matter智能家居網關模塊藍牙wifi芯片Flash加密與Secure Boot方案關系,Flash 加密方案主要用于保護存儲在設備端 Flash 上的數據機密性,matter智能家居網關模塊藍牙wifi芯片Secure Boot 方案主要用于保護設備端使用的固件數據合法性。在量產中同時使用量產模式的 Flash 加密方案和硬 SecureBoot 方案將大程度地提高設備的安全性能。我們可以在編譯固件時同時使用 Flash 加密方案和 Secure Boot 方案。
App Signing Scheme (RSA)-->
[*] Enable hardware Secure Boot in bootloader (READ DOCS FIRST)
Select secure boot version (Enable Secure Boot version 2)--->
[*]Sign binaries during build
(secure_boot_signing_key.pm)Secure boot private signing key
[]Allow potentially insecure options (NEW)
[*]Enable flash encryption on boot (READ DOCS FIRST)
Enable usage mode (Release)--->
[*]Check Flash Encryption enabled on app startup (NEW)
UART ROM download mode (UART ROM download mode (Permanently disabled
在編譯固件是通過 menuconfig 同時啟用 Flash 加密方案和 Secure Boot 方案
此外,在使用matter智能家居網關模塊藍牙wifi芯片Flash 加密方案和 Secure Boot 方案時,應該注意以下幾點,以增強設備的安全性能:
(1) 為不同的設備端配置不同的 Flash 加密的密鑰。
(2)通過menuconfig --> Security features,將UART ROM download mode 切換為 Secure mode 或者 disabled mode,將 UART 下載模式切換為安全模式或者關閉下載模式。
(3)保護簽名的私鑰存儲在私密的位置,既不能丟失私鑰,也不能泄露私鑰的內容,并且僅在安全的主機上進行簽名。若導出了 Flash 加密方案的密鑰,則同樣地將保護 Flash 加密方案的密鑰存儲在私密的位置。
使用量產工具批量使用 Flash 加密方案與 Secure Boot 方案
在Linux 開發環境中,有一些腳本工具,如 esptool.py、espsecure.py,可用于配置安全功能的一些參數或者燒錄固件數據。詳細閱讀這些腳本工具的使用說明有助于我們更加靈活地使用安全功能。
在Windows 環境下,通過 Flash 下載工具 (下載鏈接為 https://www.espressif.com/zh-hans/support/download/other-tools)可以方便地批量燒錄固件數據,并使用matter智能家居網關模塊藍牙wifi芯片Secure Boot 方案和 Flash 加密方案。在 Flash 下載工具的目錄中打開 configure/esp32c3/security,可以在該文件內配置 Secure Boot 方案和 Flash 加密方案的相關選項。
注意:若首次打開該目錄時無 security 文件,則可以關閉軟件后再次打開,此時就可以看到該文件了。
security 文件中安全功能相關參數的默認配置如下:
1.[ISECURE BOOT]
2.secure boot en = False
3.
4.[FLASH ENCRYPTIONJ
5.flash encryption en = Ealse
6.reserved burn times = 0
7.
8.
9.[ENCRYPTION KEYS SAVE]
10.keys save enable = False
11.encrypt_keys enable = False
12.encrypt_keys_aeskey_path
13.
14.[IDISABLE FUNC]
15.jtag disable = False
16. dl encrypt disable = False
17.dl decrypt disable = False
18. dl cache_disable = False
更多的說明請參考 Flash 下載工具的使用說明手冊。
注意:在量產時需要設備端使用matter智能家居網關模塊藍牙wifi芯片Flash 加密方案和 Secure Boot 方案,請使用標準且穩定的供電電源,否則可能破壞設備端,導致不可逆的損壞。
在智能照明系統中使用 Flash 加密方案與 Secure Boot 方案
與其他章節不同,Flash 加密方案和 Secure Boot 方案幾乎是“開箱即用”的,幾乎不需要添加任何代碼,只需要在 menuconfig 菜單里選擇對應的選項就可以開啟對應的功能。在智能照明系統中,我們建議同時使用matter智能家居網關模塊藍牙wifi芯片Flash 加密方案、NVS 加密方案和硬 Secure Boot 方案,從而大程度地增強設備的安全性。