Phần mềm công cụ ký tên STM32MPx Series

Thông tin sản phẩm

Thông số kỹ thuật:

• Tên sản phẩm: STM32MP-SignTool
• Phiên bản: UM2543 - Rev 4
• Ngày phát hành: Tháng 2024 năm XNUMX

Hướng dẫn sử dụng sản phẩm

Cài đặt:
Để cài đặt STM32MP-SignTool, hãy làm theo các bước được cung cấp trong hướng dẫn sử dụng.

Giao diện dòng lệnh:
Các lệnh sau đây có sẵn khi sử dụng STM32MP-SignTool từ dòng lệnh:

• –hình ảnh nhị phân(-bin), –đầu vào(-in)
• –phiên bản hình ảnh (-iv)
• –khóa riêng tư (-prvk)
• –khóa công khai -pubk

Exampcác bạn:
Tham khảo exampbên dưới để hiểu cách sử dụng STM32MP-SignTool hiệu quả:

1. Example 1: Lựa chọn thuật toán mặc định và đầu ra file sự sáng tạo.
2. ExampBài 2: Ký nhị phân file với phiên bản tiêu đề 2 và nhiều khóa công khai.

Chế độ độc lập:
Khi sử dụng STM32MP-SignTool ở chế độ Độc lập, hãy làm theo các bước sau:

1. Đầu tiên hãy nhập đường dẫn tuyệt đối.
2. Cung cấp thông tin cần thiết như lựa chọn thuật toán, phiên bản hình ảnh, điểm vào và địa chỉ tải.

Những câu hỏi thường gặp (FAQ)

• Làm thế nào để tôi xác minh hình ảnh đầu ra file?
  Bạn có thể xác minh hình ảnh kết quả bằng cách phân tích đầu ra file và kiểm tra từng trường tiêu đề. Sử dụng lệnh:  ./STM32MP_SigningTool_CLI.exe -dump /home/user/output.stm32
• Sự khác biệt giữa các phiên bản tiêu đề để ký là gì?
  Phiên bản tiêu đề xác định số lượng khóa công khai cần thiết để xác thực. Ví dụ:ample, phiên bản tiêu đề 1 yêu cầu một đường dẫn khóa cho các sản phẩm STM32MP15xx, trong khi phiên bản tiêu đề 2 trở lên yêu cầu tám đường dẫn khóa cho các sản phẩm khác.

Giới thiệu

• Phần mềm công cụ ký dòng STM32MPx (được gọi là STM32MP-SignTool trong tài liệu này) được tích hợp trong STM32CubeProgrammer (STM32CubeProg).
• STM32MP-SignTool là một công cụ quan trọng đảm bảo nền tảng an toàn và đảm bảo việc ký các hình ảnh nhị phân bằng khóa ECC do phần mềm STM32MP-KeyGen tạo ra (tham khảo phần mô tả phần mềm tạo khóa sê-ri STM32MPx (UM2542) để biết thêm chi tiết).
• Các hình ảnh nhị phân đã ký được sử dụng trong chuỗi khởi động an toàn MPU dòng STM32MPx hỗ trợ chuỗi khởi động đáng tin cậy. Hành động này đảm bảo xác thực và kiểm tra tính toàn vẹn của các hình ảnh đã tải.
• STM32MP-SignTool tạo ra một hình ảnh nhị phân file, một khóa công khai filevà một khóa riêng file.
• Hình ảnh nhị phân file chứa dữ liệu nhị phân được lập trình cho thiết bị.
• Khóa công khai file chứa khóa công khai ECC ở định dạng PEM, được tạo bằng STM32MP-KeyGen.
• Khóa riêng tư file chứa khóa riêng ECC được mã hóa ở định dạng PEM, được tạo bằng STM32MP-KeyGen.
• Một nhị phân đã ký file cũng có thể được tạo ra từ một đã được ký file với lô hàng file chế độ. Trong trường hợp này, các tham số sau đây không bắt buộc: điểm nhập hình ảnh, địa chỉ tải hình ảnh và các tham số phiên bản hình ảnh.

Cài đặt STM32MP-SignTool

• Công cụ này được cài đặt cùng với gói STM32CubeProgrammer (STM32CubeProg). Để biết thêm thông tin về quy trình thiết lập, hãy tham khảo phần 1.2 của hướng dẫn sử dụng mô tả phần mềm STM32CubeProgrammer (UM2237).
• Phần mềm này áp dụng cho MPU dựa trên Arm® dòng STM32MPx.
  Ghi chú: Arm là thương hiệu đã đăng ký của Arm Limited (hoặc các công ty con của công ty này) tại Hoa Kỳ và / hoặc các nơi khác.

Giao diện dòng lệnh STM32MP-SignTool

Các phần sau đây mô tả cách sử dụng STM32MP-SignTool từ dòng lệnh.

