分区，备份分区使用同一个组件
                   "algo": "spienc-aes-128-ecb",
                   "file": "env.bin", // File to be encrypted
                   "key": "keys/spi_aes.key", // Keys the same in eFuse
                   "tweak": "0",
               },
               "d12x_os.itb.enc": { //加密 os 分区
                   "algo": "spienc-aes-128-ecb",
                   "file": "d12x_os.itb", // File to be encrypted
                   "key": "keys/spi_aes.key", // Keys the same in eFuse
                   "tweak": "0",
               },
               "rodata.fatfs.enc": { //加密 rodata 分区
                   "algo": "spienc-aes-128-ecb",
                   "file": rodata.fatfs", // File to be encrypted
                   "key": "keys/spi_aes.key", // Keys the same in eFuse
                   "tweak": "0",
               },
               "data.lfs.enc": { //加密 data 分区
                   "algo": "spienc-aes-128-ecb",
                   "file": "data.lfs.itb", // File to be encrypted
                   "key": "keys/spi_aes.key", // Keys the same in eFuse
                   "tweak": "0",
               },
               ...
           },
       },
   }

   对于一个或者多个需要进行加密的组件，都应按照上述方式进行配置。

   mk_image.py 工具在读取 image_cfg.json 文件时，逐个处理放在 “data_crypt” 中的配置，生成对应的加密组件，然后再进行打包。

   重要：

   “data_crypt” 字段应放在 “temporary”/”pre-process” 的最后，因为处理 “data_crypt” 时，可能需要依赖前面配置生成的文件，比如 ”aicimage”。

2. 配置烧录加密组件

   在 image_cfg.json 中配置下列参数，打包加密组件，以适配烧录加密固件的要求：

   1. updater 中打包的程序，应为非加密程序。

      updater 中配置的参数，都不是 .enc 结尾的组件。

      SD 卡启动时，首先运行 updater 中的程序，进入烧录模式。此时由于数据是从 SD 卡加载的，不能为加密程序，否则无法正常执行。

   2. target 中打包的程序和数据，应为加密后的程序。

      target 中配置的参数，都是 .enc 结尾的组件。

      target 中打包的程序是要烧录到 Flash 的数据，如果不加密，则无法起到保护的作用，因此需要打包加密后的组件。

   { "image": {
           ...
       },
       "info": { // Header information about image
           ...
       },
       "updater": { // Image writer which is downloaded to RAM by USB/UART
           "ddr": {
               "file": "usbupg-ddr-init.aic",
               "attr": ["required", "run"],
               "ram": "0x00103000"
           },
           "spl": {
               "file": "bootloader.aic",
               "attr": ["required", "run"],
               "ram": "0x41000000"
           },
       },
       "target": { // Image components which will be burn to device's partitions
           "spl": {
               "file": "bootloader.aic.enc", //使用 enc 结尾的加密组件
               "attr": ["mtd", "required"],
               "part": ["spl"]
           },
           "os": {
               "file": "d21x_os.itb.enc",   //使用 enc 结尾的加密组件
               "attr": ["mtd", "required"],
               "part": ["os"]
           },
           "rodata": {
               "file": "rodata.fatfs.enc", //使用 enc 结尾的加密组件
               "attr": ["mtd", "optional"],
               "part": ["rodata"]
           },
           "data": {
               "file": "data.fatfs.enc", //使用 enc 结尾的加密组件
               "attr": ["mtd", "optional"],
               "part": ["data"]
           },
       },
       "pre-process": { // before v1.0.6 is the name "temporary"
           ...
       },
   }