mirror of
https://github.com/espressif/esp-idf.git
synced 2026-10-02 03:00:34 +03:00
docs(key-manager): Add Key-Manager peripheral related documentation
This commit is contained in:
harshal.patil
@@ -66,68 +66,72 @@
|
||||
|
||||
------
|
||||
|
||||
.. first_boot_enc_km
|
||||
|
||||
.. code-block:: none
|
||||
|
||||
ESP-ROM:esp32c5-eco3-20250704
|
||||
Build:Jul 4 2025
|
||||
rst:0x1 (POWERON),boot:0x18 (SPI_FAST_FLASH_BOOT)
|
||||
SPI mode:DIO, clock div:1
|
||||
load:0x40855820,len:0x3a60
|
||||
load:0x4084bba0,len:0xdf4
|
||||
load:0x4084e5a0,len:0x566c
|
||||
entry 0x4084bbaa
|
||||
I (23) boot: ESP-IDF v6.0-dev-3140-ge16a2fb13ad-dirt 2nd stage bootloader
|
||||
I (24) boot: compile time Oct 27 2025 15:35:09
|
||||
I (67) boot: chip revision: v1.1
|
||||
I (70) boot: efuse block revision: v0.3
|
||||
I (88) boot.esp32c5: SPI Speed : 80MHz
|
||||
I (92) boot.esp32c5: SPI Mode : DIO
|
||||
I (96) boot.esp32c5: SPI Flash Size : 2MB
|
||||
I (103) boot: Enabling RNG early entropy source...
|
||||
I (138) boot: Partition Table:
|
||||
I (141) boot: ## Label Usage Type ST Offset Length
|
||||
I (154) boot: 0 nvs WiFi data 01 02 0000e000 00006000
|
||||
I (168) boot: 1 phy_init RF data 01 01 00014000 00001000
|
||||
I (182) boot: 2 factory factory app 00 00 00020000 00100000
|
||||
I (189) boot: End of partition table
|
||||
I (283) esp_image: segment 0: paddr=00020020 vaddr=42070020 size=32f1ch (208668) map
|
||||
I (377) esp_image: segment 1: paddr=00052f44 vaddr=40800000 size=0a2a4h ( 41636) load
|
||||
I (445) esp_image: segment 2: paddr=0005d1f0 vaddr=4080a300 size=02ccch ( 11468) load
|
||||
I (512) esp_image: segment 3: paddr=0005fec4 vaddr=00000000 size=00154h ( 340)
|
||||
I (580) esp_image: segment 4: paddr=00060020 vaddr=42000020 size=63804h (407556) map
|
||||
I (761) boot: Loaded app from partition at offset 0x20000
|
||||
I (764) boot: Checking flash encryption...
|
||||
I (788) efuse: Batch mode of writing fields is enabled
|
||||
I (807) flash_encrypt: Deploying new flash encryption key using Key Manager
|
||||
W (898) flash_encrypt: Not disabling UART bootloader encryption
|
||||
I (904) flash_encrypt: Disable UART bootloader cache...
|
||||
W (917) flash_encrypt: Not disabling JTAG - SECURITY COMPROMISED
|
||||
I (930) efuse: BURN BLOCK0
|
||||
I (935) efuse: BURN BLOCK0 - OK (all write block bits are set)
|
||||
I (938) efuse: Batch mode. Prepared fields are committed
|
||||
I (1028) esp_image: segment 0: paddr=00002020 vaddr=40855820 size=03a60h ( 14944)
|
||||
I (1096) esp_image: segment 1: paddr=00005a88 vaddr=4084bba0 size=00df4h ( 3572)
|
||||
I (1165) esp_image: segment 2: paddr=00006884 vaddr=4084e5a0 size=0566ch ( 22124)
|
||||
I (1508) flash_encrypt: bootloader encrypted successfully
|
||||
I (1535) flash_encrypt: partition table encrypted and loaded successfully
|
||||
I (1616) esp_image: segment 0: paddr=00020020 vaddr=42070020 size=32f1ch (208668) map
|
||||
I (1711) esp_image: segment 1: paddr=00052f44 vaddr=40800000 size=0a2a4h ( 41636)
|
||||
I (1779) esp_image: segment 2: paddr=0005d1f0 vaddr=4080a300 size=02ccch ( 11468)
|
||||
I (1847) esp_image: segment 3: paddr=0005fec4 vaddr=00000000 size=00154h ( 340)
|
||||
I (1916) esp_image: segment 4: paddr=00060020 vaddr=42000020 size=63804h (407556) map
|
||||
I (2096) flash_encrypt: Encrypting partition 2 at offset 0x20000 (length 0xa3850)...
|
||||
I (5652) flash_encrypt: Done encrypting
|
||||
I (5667) efuse: BURN BLOCK0
|
||||
I (5671) efuse: BURN BLOCK0 - OK (all write block bits are set)
|
||||
I (5675) flash_encrypt: Flash encryption completed
|
||||
I (5679) boot: Resetting with flash encryption enabled...
|
||||
|
||||
|
||||
------
|
||||
|
||||
|
||||
.. already_en_enc
|
||||
|
||||
.. code-block:: none
|
||||
|
||||
rst:0x1 (POWERON),boot:0x3d (SPI_FAST_FLASH_BOOT)
|
||||
SPI mode:DIO, clock div:2
|
||||
load:0x40855c10,len:0x2be8
|
||||
load:0x4084c7a0,len:0x6f8
|
||||
load:0x4084e9a0,len:0x418c
|
||||
entry 0x4084c804
|
||||
I (32) boot: ESP-IDF v5.3-dev-3860-g5d36288649 2nd stage bootloader
|
||||
I (33) boot: compile time May 7 2024 17:24:43
|
||||
I (34) boot: chip revision: v0.0
|
||||
I (37) boot.esp32c5: SPI Speed : 40MHz
|
||||
I (42) boot.esp32c5: SPI Mode : DIO
|
||||
I (46) boot.esp32c5: SPI Flash Size : 2MB
|
||||
I (51) boot: Enabling RNG early entropy source...