Lệnh
Các lệnh có sẵn được liệt kê dưới đây:

• –hình ảnh nhị phân(-bin), –đầu vào(-in)
  • Sự miêu tả: hình ảnh nhị phân file đường dẫn (phần mở rộng .bin)
  • Cú pháp: 1 -bin /home/User/binaryFile. thùng rác
  • Cú pháp :2 -trong /home/User/binaryFile. thùng rác
• –phiên bản hình ảnh (-iv)
  • Sự miêu tả: nhập phiên bản hình ảnh của hình ảnh đã ký file
  • Cú pháp: -iv
• –khóa riêng tư (-prvk)
  • Sự miêu tả: chìa khóa riêng file đường dẫn (phần mở rộng .pem)
  • Cú pháp: -prvkfile_đường dẫn>
  • Examplê: -prvk ../privateKey.pem
• –khóa công khai -pubk
  • Sự miêu tả: khóa công khai file đường dẫn
  • Cú pháp: -pubkFile_Đường dẫn{1..8}>
    • Đối với tiêu đề v1: chỉ sử dụng một đường dẫn khóa cho các sản phẩm STM32MP15xx
    • Đối với tiêu đề v2 trở lên: sử dụng tám đường dẫn chính cho những người khác
• –mật khẩu (-pwd)
  • Sự miêu tả: mật khẩu của khóa riêng (mật khẩu này phải chứa ít nhất bốn ký tự)
  • Examplê: -mã vùng azerty
• –tải-địa-chỉ (-la)
  • Sự miêu tả: địa chỉ tải hình ảnh
  • Examplê: -la
• –điểm vào (-ep)
  • Sự miêu tả: điểm nhập hình ảnh
  • Examplê: -tập
• –tùy chọn-cờ (-của)
  • Sự miêu tả: cờ tùy chọn hình ảnh (giá trị mặc định = 0)
  • Examplê: -của
• –thuật toán (-a)
  • Sự miêu tả: chỉ định một trong số prime256v1 (giá trị 1, mặc định) hoặc brainpoolP256t1 (giá trị 2)
  • Examplê: -a <2>
• –đầu ra (-o)
  • Sự miêu tả: đầu ra file đường dẫn. Tham số này là tùy chọn. Nếu không được chỉ định, đầu ra file được tạo ra từ cùng một nguồn file đường dẫn (ví dụample, hình ảnh nhị phân file là C:\BinaryFile.bin). Nhị phân có dấu file là C:\BinaryFile_Đã ký.bin.
  • Cú pháp: -ôiFile_Đường dẫn>
• –kiểu (-t)
  • Sự miêu tả: loại nhị phân. Các giá trị có thể là ssbl, fsbl, teeh, teed, teex và copro
  • Cú pháp: -NS
• –im lặng (-s)
  Sự miêu tả: không có thông báo nào được hiển thị để thay thế đầu ra hiện có file
• –help (-h và -?)
  Sự miêu tả: chỉ sự giúp đỡ
• –phiên bản (-v)
  Sự miêu tả: hiển thị phiên bản công cụ
• –enc-dc (-encdc)
  • Sự miêu tả: hằng số dẫn xuất mã hóa cho mã hóa FSBL [tiêu đề v2]
  • Cú pháp: -encdc
• –enc-key (-enck)
  • Sự miêu tả: Bí mật OEM file cho mã hóa FSBL [tiêu đề v2]
  • Cú pháp: -enck
• –dump-tiêu đề (–dump)
  • Sự miêu tả: phân tích và đổ tiêu đề hình ảnh
  • Cú pháp: -bãi rácFile_Đường dẫn>
• –phiên bản tiêu đề (-hv)
  • Sự miêu tả: phiên bản tiêu đề ký, các giá trị có thể: 1, 2, 2.1, 2.2
  •  Example đối với STM32MP15: -hv 2
  • Example đối với STM32MP25: -hv 2.2
• –không-có-phím (-nk)
  • Sự miêu tả: thêm tiêu đề trống không có tùy chọn khóa
  • Để ý: cần vô hiệu hóa tùy chọn xác thực bằng lệnh Option flags.

