[问答]

如何在安全的环境下开发OPTEE的安全功能呢

问答对人有帮助，内容完整，我也想知道答案 0 正常情况下，需要在安全环境下开发安全相关功能。但是一旦开启安全功能就烧写掉efuse中的secure bit，以后芯片就只能启动安全固件。客户处于功能开发阶段，如果把很多芯片烧写成安全，会造成一定的浪费，客户希望在不开启安全的情况下，也能正常的开发OPTEE的TA/NA。处理之前，我们简单了解下TrustZone与Secure bit之间的关系。 TrustZone的作用范围是CPU（处理器、gic、cache、总线等）。Secure bit是一个开关，开启后，TZMA/SMC/SPC/EFUSE/CE等模块，其作用范围是外设。正常使用时，需要TrustZone与Secure bit一起协同工作，才能保障整个系统的安全。这里需要说明的是，在Secure bit没有烧写时，TrustZone依旧是起作用的，CPU依旧有安全态与非安全态，但是外设、存储等是没有安全属性的，所以CPU在非安全态也可以访问所有的外设、内存。回到客户问题，OPTEE的安全应用TA与非安全应用NA交互是基于TrustZone硬件基础，所以是可以在Secure bit没有烧写时进行OPTEE TA/NA的开发。 0
2021-12-29 06:56:12　　评论淘帖0 邀请回答您可以邀请以下用户，快速回答问题 × 文小二该类别下有 5 个回答。邀请回答 yqdedli 该类别下有 4 个回答。邀请回答 yu1004402274 该类别下有 3 个回答。邀请回答笑过就走该类别下有 3 个回答。邀请回答 zym123456 该类别下有 3 个回答。邀请回答 hfgdf 该类别下有 3 个回答。邀请回答倪love 该类别下有 3 个回答。邀请回答梅利号该类别下有 3 个回答。邀请回答 caosurround 该类别下有 3 个回答。邀请回答 heks 该类别下有 3 个回答。邀请回答 LL-LING宁该类别下有 3 个回答。邀请回答叹久该类别下有 2 个回答。邀请回答芒果冰该类别下有 2 个回答。邀请回答 gXDhn 该类别下有 2 个回答。邀请回答 bluepink 该类别下有 2 个回答。邀请回答 jfdgs 该类别下有 2 个回答。邀请回答那年我十七_ 该类别下有 2 个回答。邀请回答 leopard530 该类别下有 2 个回答。邀请回答鲁林该类别下有 2 个回答。邀请回答 xiangwangzihui 该类别下有 2 个回答。邀请回答举报 628215 相关推荐 • 如何在安全OS端实现RSA私钥的生成与存储功能呢 1861 • 求推荐用于配置NTAG424安全功能的软件工具 535 • 如何判断Tina板子中的固件是否是安全呢 1315 • LS1017AXN7PQA可以使用安全启动功能吗？ 438 • OCS威廉希尔官方网站的进展如何在更大程度上保护乘客的安全 4346 • 如何使用STM32微控制器的安全限速？ 312 • 安全系统功能设计怎么实现？ 2722 • Σ-Δ ADC的安全运行 1808 • 使用SBSFU开发STM32WB，是否可以使用非安全启动？ 330 • Tina有哪几种安全存储方式呢？有何区别 815 1个回答

答案对人有帮助，有参考价值 0 解决办法 arm方案对于arm32方案来说，非安全固件中默认就包含了OPTEE，可以直接参考《TinaLinux_安全开发指南》进行开发。 aarch64方案对于aarch64方案来说，非安全固件中默认没有包含OPTEE，在tina/device/config/chips/目录加入如下补丁后，非安全固件中就会包含OPTEE。 diff --git a/configs/default/boot_package.cfg b/configs/default/boot_package.cfg index 5b38539..2152e6e 100644 --- a/configs/default/boot_package.cfg +++ b/configs/default/boot_package.cfg @@ -2,6 +2,7 @@ ;item=Item_TOC_name, Item_filename, item=u-boot, u-boot.fex item=monitor, monitor.fex +item=optee, optee.fex ;item=logo, bootlogo.bmp.lzma ;item=shutdowncharge, bempty.bmp.lzma ;item=androidcharge, battery_charge.bmp.lzma 打包脚本修改在tina/scripts加入如下补丁，其作用是在非安全情况下也对OPTEE中的公钥进行更新。如不更新，运行TA时对TA的校验将会失败，导致TA运行不了。 diff --git a/pack_img.sh b/pack_img.sh index f8b11fa..78ced4f 100755 --- a/pack_img.sh +++ b/pack_img.sh @@ -1749,19 +1749,6 @@ function do_signature() fi fi - # update optee pubkey - if [ -f ${ROOT_DIR}/staging_dir/target/usr/dev_kit/arm-plat-${PACK_CHIP}/export-ta_arm32/keys/default_ta.pem ]; then - ${PACK_TOPDIR}/scripts/update_optee_pubkey.py - --in_file optee.fex --out_file optee-new.fex - --key ${ROOT_DIR}/staging_dir/target/usr/dev_kit/arm-plat-${PACK_CHIP}/export-ta_arm32/keys/default_ta.pem - if [ $? -eq 0 ]; then - mv optee-new.fex optee.fex - else - pack_error "update optee pubkey error!" - exit 1 - fi - fi - if [ -f ${LONGAN_COMMON_DIR}/sign_config/cnf_base.cnf ] ; then CNF_BASE_FILE=${LONGAN_COMMON_DIR}/sign_config/cnf_base.cnf else @@ -1907,6 +1894,18 @@ function do_pack_tina() fi fi + if [ -f ${ROOT_DIR}/staging_dir/target/usr/dev_kit/arm-plat-${PACK_CHIP}/export-ta_arm32/keys/default_ta.pem ]; then + ${PACK_TOPDIR}/scripts/update_optee_pubkey.py + --in_file optee.fex --out_file optee-new.fex + --key ${ROOT_DIR}/staging_dir/target/usr/dev_kit/arm-plat-${PACK_CHIP}/export-ta_arm32/keys/default_ta.pem + if [ $? -eq 0 ]; then + mv optee-new.fex optee.fex + else + pack_error "update optee pubkey error!" + exit 1 + fi + fi + if [ "x${PACK_SIG}" = "xsecure" ] ; then echo "secure" do_signature [color=var(--common_blue1_color,#0089ff)] 注意事项按照上述办法可以进行在不烧写seucre bit情况下开发OPTEE的安全应用，但是由于外设、内存等资源的安全属性没有进行设置，因此务必在烧写secure bit的芯片上进行功能验证与测试。

2021-12-29 14:11:19 评论举报李霞