|
||||
I (64) boot: Partition Table:
|
||||
I (67) boot: ## Label Usage Type ST Offset Length
|
||||
I (74) boot: 0 nvs WiFi data 01 02 0000e000 00006000
|
||||
I (82) boot: 1 storage Unknown data 01 ff 00014000 00001000
|
||||
I (89) boot: 2 factory factory app 00 00 00020000 00100000
|
||||
I (97) boot: 3 nvs_key NVS keys 01 04 00120000 00001000
|
||||
I (104) boot: 4 custom_nvs WiFi data 01 02 00121000 00006000
|
||||
I (113) boot: End of partition table
|
||||
I (116) esp_image: segment 0: paddr=00020020 vaddr=42010020 size=095c4h ( 38340) map
|
||||
I (169) esp_image: segment 1: paddr=000295ec vaddr=40800000 size=06a2ch ( 27180) load
|
||||
I (197) esp_image: segment 2: paddr=00030020 vaddr=42000020 size=0f4d4h ( 62676) map
|
||||
I (256) esp_image: segment 3: paddr=0003f4fc vaddr=40806a2c size=00b78h ( 2936) load
|
||||
I (261) esp_image: segment 4: paddr=0004007c vaddr=408075b0 size=00d18h ( 3352) load
|
||||
I (269) boot: Loaded app from partition at offset 0x20000
|
||||
I (270) boot: Checking flash encryption...
|
||||
I (273) efuse: Batch mode of writing fields is enabled
|
||||
I (278) flash_encrypt: Generating new flash encryption key...
|
||||
I (295) efuse: Writing EFUSE_BLK_KEY0 with purpose 4
|
||||
W (300) flash_encrypt: Not disabling UART bootloader encryption
|
||||
I (305) flash_encrypt: Disable JTAG...
|
||||
I (312) efuse: BURN BLOCK4
|
||||
I (317) efuse: BURN BLOCK4 - OK (write block == read block)
|
||||
I (319) efuse: BURN BLOCK0
|
||||
I (325) efuse: BURN BLOCK0 - OK (all write block bits are set)
|
||||
I (330) efuse: Batch mode. Prepared fields are committed
|
||||
I (335) esp_image: segment 0: paddr=00002020 vaddr=40855c10 size=02be8h ( 11240)
|
||||
I (353) esp_image: segment 1: paddr=00004c10 vaddr=4084c7a0 size=006f8h ( 1784)
|
||||
I (356) esp_image: segment 2: paddr=00005310 vaddr=4084e9a0 size=0418ch ( 16780)
|
||||
I (1131) flash_encrypt: bootloader encrypted successfully
|
||||
I (1229) flash_encrypt: partition table encrypted and loaded successfully
|
||||
I (1230) flash_encrypt: Encrypting partition 1 at offset 0x14000 (length 0x1000)...
|
||||
I (1325) flash_encrypt: Done encrypting
|
||||
I (1325) esp_image: segment 0: paddr=00020020 vaddr=42010020 size=095c4h ( 38340) map
|
||||
I (1362) esp_image: segment 1: paddr=000295ec vaddr=40800000 size=06a2ch ( 27180)
|
||||
I (1389) esp_image: segment 2: paddr=00030020 vaddr=42000020 size=0f4d4h ( 62676) map
|
||||
I (1448) esp_image: segment 3: paddr=0003f4fc vaddr=40806a2c size=00b78h ( 2936)
|
||||
I (1453) esp_image: segment 4: paddr=0004007c vaddr=408075b0 size=00d18h ( 3352)
|
||||
I (1458) flash_encrypt: Encrypting partition 2 at offset 0x20000 (length 0x100000)...
|
||||
I (24332) flash_encrypt: Done encrypting
|
||||
I (24332) flash_encrypt: Encrypting partition 3 at offset 0x120000 (length 0x1000)...
|
||||
I (24422) flash_encrypt: Done encrypting
|
||||
I (24423) efuse: BURN BLOCK0
|
||||
I (24425) efuse: BURN BLOCK0 - OK (all write block bits are set)
|
||||
I (24427) flash_encrypt: Flash encryption completed
|
||||
I (24431) boot: Resetting with flash encryption enabled...
|
||||
ESP-ROM:esp32c5-20240329
|
||||
Build:Mar 29 2024
|
||||
rst:0x3 (RTC_SW_HPSYS),boot:0x3d (SPI_FAST_FLASH_BOOT)
|
||||
@@ -193,3 +197,79 @@
|
||||
|
||||
|
||||
------
|
||||
|
||||
|
||||
.. already_en_enc_km
|
||||
|
||||
.. code-block:: none
|
||||
|
||||
ESP-ROM:esp32c5-eco3-20250704
|
||||
Build:Jul 4 2025
|
||||
rst:0x1 (POWERON),boot:0x18 (SPI_FAST_FLASH_BOOT)
|
||||
use sector0 for km info
|
||||
use KM derived key
|
||||
SPI mode:DIO, clock div:1
|
||||
load:0x40855820,len:0x3a94
|
||||
load:0x4084bba0,len:0xd84
|
||||
load:0x4084e5a0,len:0x5670
|
||||
entry 0x4084bbaa
|
||||
I (27) boot: ESP-IDF v6.0-dev-3139-gb813f413096-dirt 2nd stage bootloader
|
||||
I (28) boot: compile time Oct 27 2025 18:14:49
|
||||
W (39) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
W (53) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
W (67) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
W (80) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
W (94) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
W (108) MMU: mmu_ll_write_entry mmu_id=0, entry_id=511, mmu_val=0x00000000, target=1
|
||||
I (116) boot: chip revision: v1.1
|
||||
I (119) boot: efuse block revision: v0.3
|
||||
I (137) boot.esp32c5: SPI Speed : 80MHz
|
||||
I (141) boot.esp32c5: SPI Mode : DIO
|
||||
I (145) boot.esp32c5: SPI Flash Size : 2MB
|
||||
I (149) boot: Enabling RNG early entropy source...
