这是描述信息

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案

智能家居matter协议模块乐鑫科技wifi加密芯片flash/NVS加密方案,将启用 Flash 加密方案的明文固件烧录到设备端,并启动设备端后,设备端将自动启用Flash 加密方案。设备端自动启用 Flash 加密方案的基本工作流程是:
1)Bootloader 读取 eFuse 中 SPI BOOT_CRYPT_CNT 区域的值,若未启用Flash 加密方案则启用 Flash 加密方案。默认情况下,该区域的值为0,代表还未启用 FIash 加密。
(2)Bootloader 检测存储 Flash 加密方案密的eFuse 区域BLOCK KEY中是否已经存储密钥若未预先烧录密钥,则自动生成密并写入 BLOCK KEY,然后开启该区域的读/写保护,软件将无法读/写密钥。
(3)通过智能家居matter协议模块乐鑫科技wifi加密芯片Flash 加密方案来加密 Flash 中需要加密的数据,包括 Bootloader、app 和其他在分区表中标记 encrypted 的分区数据。
(4) Bootloader 将 eFuse 中的 SPI BOOT_CRYPT_CNT 区域的值设置为 1,表示已经启用了Flash 加密方案。
(5)若 Flash 加密的工作模式为开发模式,则 eFuse 中的 SPI_BOOT_CRYPT_CNT 和DIS DOWNLOAD MANUAL ENCRYPT 区域将不被写保护,从而允许关闭 Flash 加密方案,并重新烧录加密固件。
(6)若 Flash 加密的工作模式为量产模式,则智能家居matter协议模块乐鑫科技wifi加密芯片eFuse 中的 SPI_BOOT_CRYPT_CNT 和DIS_DOWNLOAD_MANUAL_ENCRYPT 区域将被写保护,从而永久使用 Flash 加密方案并禁止重新烧录固件。
(7)设备端在自动重启后会加载并运行加密后的 Bootloader 固件和app 固件。


注意:启用 Flash 加密方案后,eFuse 的一些标志位将默认被置位,从而关闭一些系统功能,如JTAG。继续保留这些系统功能可能会带来安全风险,在测试阶段,如果需要保留这些标志位,请参考 ESP-IDF 编程指南中与 Flash 加密相关的说明。


启用 Flash 加密方案后,设备端在加载运行加密的 Bootloader 固件和 app 固件时,智能家居matter协议模块乐鑫科技wifi加密芯片先自动通过硬件模块解密对应的数据,再将解密后的数据加载到设备端的 iRAM和 Cache 中运行。此外启用 Flash 加密方案后,一些 API在读/写 Flash 上加密分区的数据时将自动加/解密数据。自动解密数据的 API 主要包括 esp_partition_read()、esp_flash_read_encrypted()、bootloader_flash_read();自动加密数据的 API 主要包括 esp_partition_write()、esp_flash_write encrypted()、bootloader_flash_write()。


特别地,启用 Flash 加密方案后,在执行 OTA 升级时,设备端接收的是明文数据,在将接收到的明文数据写入 Flash 时,将调用上述的esp_partition_write()函数自动加密数据,以适应 Flash 加密方案的特性。

注意:设备量产后,通过 OTA 升级功能可以远程更新 app 固件,但无法更新 Bootloader 固件因此启用智能家居matter协议模块乐鑫科技wifi加密芯片Flash 加密方案后,请注意 Bootloader 的相关配置,如 Log 级别的配置。

NVS 加密方案简介
Flash 加密方案并不直接保护存储在 NVS分区的数据,存储在 NVS分区的数据需要 NVS加密方案来保护其机密性。我们可以通过 menuconfig - Component config - NVS -Enable NVS encryption 选项启用NVS 加密,或者在代码中调用 nvs_flash_secureinit()函数启用它。
NVS 加密方案的基本原理:在分区表中定义一块不少于4KB的子类型为nvs_key 的分区在启用NVS加密方案后,将使用nvs_key 分区的密加密NVS分区的数据。一种支持NVS加密的典型分区表如下所示:

1.# Name,Typer, SubType,Offset, Size,Flags
2.nvs,data,0x6000,,nvs,
3.phy_init,data,phy,,0x1000,
4.factory,app,factory,, 1M,
5.nvs_key,data,nvs_keys,,0x1000,encrypted,

NVS 加密方案与 Flash 加密方案有很多类似的地方,例如:
(1)NVS加密方案使用的加密算法是对称加密算法 AES-XTS。如前所述,对称加密算法要求其密钥是保密的,这样才能保证加密后的数据不被分析破解。NVS 加密方案的密钥不能是明文的,因此该方案经常与 Flash 加密方案结合使用,其中智能家居matter协议模块乐鑫科技wifi加密芯片Flash 加密方案负责保护 nvs_key的密钥机密性,NVS 加密方案使用 nvs_key 保护NVS 分区的数据机密性。
(2)存储NVS 加密方案密的方式有两种:一种是手动方式,即手动生成一个密钥,并将密钥新写入指定的分区,另一种是自动方式,即在首次启用 NVS 加密方案,且对应的 nvs_key分区内容为空时,设备内部先自动调用 nvs_flash_generate_keys()函数生成密钥,再将密钥写入 nvs_key分区,并使用该密钥完成NVS 加/解密。

采用手动方式存储 NVS 加密方案密钥的步骤如下:
首先,生成一个包含密钥的文件,命令如下:

$ espsecure.Py generate_flash_encryption_key_my_nvs_encryption key.bin
然后,编译并烧录分区表,命令如下:
$ idf.py -P (PORT) partition_table-flash
后,将密钥烧录到指定的分区,命令如下:
$ parttool.py -P (PORT) --partition-table-offset "nvs_key_partition offset"write_partition --partition-name="name of nvs_key partition"--input "nvs_keypartition"
(3)启用NVS 加密方案后,以nvs_get 或nvs_set 开头的API,在读/写NVS分区的数据时将自动完成数据的加/解密。

注意:启用 Flash 加密方案后,推荐启用NVS 加密方案(默认启用),这是因为智能家居matter协议模块乐鑫科技wifi加密芯片Wi-Fi驱动程序在默认的 NVS 分区中存储了一些重要数据(如SSID 和密码)。NVS 加密方案可在多个不同的 NVS 分区中使用不同的 nvs_key,在初始化对应的 NVS 分区时,只需要指定使用的nvs_key即可。

13.3.7 Flash 加密方案和 NVS 加密方案的示例

ESP-IDF的examples/security/flash encryption 提供了 Flash 加密方案和NVS加密方案的示例。通过运行该示例,可以观察 Flash 加密和 NVS 加密后的 Log 信息。
如前所述,若 Flash 加密的工作模式为开发模式,则可以重复烧录固件。我们尝试使用下面的三条命令将固件数据烧录到启用了 Flash 加密方案(开发模式)的设备上。

命令1:
$ idf.py -P PORT flash monitor
命令2:
$ idf.py -p PORr encrypted-flash monitor
命令3:
$ idf.py -p PORT encrypted-app-flash monitor

上述三条命令执行的情况和结果分别是:当使用命令 1进行烧录时,Flash 上终存储的是明文数据,从而出现无法加载的错误:使用命令 2 将仅烧录加密的 Bootloader 固件、app 固件和分区表,设备可以正常加载运行:使用命令 3 将仅烧录加密的 app 固件,若 Bootloader 是加密的,则设备可以正常加载运行。
上述三条命令内部实际调用了 esptool.py,它们分别对应的 esptool.py 命令参数为:
$ esptool.py --chip esp32c3 -p /dev/ttyusB0 -b 460800 --before=default_reset--after= no_reset_write_flash --flash mode dio --flash freq 40m --flash size 2ME0x1000 bootloader/bootloader 0x20000 flash encryption,bin 0xa000 partition tablelpartition-table.bin
$ esptool.py --chip esp32c3 -p /dev/ttyuSB0 -b 460800 --before=default_reset--after= no_reset_write_flash --flash mode dio --flash freg 40m --flash size 2M--encrypt 0x1000 bootloader/bootloader 0x20000 flash encryption.bin 0xa000partition table/ partition-table.bin
$ esptool.py --chip esp32c3 -p /dev/ttyUSB0 -b 460800 --before=default_reset--after= no_reset_write_flash --flash_mode dio --flash_freg 40m --flash_size 2MB--encrypt 0x20000 flash_encryption.bin
通过对比 esptool.py 对应的选项和参数,我们不难得出结论:使用 esptool.py 进行烧录时,添加选项 --encrypt 后,将在烧录时启用 Flash 自动加密的功能,将加密后的数据写入 Flash 中。