Examples cho STM32MP-SignTool
Các ví dụ sau đâyamples cho thấy cách sử dụng STM32MP-SignTool:

• Examplần thứ 1 

  
  Thuật toán mặc định (prime256v1) được chọn và giá trị cờ tùy chọn là 0 (giá trị mặc định). Đầu ra nhị phân có dấu file (Nhị phânFile_Signed.bin) được tạo trong thư mục /home/user/

• Examplần thứ 2

  Thuật toán BrainpoolP256t1 được chọn trong trường hợp này. Ngay cả khi Folder2 và Folder3 không tồn tại, chúng vẫn được tạo. Với lệnh –s, ngay cả khi file tồn tại với tên được chỉ định giống nhau, nó sẽ tự động được thay thế mà không có bất kỳ thông báo nào.
• Examplần thứ 3
  Ký một số nhị phân file sử dụng tiêu đề phiên bản 2 bao gồm tám khóa công khai cho luồng xác thực.
• Examplần thứ 4
  Ký một số nhị phân file sử dụng tiêu đề phiên bản 2 bao gồm tám khóa công khai để xác thực cộng với luồng mã hóa.
• Examplần thứ 5
  Xác minh hình ảnh kết quả bằng cách phân tích đầu ra file và kiểm tra từng trường tiêu đề.
• Examplần thứ 6
  Thêm tiêu đề mà không cần ký và không triển khai khóa.

Chế độ độc lập
Khi thực hiện STM32MP-SignTool ở chế độ Standalone, trước tiên phải nhập đường dẫn tuyệt đối. Sau đó, mật khẩu được yêu cầu hai lần để xác nhận, như thể hiện trong hình bên dưới.

Các bước tiếp theo như sau:

• Chọn một trong hai thuật toán.
• Nhập phiên bản hình ảnh, điểm nhập hình ảnh và địa chỉ tải hình ảnh.
• Nhập giá trị cờ tùy chọn.
  Một đầu ra khác file có thể chỉ định đường dẫn nếu cần hoặc nhấn enter để tiếp tục với đường dẫn hiện tại.

Giải pháp PKCS#11

• Các hình ảnh nhị phân đã ký được sử dụng trong chuỗi khởi động an toàn STM32MP hỗ trợ chuỗi khởi động đáng tin cậy. Hành động này đảm bảo xác thực và kiểm tra tính toàn vẹn của các hình ảnh đã tải.
• Lệnh ký cổ điển yêu cầu tất cả khóa công khai và khóa riêng tư được cung cấp làm đầu vào files. Những thông tin này có thể được truy cập trực tiếp bởi bất kỳ người nào được phép thực hiện dịch vụ ký. Cuối cùng, điều này có thể được coi là rò rỉ bảo mật. Có một số giải pháp để bảo vệ khóa khỏi mọi nỗ lực đánh cắp dữ liệu khóa. Trong bối cảnh này, giải pháp PKCS#11 đã được áp dụng.
• Có thể sử dụng API PKCS#11 để xử lý và lưu trữ khóa mật mã. Giao diện này chỉ định cách giao tiếp với các thiết bị mật mã như HSM (mô-đun bảo mật phần cứng) và thẻ thông minh. Mục đích của các thiết bị này là tạo khóa mật mã và ký thông tin mà không tiết lộ tài liệu khóa riêng tư cho thế giới bên ngoài.
• Các ứng dụng phần mềm có thể gọi API để sử dụng các đối tượng này cho:
  • Tạo khóa đối xứng/không đối xứng
  • Mã hóa và giải mã
  • Tính toán và xác minh chữ ký số
• PKCS #11 trình bày cho các ứng dụng một cách chung, hợp lý view của thiết bị được gọi là mã thông báo mật mã và nó gán một ID khe cắm cho mỗi mã thông báo. Một ứng dụng xác định mã thông báo mà nó muốn truy cập bằng cách chỉ định ID khe cắm thích hợp.
• STM32SigningTool được sử dụng để quản lý các đối tượng khóa được lưu trữ trên thẻ thông minh và các mã thông báo bảo mật PKCS#11 tương tự, trong đó khóa riêng nhạy cảm không bao giờ rời khỏi thiết bị.
• STM32SigningTool sử dụng giao diện PKCS#11 để thao tác và ký các tệp nhị phân đầu vào dựa trên khóa công khai/riêng tư ECDSA. Các khóa này được lưu trữ trong mã thông báo bảo mật (phần cứng hoặc phần mềm).

Các lệnh PKCS#11 bổ sung

• –mô-đun (-m)
  • Sự miêu tả: chỉ định đường dẫn mô-đun/thư viện PKCS#11 để tải (dll, v.v.)
  • Cú pháp:-m
• –key-index (-ki)
  • –key-index (-ki)
  • Sự miêu tả: danh sách các chỉ mục khóa được sử dụng ở định dạng hex
    Sử dụng một chỉ mục cho tiêu đề v1 và tám chỉ mục cho tiêu đề v2 (phân tách bằng dấu cách)
  • Cú pháp: -ki
• –slot-index (-si)
  • Sự miêu tả: chỉ định chỉ số của khe cắm để sử dụng (mặc định là 0x0)
  • Cú pháp:-si
• –active-keyIndex (-aki)
  • Sự miêu tả: chỉ định chỉ mục khóa hoạt động thực tế (mặc định là 0)
  • Cú pháp: -aki <giá trị hex>

PKH/PKTH file thế hệ
Sau khi xử lý thao tác ký, công cụ sẽ tạo PKH một cách có hệ thống files sử dụng sau cầu chì OTP.