|
||||
W (163) MMU: mmu_ll_write_entry mmu_id=0, entry_id=0, mmu_val=0x00000000, target=1
|
||||
I (191) boot: Partition Table:
|
||||
I (194) boot: ## Label Usage Type ST Offset Length
|
||||
I (208) boot: 0 nvs WiFi data 01 02 0000e000 00006000
|
||||
I (222) boot: 1 phy_init RF data 01 01 00014000 00001000
|
||||
I (235) boot: 2 factory factory app 00 00 00020000 00100000
|
||||
I (242) boot: End of partition table
|
||||
I (396) esp_image: segment 0: paddr=00020020 vaddr=42070020 size=32f1ch (208668) map
|
||||
I (539) esp_image: segment 1: paddr=00052f44 vaddr=40800000 size=0a2a4h ( 41636) load
|
||||
I (629) esp_image: segment 2: paddr=0005d1f0 vaddr=4080a300 size=02ccch ( 11468) load
|
||||
I (719) esp_image: segment 3: paddr=0005fec4 vaddr=00000000 size=00154h ( 340)
|
||||
I (816) esp_image: segment 4: paddr=00060020 vaddr=42000020 size=6378ch (407436) map
|
||||
I (1114) boot: Loaded app from partition at offset 0x20000
|
||||
I (1116) boot: Checking flash encryption...
|
||||
I (1133) flash_encrypt: flash encryption is enabled (1 plaintext flashes left)
|
||||
I (1140) boot: Disabling RNG early entropy source...
|
||||
I (1301) MSPI Timing: Enter flash timing tuning
|
||||
I (1434) cpu_start: Unicore app
|
||||
I (1468) cpu_start: GPIO 12 and 11 are used as console UART I/O pins
|
||||
I (1479) cpu_start: Pro cpu start user code
|
||||
I (1483) cpu_start: cpu freq: 240000000 Hz
|
||||
I (1493) app_init: Application information:
|
||||
I (1496) app_init: Project name: mbedtls_test
|
||||
I (1501) app_init: App version: qa-test-esp32c61-master-2025070
|
||||
I (1507) app_init: Compile time: Oct 27 2025 15:56:18
|
||||
I (1512) app_init: ELF file SHA256: c5f7f520c...
|
||||
I (1517) app_init: ESP-IDF: v6.0-dev-3140-ge16a2fb13ad-dirt
|
||||
I (1528) efuse_init: Min chip rev: v1.0
|
||||
I (1532) efuse_init: Max chip rev: v1.99
|
||||
I (1536) efuse_init: Chip rev: v1.1
|
||||
I (1669) heap_init: Initializing. RAM available for dynamic allocation:
|
||||
I (1680) heap_init: At 4080FCB0 len 0004C8F0 (306 KiB): RAM
|
||||
I (1685) heap_init: At 4085C5A0 len 00002F58 (11 KiB): RAM
|
||||
I (1695) heap_init: At 50000000 len 00003FE8 (15 KiB): RTCRAM
|
||||
I (1800) spi_flash: detected chip: generic
|
||||
I (1804) spi_flash: flash io: dio
|
||||
W (1807) spi_flash: Detected size(8192k) larger than the size in the binary image header(2048k). Using the size in the binary image header.
|
||||
W (1833) flash_encrypt: Flash encryption mode is DEVELOPMENT (not secure)
|
||||
I (1867) sleep_gpio: Configure to isolate all GPIO pins in sleep state
|
||||
I (1873) sleep_gpio: Enable automatic switching of GPIO sleep configuration
|
||||
I (1926) main_task: Started on CPU0
|
||||
I (1926) main_task: Calling app_main()
|
||||
I (1936) main_task: Returned from app_main()
|
||||
|
||||
|
||||
------
|
||||
|
||||
@@ -70,6 +70,72 @@
|
||||
|
||||
------
|
||||
|
||||
.. first_boot_enc_km
|
||||
|
||||
.. code-block:: none
|
||||
|
||||
ESP-ROM:esp32p4-eco5-20250430
|
||||
Build:Apr 30 2025
|
||||
rst:0x17 (CHIP_USB_UART_RESET),boot:0xc (SPI_FAST_FLASH_BOOT)
|
||||
Core0 Saved PC:0x4fc0130e
|
||||
Core1 Saved PC:0x4fc05fa4
|
||||
SPI mode:DIO, clock div:1
|
||||
load:0x4ffb6240,len:0x3870
|
||||
load:0x4ffac2c0,len:0x179c
|
||||
load:0x4ffaefc0,len:0x4ed8
|
||||
entry 0x4ffac2ca
|
||||
I (38) boot: ESP-IDF v6.0-dev-2918-g6629f96afca-dirt 2nd stage bootloader
|
||||
I (38) boot: compile time Oct 14 2025 08:50:07
|
||||
I (39) boot: Multicore bootloader
|
||||
I (85) boot: chip revision: v3.0
|
||||
I (88) boot: efuse block revision: v1.0
|
||||
I (106) boot.esp32p4: SPI Speed : 80MHz
|
||||
I (110) boot.esp32p4: SPI Mode : DIO
|
||||
I (114) boot.esp32p4: SPI Flash Size : 2MB
|
||||
I (121) boot: Enabling RNG early entropy source...
|
||||
I (156) boot: Partition Table:
|
||||
I (159) boot: ## Label Usage Type ST Offset Length
|
||||
I (173) boot: 0 factory factory app 00 00 00010000 00150000
|
||||
I (187) boot: 1 storage Unknown data 01 81 00160000 00050000
|
||||
I (194) boot: End of partition table
|
||||
I (287) esp_image: segment 0: paddr=00010020 vaddr=40030020 size=0d1e8h ( 53736) map
|
||||
I (355) esp_image: segment 1: paddr=0001d210 vaddr=30100000 size=00044h ( 68) load
|
||||
I (423) esp_image: segment 2: paddr=0001d25c vaddr=4ff20000 size=02dbch ( 11708) load
|
||||
I (491) esp_image: segment 3: paddr=00020020 vaddr=40000020 size=21834h (137268) map
|
||||
I (567) esp_image: segment 4: paddr=0004185c vaddr=4ff22dbc size=094e8h ( 38120) load
|
||||
I (635) esp_image: segment 5: paddr=0004ad4c vaddr=4ff2c300 size=044ech ( 17644) load
|
||||
I (750) boot: Loaded app from partition at offset 0x10000
|
||||
I (752) boot: Checking flash encryption...
