2022年4月【Variscite】NXP社のi.MX8に依るYoctoを使用した簡単なセキュアブート方法に付いてご紹介します。

これまでに、ほとんどのエンジニアはセキュアブートとそれを使用する利点に
ついて聞いたことがあるでしょう。ただし、ドキュメントを簡単に確認した後、
セキュアブートは複雑すぎて時間がかかるように見え、将来的には便利なもの
として取って置かれます。この事はお馴染みなじみでしょうか？

VarisciteでのセキュアブートとYoctoの統合により、Varisciteのi.MX8ベースの
製品でセキュアブートを有効にすることがこれまでになく簡単になりました。
Yoctoビルドシステムの外部でイメージを手動でビルドして署名するには多くの
手順が必要で、また人為的エラー発生の可能性があります。しかし、Yoctoを
使用してイメージの署名を自動化すると、時間が節約され、簡単に再現でき、
多くの開発者に配布でき、また必要なlocal.confでの構成はわずかで済みます。

Q．セキュアブートとは何ですか？ なぜそれを使用する必要がありますか？

セキュアブートは、製品のブートイメージとオペレーティングシステムを
認証するプロセスです。これにより、製品で実行されているソフトウェアが
本物であり、サードパーティによって変更または置き換えられていないことを
信頼できます。特に、これにより、製品が再利用されたり、悪意のある
ブートソフトウェアやオペレーティングシステムソフトウェアに感染したり
するのを防ぐことができます。

Q．それはどのように機能しますか？

i.MX8（i.MX8Qおよびi.MX8X）およびi.MX8M（i.MX8M、i.MX8M Mini、
i.MX8M Nano、およびi.MX8M Plus）SoCファミリには、セキュアブートを
有効にするオプションのハードウェア機能があります。 i.MX8Mファミリは
High Assurance Boot（HAB：高保証ブート）機能を備えており、
i.MX8ファミリはAdvanced High Assurance Boot
（AHAB：先進的高保証ブート）機能を備えています。各ファミリの
アーキテクチャはわずかに異なりますが、どちらも同じ最終結果を達成します。

HAB/AHAB認証は、公開鍵暗号に基づいています。認証は、RSA鍵ペアで
あるスーパールート鍵（SRK）を使用して行われます。ブートイメージは、
秘密鍵を使用してオフラインで署名されます。結果として得られる
署名付きイメージは、対応する公開鍵を使用してi.MXプロセッサで
検証されます。公開鍵は最終的なバイナリに含まれ、公開鍵のハッシュは、
信頼のルートを確立するために、SoCのOne-Time Programmable e-fuses
でプログラムされます。

最初のブートイメージは、i.MX ROMブートローダーによって認証されます。
次に、各イメージはHAB/AHAB APIを呼び出して次のイメージを認証し、
信頼チェーンを確立します。

Q．どうすれば始められますか？

VarsiciteのYoctoレイヤーであるmeta-variscite-habを使用すると、
製品でセキュアブートの使用を簡単に開始できます。一般的なプロセスは
次の通りです。

Varisciteのwikiガイド「”Build Yocto from Source Code”：
ソースコードからYoctoをビルドする」に従って、Yoctoビルド環境を
セットアップします

　・NXPのコード署名ツール（CST）をダウンロードする
　・CSTを使用して、公開鍵インフラストラクチャ（PKI）ツリー
　を生成します（これは一度だけ行う必要があります。）
　・conf/local.confで顧客固有の情報を使用してmeta-variscite-hab
　を構成します
　・bitbakeを使用して、署名されたSDカードイメージを作成します
　・U-Boot：SRK公開鍵ハッシュを使用してi.MX SoC e-fusesを
　プログラムします
　・U-Boot：hab_statusまたはahab_statusを実行して、署名された
　イメージを確認します
　・U-Boot：専用のSoC e-fuseに書き込んでデバイスを閉じます

ステップバイステップの完全なウォークスルーについては、該当する
Variscite SoMのソフトウェアwikiにアクセスしてください。

　DART-MX8M-PLUS / VAR-SOM-MX8M-PLUS
　DART-MX8M-MINI / VAR-SOM-MX8M-MINI
　VAR-SOM-MX8M-NANO
　DART-MX8M
　VAR-SOM-MX8 / SPEAR-MX8
　VAR-SOM-MX8X