启用智能家居matter协议模块乐鑫科技wifi加密芯片Flash 加密方案后,常见的几种错误如下:


(1)启用 Flash 加密方案后,若烧录的是明文 Bootloader 数据,则在启动设备后,可能出现如下的 Log:
rst:0x3 (SW_RESET),boot:0x13 (SPI_FAST_FLASH_BOOT)
invalid header: 0xb414f76b
invalid header: 0xb414f76b
invalid header: 0xb414f76b
invalid header:0xb414f76b
invalid header: 0xb414f76b
invalid header: 0xb414f76b
invalid header: 0xb414f76b


(2) 启用 Flash 加密方案后,若烧录的是明文分区表,则在启动设备后,可能出现如下 Log:
rst:0x3 (SW RESET),boot:0x13 (SPI FAST FLASH BOOT)
configsip: 0,SPIWP:Oxee
clk drv;0x00,q drv:0x00,d drv;0x00,cs0 drv:0x00,hd drv:0x00,wp drv:0x00
mode:DIO,clock div:2
load:0x3fff0018,len:4
load:0x3ffF001c,len:10464
ho 0 tail 12 room 4
load:0x40078000,len:19168
load:0x40080400,Ien:6664
entry 0x40080764
I(60) boot: ESP-IDF 4.0-dev-763-g2c55fae6c-dirty 2nd stage bootloader
I (60) boot: compile time 19:15:54
I (62) boot: Enabling RNG early entropy source...
I (67) boot:SPI Speed:40MHz
I(72) boot; SPI Mode: DIO
I (76) boot: SPI Flash Size : 4MB
E(80) flash_parts: partition 0 invalid magic number 0x94f6
E(86) boot: Failed to verify partition table
E(91) boot: load partition table error!


(3)启用智能家居matter协议模块乐鑫科技wifi加密芯片Flash 加密方案后,若烧录的是明文 app 固件,则在启动设备后,可能出现如下Log:
rst:0x3 (SW RESET),boot:0x13 (SPI FAST FLASH BOOT)
configsip: 0,SPIWP:Oxee
Clk_drv;0x00,q drv:0x00,d_drv:0x00,cs0_drv:0x00,hd_drv:0x00,wp_drv:0x00
mode:DIO,clock div:2
load:0x3fff0018,len:4
load:0x3fff001c,len:8452
load:0x40078000,len:13616
load:0x40080400,len:6664
entry 0x40080764
I(56) boot: ESP-IDE v4.0-dev-850-gc4447462d-dirty 2nd stage bootloader
I (56) boot: compile time 15:37:14
I (58) boot: Enabling RNG early entropy source...
I(64) boot: SPI Speed: 40MHz
I (68) boot: SPI Mode: DIO
I (72) boot: SPI Flash size: 4MB
I (76) boot: Partition Table:
I (79) boot: ## Label Usage Type ST OffsetLength
I (87) boot: 0 nvs Wi-Fi data 01 02 0000a000 00006000
I (94) boot: 1 phy_init RF data 01 01 00010000 00001000
I (102) boot: 2 factory factory app 00 00 00020000 00100000
I (109) boot: End of partition table
I(113) esp image: image at 0x20000 has invalid magic byte
W (120) esp image: image at 0x20000 has invalid SPI mode 108
W (126) esp image: image at 0x20000 has invalid SPI size 11
E(132) boot: Factory app partition is not bootable
E (138) boot: No bootable app partitions in the partition table

地址:深圳市宝安区西乡街道麻布社区宝安互联网产业基地A区6栋7栋7706

邮箱:Sales@ferry-semi.com

版权所有©2020  深圳市飞睿科技有限公司  粤ICP备2020098907号    飞睿科技微波雷达wifi模块网站地图