|
||||
I (777) efuse: Batch mode of writing fields is enabled
|
||||
I (796) flash_encrypt: Deploying new flash encryption key using Key Manager
|
||||
W (933) flash_encrypt: Not disabling UART bootloader encryption
|
||||
I (939) flash_encrypt: Disable UART bootloader cache...
|
||||
W (952) flash_encrypt: Not disabling JTAG - SECURITY COMPROMISED
|
||||
I (965) efuse: BURN BLOCK0
|
||||
I (970) efuse: BURN BLOCK0 - OK (write block == read block)
|
||||
I (973) efuse: Batch mode. Prepared fields are committed
|
||||
I (1063) esp_image: segment 0: paddr=00002020 vaddr=4ffb6240 size=03870h ( 14448)
|
||||
I (1132) esp_image: segment 1: paddr=00005898 vaddr=4ffac2c0 size=0179ch ( 6044)
|
||||
I (1200) esp_image: segment 2: paddr=0000703c vaddr=4ffaefc0 size=04ed8h ( 20184)
|
||||
I (1725) flash_encrypt: bootloader encrypted successfully
|
||||
I (1769) flash_encrypt: partition table encrypted and loaded successfully
|
||||
I (1851) esp_image: segment 0: paddr=00010020 vaddr=40030020 size=0d1e8h ( 53736) map
|
||||
I (1919) esp_image: segment 1: paddr=0001d210 vaddr=30100000 size=00044h ( 68)
|
||||
I (1988) esp_image: segment 2: paddr=0001d25c vaddr=4ff20000 size=02dbch ( 11708)
|
||||
I (2056) esp_image: segment 3: paddr=00020020 vaddr=40000020 size=21834h (137268) map
|
||||
I (2133) esp_image: segment 4: paddr=0004185c vaddr=4ff22dbc size=094e8h ( 38120)
|
||||
I (2202) esp_image: segment 5: paddr=0004ad4c vaddr=4ff2c300 size=044ech ( 17644)
|
||||
I (2315) flash_encrypt: Encrypting partition 0 at offset 0x10000 (length 0x3f260)...
|
||||
I (4978) flash_encrypt: Done encrypting
|
||||
I (4992) efuse: BURN BLOCK0
|
||||
I (4997) efuse: BURN BLOCK0 - OK (all write block bits are set)
|
||||
I (5001) flash_encrypt: Flash encryption completed
|
||||
I (5005) boot: Resetting with flash encryption enabled...
|
||||
|
||||
|
||||
------
|
||||
|
||||
|
||||
.. already_en_enc
|
||||
|
||||
.. code-block:: none
|
||||
@@ -152,3 +218,77 @@
|
||||
I (595) main_task: Returned from app_main()
|
||||
|
||||
------
|
||||
|
||||
|
||||
.. already_en_enc_km
|
||||
|
||||
.. code-block:: none
|
||||
|
||||
ESP-ROM:esp32p4-eco5-20250430
|
||||
Build:Apr 30 2025
|
||||
rst:0x3 (SW_SYS_RESET),boot:0xc (SPI_FAST_FLASH_BOOT)
|
||||
Core0 Saved PC:0x4ffb0910
|
||||
Core1 Saved PC:0x4fc05fa4
|
||||
SPI mode:DIO, clock div:1
|
||||
load:0x4ffb6240,len:0x3870
|
||||
load:0x4ffac2c0,len:0x179c
|
||||
load:0x4ffaefc0,len:0x4ed8
|
||||
entry 0x4ffac2ca
|
||||
I (37) boot: ESP-IDF v6.0-dev-2918-g6629f96afca-dirt 2nd stage bootloader
|
||||
I (38) boot: compile time Oct 14 2025 08:50:07
|
||||
I (38) boot: Multicore bootloader
|
||||
I (84) boot: chip revision: v3.0
|
||||
I (87) boot: efuse block revision: v1.0
|
||||
I (106) boot.esp32p4: SPI Speed : 80MHz
|
||||
I (110) boot.esp32p4: SPI Mode : DIO
|
||||
I (113) boot.esp32p4: SPI Flash Size : 2MB
|
||||
I (121) boot: Enabling RNG early entropy source...
|
||||
I (155) boot: Partition Table:
|
||||
I (158) boot: ## Label Usage Type ST Offset Length
|
||||
I (172) boot: 0 factory factory app 00 00 00010000 00150000
|
||||
I (186) boot: 1 storage Unknown data 01 81 00160000 00050000
|
||||
I (193) boot: End of partition table
|
||||
I (287) esp_image: segment 0: paddr=00010020 vaddr=40030020 size=0d1e8h ( 53736) map
|
||||
I (355) esp_image: segment 1: paddr=0001d210 vaddr=30100000 size=00044h ( 68) load
|
||||
I (422) esp_image: segment 2: paddr=0001d25c vaddr=4ff20000 size=02dbch ( 11708) load
|
||||
I (491) esp_image: segment 3: paddr=00020020 vaddr=40000020 size=21834h (137268) map
|
||||
I (567) esp_image: segment 4: paddr=0004185c vaddr=4ff22dbc size=094e8h ( 38120) load
|
||||
I (635) esp_image: segment 5: paddr=0004ad4c vaddr=4ff2c300 size=044ech ( 17644) load
|
||||
I (750) boot: Loaded app from partition at offset 0x10000
|
||||
I (752) boot: Checking flash encryption...
|
||||
I (769) flash_encrypt: flash encryption is enabled (1 plaintext flashes left)
|
||||
I (776) boot: Disabling RNG early entropy source...
|
||||
W (847) pmu_pvt: blk_version is less than 2, pvt auto dbias init not supported in efuse.