• PKH file được đặt tên là pkcsHashPublicKey0x{active_key_index}.bin cho tiêu đề v1
• PKTH file được đặt tên là pkcsPublicKeysHashHashes.bin cho tiêu đề v2

Examptập
Công cụ có thể ký nhập files cho cả tiêu đề v1 và tiêu đề v2, với sự khác biệt tối thiểu ở dòng lệnh.

• Tiêu đề v1 

  

• Tiêu đề v2 

  

  • Lỗi trên dòng lệnh hoặc công cụ không thể xác định các đối tượng chính khớp nhau sẽ khiến thông báo lỗi được hiển thị. Điều này cho biết nguồn gốc của vấn đề.
  • SigningTool chỉ có thể sử dụng HSM được cấu hình sẵn và không được thiết kế để quản lý hoặc tạo đối tượng bảo mật mới. Do đó, cần phải cài đặt phần mềm miễn phí để thiết lập môi trường phù hợp. Sau đó, có thể tạo khóa và thu thập thông tin về đối tượng.

Lỗi cũampcác bạn:

• Chỉ mục khe không hợp lệ
• Đối tượng khóa không xác định được đề cập trong lệnh –key-index
  Công cụ xử lý các đối tượng theo trình tự. Nếu không thể xác định các đối tượng khóa khớp nhau trong lần thử đầu tiên, thao tác ký sẽ dừng quá trình. Sau đó, thông báo lỗi sẽ hiển thị để chỉ ra nguồn gốc của vấn đề.

Lịch sử sửa đổi

Ngày	Phiên bản	Thay đổi
14-2019-XNUMX	1	Phiên bản phát hành đầu tiên.
26-2021-XNUMX	2	Đã cập nhật: • Mục 2.1: Lệnh • Mục 2.2: Ví dụamples cho STM32MP-SignTool • Thêm Mục 2.4: Giải pháp PKCS#11
27-2022-XNUMX	3	Đã cập nhật Phần 2.1: Lệnh
26-2024-XNUMX	4	Đã thay thế trong toàn bộ tài liệu: • Dòng STM32MP1 của dòng STM32MPx • STM32MP1-SignTool của STM32MP-SignTool • STM32MP1-KeyGen của STM32MP-KeyGen Đã cập nhật –public-key -pubk và thêm –header-version (-hv) và –no-keys (- nk) trong Phần 2.1: Lệnh. Đã thêm “Ví dụ 6” vào Mục 2.2: Ví dụamptập tin cho STM32MP-SignTool.

THÔNG BÁO QUAN TRỌNG – ĐỌC KỸ

• STMicroelectronics NV và các công ty con (“ST”) có quyền thực hiện các thay đổi, chỉnh sửa, cải tiến, sửa đổi và cải thiện đối với các sản phẩm ST và/hoặc tài liệu này bất kỳ lúc nào mà không cần thông báo. Người mua nên tìm hiểu thông tin mới nhất có liên quan về các sản phẩm ST trước khi đặt hàng. Các sản phẩm ST được bán theo các điều khoản và điều kiện bán hàng của ST có hiệu lực tại thời điểm xác nhận đơn hàng.
• Người mua chịu toàn bộ trách nhiệm về việc lựa chọn, cân nhắc và sử dụng các sản phẩm ST và ST không chịu trách nhiệm về việc hỗ trợ ứng dụng hoặc thiết kế các sản phẩm của người mua.
• ST không cấp bất kỳ giấy phép nào, dù là rõ ràng hay ngụ ý, cho bất kỳ quyền sở hữu trí tuệ nào ở đây.
• Việc bán lại các sản phẩm ST với các điều khoản khác với thông tin được nêu ở đây sẽ làm mất hiệu lực bất kỳ bảo hành nào mà ST cấp cho sản phẩm đó.
• ST và logo ST là thương hiệu của ST. Để biết thêm thông tin về nhãn hiệu ST, hãy tham khảo www.st.com/trademarks. Tất cả các tên sản phẩm hoặc dịch vụ khác là tài sản của chủ sở hữu tương ứng.
• Thông tin trong tài liệu này thay thế và thay thế thông tin đã cung cấp trước đó trong bất kỳ phiên bản nào trước đây của tài liệu này.
  © 2024 STMicroelectronics – Bảo lưu mọi quyền

Tài liệu / Tài nguyên

Phần mềm công cụ ký tên ST STM32MPx Series [tập tin pdf] Hướng dẫn sử dụng Phần mềm công cụ ký STM32MPx Series, STM32MPx Series, Phần mềm công cụ ký, Phần mềm công cụ, Phần mềm

Tài liệu tham khảo

• Hướng dẫn sử dụng