|
||||
I (855) cpu_start: Multicore app
|
||||
I (890) cpu_start: GPIO 38 and 37 are used as console UART I/O pins
|
||||
I (901) cpu_start: Pro cpu start user code
|
||||
I (905) cpu_start: cpu freq: 400000000 Hz
|
||||
I (914) app_init: Application information:
|
||||
I (918) app_init: Project name: crypto_test
|
||||
I (922) app_init: App version: qa-test-esp32c61-master-2025070
|
||||
I (928) app_init: Compile time: Oct 14 2025 08:50:07
|
||||
I (933) app_init: ELF file SHA256: 847005dd4...
|
||||
I (938) app_init: ESP-IDF: v6.0-dev-2918-g6629f96afca-dirt
|
||||
I (949) efuse_init: Min chip rev: v3.0
|
||||
I (953) efuse_init: Max chip rev: v3.99
|
||||
I (957) efuse_init: Chip rev: v3.0
|
||||
I (1126) heap_init: Initializing. RAM available for dynamic allocation:
|
||||
I (1137) heap_init: At 4FF33B20 len 000874A0 (541 KiB): RAM
|
||||
I (1143) heap_init: At 4FFBAFC0 len 00004BF0 (18 KiB): RAM
|
||||
I (1153) heap_init: At 50108080 len 00007F80 (31 KiB): RTCRAM
|
||||
I (1163) heap_init: At 30100044 len 00001FBC (7 KiB): TCM
|
||||
I (1261) spi_flash: detected chip: gd
|
||||
I (1264) spi_flash: flash io: dio
|
||||
W (1267) spi_flash: Detected size(16384k) larger than the size in the binary image header(2048k). Using the size in the binary image header.
|
||||
W (1293) flash_encrypt: Flash encryption mode is DEVELOPMENT (not secure)
|
||||
I (1357) main_task: Started on CPU0
|
||||
I (1407) main_task: Calling app_main()
|
||||
I (1407) main_task: Returned from app_main()
|
||||
|
||||
Example to check Flash Encryption status
|
||||
This is esp32p4 chip with 2 CPU core(s), WiFi, silicon revision v0.0, 2MB external flash
|
||||
FLASH_CRYPT_CNT eFuse value is 1
|
||||
Flash encryption feature is enabled in DEVELOPMENT mode
|
||||
|
||||
|
||||
------
|
||||
|
||||
@@ -93,7 +93,35 @@ flash 加密操作由 {IDF_TARGET_NAME} 上的多个 eFuse 控制，具体 eFuse
|
||||
- 7
|
||||
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256 and SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
.. list-table:: flash 加密过程中使用的 eFuses
|
||||
:widths: 25 40 10
|
||||
:header-rows: 0
|
||||
|
||||
* - **eFuse**
|
||||
- **描述**
|
||||
- **位深**
|
||||
* - ``BLOCK_KEYN``
|
||||
- AES 密钥存储，N 在 0-5 之间。当使用基于密钥管理器的密钥时，此 eFuse 不被使用。
|
||||
- XTS_AES_128 有一个 256 位密钥块，XTS_AES_256 有两个 256 位密钥块（共 512 位）。
|
||||
* - ``KEY_PURPOSE_N``
|
||||
- 控制 eFuse 块 ``BLOCK_KEYN`` 的目的，其中 N 在 0-5 之间。可能的值：``2`` 代表 ``XTS_AES_256_KEY_1``，``3`` 代表 ``XTS_AES_256_KEY_2``，``4`` 代表 ``XTS_AES_128_KEY``。最终 AES 密钥是基于其中一个或两个目的 eFuses 值推导。有关各种可能的组合，请参阅 *{IDF_TARGET_NAME} 技术参考手册* > *外部内存加密和解密（XTS_AES)* [`PDF <{IDF_TARGET_TRM_CN_URL}#extmemencr>`__]。使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 不被使用。
|
||||
- 4
|
||||
* - ``KM_XTS_KEY_LENGTH_256``
|
||||
- 使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 用于控制 XTS-AES 密钥的长度。将此 eFuse 设置为 1 表示使用 128 位密钥，设置为 0 表示使用 256 位密钥。使用基于 eFuse 的密钥启用 flash 加密时，此 eFuse 字段不被使用。
|
||||
- 1
|
||||
* - ``FORCE_USE_KEY_MANAGER_KEY``
|
||||
- 使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 用于强制密钥管理器使用 XTS-AES 密钥。将此 eFuse 的第 1 位设置为 1 以使用基于密钥管理器的密钥。使用基于 eFuse 的密钥启用 flash 加密时，此 eFuse 字段不被使用。
|
||||
- 1
|
||||
* - ``DIS_DOWNLOAD_MANUAL_ENCRYPT``
|
||||
- 设置后，在下载启动模式下禁用 flash 加密。
|
||||
- 1
|
||||
* - ``{IDF_TARGET_CRYPT_CNT}``
|
||||
- 设置 SPI 启动模式后，可启用加密和解密。如果在 eFuse 中设置了 1 或 3 个比特位，则启用该功能，否则将禁用。
|
||||
- 3
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
.. list-table:: flash 加密过程中使用的 eFuses
|
||||
:widths: 25 40 10
|
||||
@@ -115,7 +143,35 @@ flash 加密操作由 {IDF_TARGET_NAME} 上的多个 eFuse 控制，具体 eFuse
|
||||
- 设置 SPI 启动模式后，可启用加密和解密。如果在 eFuse 中设置了 1 或 3 个比特位，则启用该功能，否则将禁用。
|
||||
- 3
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK and SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
.. list-table:: flash 加密过程中使用的 eFuses
|
||||
:widths: 25 40 10
|
||||
:header-rows: 0
|
||||
|
||||
* - **eFuse**
|
||||
- **描述**
|
||||
- **位深**
|
||||
* - ``BLOCK_KEYN``
|
||||
- AES 密钥存储，N 在 0-5 之间。当使用基于密钥管理器的密钥时，此 eFuse 不被使用。
|
||||
- 256 位密钥块。
|
||||
* - ``KEY_PURPOSE_N``
|
||||
- 控制 eFuse 块 ``BLOCK_KEYN`` 的目的，其中 N 在 0 到 5 之间。对于 flash 加密，唯一的有效值是 4，代表 ``XTS_AES_128_KEY``。使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 不被使用。
|
||||
- 4
|
||||
* - ``KM_XTS_KEY_LENGTH_256``
|
||||
- 使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 用于控制 XTS-AES 密钥的长度。将此 eFuse 设置为 1 表示使用 128 位密钥，设置为 0 表示使用 256 位密钥。使用基于 eFuse 的密钥启用 flash 加密时，此 eFuse 字段不被使用。
|
||||
- 1
|
||||
* - ``FORCE_USE_KEY_MANAGER_KEY``
|
||||
- 使用基于密钥管理器的密钥启用 flash 加密时，此 eFuse 用于强制密钥管理器使用 XTS-AES 密钥。将此 eFuse 的第 1 位设置为 1 以使用基于密钥管理器的密钥。使用基于 eFuse 的密钥启用 flash 加密时，此 eFuse 字段不被使用。
|
||||
- 1
|
||||
* - ``DIS_DOWNLOAD_MANUAL_ENCRYPT``
|
||||
- 设置后，则在下载引导模式时禁用 flash 加密。
|
||||
- 1
|
||||
* - ``{IDF_TARGET_CRYPT_CNT}``
|
||||
- 设置 SPI 启动模式后，可启用加密和解密。如果在 eFuse 中设置 1 或 3 个比特位，则启用该功能，否则将禁用。
|
||||
- 3
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK and not SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
.. list-table:: flash 加密过程中使用的 eFuses
|
||||
:widths: 25 40 10
|
||||
@@ -195,7 +251,35 @@ flash 的加密过程
|
||||
|
||||
8. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256 and SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
1. 第一次开机复位时，flash 中的所有数据都是未加密的（明文）。一级 (ROM) 引导加载程序加载二级引导加载程序。
|
||||
|
||||
2. 二级引导加载程序将读取 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 值 (``0b000``)。因为该值为 0（偶数位），二级引导加载程序将配置并启用 flash 加密块。关于 flash 加密块的更多信息，请参考 *{IDF_TARGET_NAME} 技术参考手册* > *eFuse 控制器 (eFuse)* > *手动加密块* [`PDF <{IDF_TARGET_TRM_CN_URL}#efuse>`__]。
|
||||
|
||||
3. 二级引导加载程序首先检查 eFuse 中是否已经存在有效密钥（例如用 espefuse 工具烧写的密钥）（若打算使用基于 eFuse 的密钥启用 flash 加密），或者检查 flash 内存地址 0x0 和 0x1000 处是否存在有效的密钥恢复信息（若打算使用基于密钥管理器的密钥启用 flash 加密），若存在则跳过密钥生成步骤，并将该密钥用于 flash 加密过程。
|
||||
|
||||
4. 否则，如果使用基于 eFuse 的密钥，二级引导加载程序将使用 RNG（随机数发生器）模块生成 256 位或 512 位的密钥（具体位数取决于 :ref:`生成的 XTS-AES 密钥的大小 <CONFIG_SECURE_FLASH_ENCRYPTION_KEYSIZE>`），然后将其分别写入一个或两个 `BLOCK_KEYN` eFuse 中。软件也为存储密钥的块更新了 ``KEY_PURPOSE_N``。由于上述一个或两个 ``BLOCK_KEYN`` eFuse 已设置了读保护和写保护位，因此无法通过软件访问密钥。``KEY_PURPOSE_N`` 字段也受写保护。如果使用基于密钥管理器的密钥，二级引导加载程序则将密钥恢复信息写入 flash 内存地址 0x0，随后对 ``KM_XTS_KEY_LENGTH_256`` 和 ``FORCE_USE_KEY_MANAGER_KEY`` eFuse 进行编程。flash 加密操作完全在硬件中完成，无法通过软件访问密钥。
|
||||
|
||||
5. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有”加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
|
||||
6. 二级引导加载程序将在 ``{IDF_TARGET_CRYPT_CNT}`` (0b001) 中设置第一个可用位来对已加密的 flash 内容进行标记。设置奇数位。
|
||||
|
||||
7. 对于 :ref:`flash-enc-development-mode`，二级引导加载程序允许 UART 引导加载程序重新烧录加密后的二进制文件。同时，``{IDF_TARGET_CRYPT_CNT}`` eFuse 位不受写入保护。此外，二级引导加载程序默认置位以下 eFuse 位：
|
||||
|
||||
.. list::
|
||||
|
||||
:esp32s2: - ``DIS_BOOT_REMAP``
|
||||
- ``DIS_DOWNLOAD_ICACHE``
|
||||
- ``DIS_DOWNLOAD_DCACHE``
|
||||
- ``HARD_DIS_JTAG``
|
||||
- ``DIS_LEGACY_SPI_BOOT``
|
||||
|
||||
8. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位以及 ``DIS_DOWNLOAD_MANUAL_ENCRYPT``。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
|
||||
9. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
1. 第一次开机复位时，flash 中的所有数据都是未加密的（明文）。一级 (ROM) 引导加载程序加载二级引导加载程序。
|
||||
|
||||
@@ -203,7 +287,7 @@ flash 的加密过程
|
||||
|
||||
3. 二级引导加载程序首先检查 eFuse 中是否已经存在有效密钥（例如用 espefuse 工具烧写的密钥），如果存在，则会跳过密钥生成，并将该密钥用于 flash 加密过程。否则，二级引导加载程序使用 RNG（随机数发生器）模块生成一个 256 位或 512 位的密钥，具体位数取决于 :ref:`生成的 XTS-AES 密钥的大小 <CONFIG_SECURE_FLASH_ENCRYPTION_KEYSIZE>`，然后将其分别写入一个或两个 `BLOCK_KEYN` eFuse 中。软件也为存储密钥的块更新了 ``KEY_PURPOSE_N``。由于上述一个或两个 ``BLOCK_KEYN`` eFuse 已设置了读保护和写保护位，因此无法通过软件访问密钥。``KEY_PURPOSE_N`` 字段也受写保护。flash 加密操作完全在硬件中完成，无法通过软件访问密钥。
|
||||
|
||||
4. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有“加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
4. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有”加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
|
||||
5. 二级引导加载程序将在 ``{IDF_TARGET_CRYPT_CNT}`` (0b001) 中设置第一个可用位来对已加密的 flash 内容进行标记。设置奇数位。
|
||||
|
||||
@@ -217,27 +301,49 @@ flash 的加密过程
|
||||
- ``HARD_DIS_JTAG``
|
||||
- ``DIS_LEGACY_SPI_BOOT``
|
||||
|
||||
7. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
7. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位以及 ``DIS_DOWNLOAD_MANUAL_ENCRYPT``。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
|
||||
8. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK and SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
1. 第一次开机复位时，flash 中的所有数据都是未加密的（明文）。一级 (ROM) 引导加载程序加载二级引导加载程序。
|
||||
|
||||
2. 二级引导加载程序将读取 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 值 (``0b000``)。因为该值为 0（偶数位），二级引导加载程序将配置并启用 flash 加密块。关于 flash 加密块的更多信息，请参考 `{IDF_TARGET_NAME} 技术参考手册 <{IDF_TARGET_TRM_CN_URL}>`_。
|
||||
|
||||
3. 二级引导加载程序首先检查 eFuse 中是否已经存在有效密钥（例如用 espefuse 工具烧写的密钥）（若打算使用基于 eFuse 的密钥启用 flash 加密），或者检查 flash 内存地址 0x0 和 0x1000 处是否存在有效的密钥恢复信息（若打算使用基于密钥管理器的密钥启用 flash 加密），若存在则跳过密钥生成步骤，并将该密钥用于 flash 加密过程。
|
||||
|
||||
4. 否则，如果使用基于 eFuse 的密钥，二级引导加载程序将使用 RNG（随机数发生器）模块生成一个 256 位密钥，然后将其写入一个 `BLOCK_KEYN` eFuse。软件也为存储密钥的块更新了 ``KEY_PURPOSE_N``。由于该 ``BLOCK_KEYN`` eFuse 已设置了读保护和写保护位，因此无法通过软件访问密钥。``KEY_PURPOSE_N`` 字段也受写保护。如果使用基于密钥管理器的密钥，二级引导加载程序则将密钥恢复信息写入 flash 内存地址 0x0，随后对 ``KM_XTS_KEY_LENGTH_256`` 和 ``FORCE_USE_KEY_MANAGER_KEY`` eFuse 进行编程。flash 加密操作完全在硬件中完成，无法通过软件访问密钥。
|
||||
|
||||
5. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有”加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
|
||||
6. 二级引导加载程序将在 ``{IDF_TARGET_CRYPT_CNT}`` (0b001) 中设置第一个可用位来对已加密的 flash 内容进行标记。设置奇数位。
|
||||
|
||||
7. 对于 :ref:`flash-enc-development-mode`，二级引导加载程序允许 UART 引导加载程序重新烧录加密后的二进制文件。同时，``{IDF_TARGET_CRYPT_CNT}`` eFuse 位不受写入保护。此外，默认情况下，二级引导加载程序设置 ``DIS_DOWNLOAD_ICACHE``、 ``DIS_PAD_JTAG``、 ``DIS_USB_JTAG`` 和 ``DIS_LEGACY_SPI_BOOT`` eFuse 位。
|
||||
|
||||
8. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位以及 ``DIS_DOWNLOAD_MANUAL_ENCRYPT``。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
|
||||
9. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK
|
||||
|
||||
1. 第一次开机复位时，flash 中的所有数据都是未加密的（明文）。一级 (ROM) 引导加载程序加载二级引导加载程序。
|
||||
|
||||
2. 二级引导加载程序将读取 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 值 (``0b000``)。因为该值为 0（偶数位），二级引导加载程序将配置并启用 flash 加密块。关于 flash 加密块的更多信息，请参考 `{IDF_TARGET_NAME} 技术参考手册 <{IDF_TARGET_TRM_CN_URL}>`_。
|
||||
|
||||
3. 二级引导加载程序使用 RNG（随机数发生器）模块生成 256 位密钥，然后将其写入 `BLOCK_KEYN` eFuse。软件也为存储密钥的块更新了 ``KEY_PURPOSE_N``。由于 ``BLOCK_KEYN`` eFuse 已设置了读保护和写保护位，因此无法通过软件访问密钥。``KEY_PURPOSE_N`` 字段也受写保护。flash 加密操作完全在硬件中完成，无法通过软件访问密钥。如果 eFuse 中已经存在有效密钥（例如用 espefuse 工具烧写的密钥），则会跳过密钥生成，并将该密钥用于 flash 加密过程。
|
||||
3. 二级引导加载程序首先检查 eFuse 中是否已经存在有效密钥（例如用 espefuse 工具烧写的密钥），如果存在，则会跳过密钥生成，并将该密钥用于 flash 加密过程。
|
||||
|
||||
4. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有“加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
4. 否则，二级引导加载程序使用 RNG（随机数发生器）模块生成 256 位密钥，然后将其写入 `BLOCK_KEYN` eFuse。软件也为存储密钥的块更新了 ``KEY_PURPOSE_N``。由于 ``BLOCK_KEYN`` eFuse 已设置了读保护和写保护位，因此无法通过软件访问密钥。``KEY_PURPOSE_N`` 字段也受写保护。flash 加密操作完全在硬件中完成，无法通过软件访问密钥。
|
||||
|
||||
5. 二级引导加载程序将在 ``{IDF_TARGET_CRYPT_CNT}`` (0b001) 中设置第一个可用位来对已加密的 flash 内容进行标记。设置奇数位。
|
||||
5. flash 加密块将加密 flash 的内容（二级引导加载程序、应用程序、以及标有”加密”标志的分区）。就地加密可能会耗些时间（对于大分区最多需要一分钟）。
|
||||
|
||||
6. 对于 :ref:`flash-enc-development-mode`，二级引导加载程序允许 UART 引导加载程序重新烧录加密后的二进制文件。同时，``{IDF_TARGET_CRYPT_CNT}`` eFuse 位不受写入保护。此外，默认情况下，二级引导加载程序设置 ``DIS_DOWNLOAD_ICACHE``、 ``DIS_PAD_JTAG``、 ``DIS_USB_JTAG`` 和 ``DIS_LEGACY_SPI_BOOT`` eFuse 位。
|
||||
6. 二级引导加载程序将在 ``{IDF_TARGET_CRYPT_CNT}`` (0b001) 中设置第一个可用位来对已加密的 flash 内容进行标记。设置奇数位。
|
||||
|
||||
7. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位以及 ``DIS_DOWNLOAD_MANUAL_ENCRYPT``。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
7. 对于 :ref:`flash-enc-development-mode`，二级引导加载程序允许 UART 引导加载程序重新烧录加密后的二进制文件。同时，``{IDF_TARGET_CRYPT_CNT}`` eFuse 位不受写入保护。此外，默认情况下，二级引导加载程序设置 ``DIS_DOWNLOAD_ICACHE``、 ``DIS_PAD_JTAG``、 ``DIS_USB_JTAG`` 和 ``DIS_LEGACY_SPI_BOOT`` eFuse 位。
|
||||
|
||||
8. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
8. 对于 :ref:`flash-enc-release-mode`，二级引导加载程序设置所有在开发模式下设置的 eFuse 位以及 ``DIS_DOWNLOAD_MANUAL_ENCRYPT``。它还写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse 位。要修改此行为，请参阅 :ref:`uart-bootloader-encryption`。
|
||||
|
||||
9. 重新启动设备以开始执行加密镜像。二级引导加载程序调用 flash 解密块来解密 flash 内容，然后将解密的内容加载到 IRAM 中。
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK
|
||||
|
||||
@@ -301,6 +407,7 @@ flash 加密设置
|
||||
:esp32: - :ref:`选择 UART ROM 下载模式 <CONFIG_SECURE_UART_ROM_DL_MODE>` （默认是 **启用**）。请注意，对于 ESP32 芯片，该选项仅在 :ref:`CONFIG_ESP32_REV_MIN` 级别设置为 3 时 (ESP32 V3) 可用。
|
||||
:not esp32: - :ref:`选择 UART ROM 下载模式 <CONFIG_SECURE_UART_ROM_DL_MODE>` （默认是 **启用**）。
|
||||
:SOC_FLASH_ENCRYPTION_XTS_AES_OPTIONS: - 设置 :ref:`生成的 XTS-AES 密钥大小 <CONFIG_SECURE_FLASH_ENCRYPTION_KEYSIZE>`。
|
||||
:SOC_KEY_MANAGER_SUPPORTED: - :ref:`选择 Flash 加密密钥的密钥来源 <CONFIG_SECURE_FLASH_ENCRYPTION_KEY_SOURCE>`。
|
||||
- :ref:`选择适当详细程度的引导加载程序日志 <CONFIG_BOOTLOADER_LOG_LEVEL>`。
|
||||
- 保存配置并退出。
|
||||
|
||||
@@ -316,9 +423,23 @@ flash 加密设置
|
||||
|
||||
这个命令不包括任何应该写入 flash 分区的用户文件。请在运行此命令前手动写入这些文件，否则在写入前应单独对这些文件进行加密。
|
||||
|
||||
该命令将向 flash 写入未加密的镜像：二级引导加载程序、分区表和应用程序。烧录完成后，{IDF_TARGET_NAME} 将复位。在下一次启动时，二级引导加载程序会加密：二级引导加载程序、应用程序分区和标记为“加密”的分区，然后复位。就地加密可能需要时间，对于大分区最多需要一分钟。之后，应用程序在运行时解密并执行命令。
|
||||
该命令将向 flash 写入未加密的镜像：二级引导加载程序、分区表和应用程序。烧录完成后，{IDF_TARGET_NAME} 将复位。在下一次启动时，二级引导加载程序会加密：二级引导加载程序、应用程序分区和标记为”加密”的分区，然后复位。就地加密可能需要时间，对于大分区最多需要一分钟。之后，应用程序在运行时解密并执行命令。
|
||||
|
||||
下面是启用 flash 加密后 {IDF_TARGET_NAME} 首次启动时的样例输出：
|
||||
.. only:: SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
下面是使用基于密钥管理器的密钥启用 flash 加密后 {IDF_TARGET_NAME} 首次启动时的样例输出：
|
||||
|
||||
.. include:: {IDF_TARGET_PATH_NAME}_log.inc
|
||||
:start-after: first_boot_enc_km
|
||||
:end-before: ------
|
||||
|
||||
下面是 {IDF_TARGET_NAME} 后续启动时的样例输出，仅说明 flash 加密已启用（ESP-ROM 日志会提示正在使用基于密钥管理器的密钥）：
|
||||
|
||||
.. include:: {IDF_TARGET_PATH_NAME}_log.inc
|
||||
:start-after: already_en_enc_km
|
||||
:end-before: ------
|
||||
|
||||
下面是使用基于 eFuse 的密钥启用 flash 加密后 {IDF_TARGET_NAME} 首次启动时的样例输出：
|
||||
|
||||
.. include:: {IDF_TARGET_PATH_NAME}_log.inc
|
||||
:start-after: first_boot_enc
|
||||
@@ -338,7 +459,7 @@ flash 加密设置
|
||||
使用主机生成的密钥
|
||||
""""""""""""""""""""""""
|
||||
|
||||
可在主机中预生成 flash 加密密钥，并将其烧录到 eFuse 密钥块中。这样，无需明文 flash 更新便可以在主机上预加密数据并将其烧录。该功能可在 :ref:`flash-enc-development-mode` 和 :ref:`flash-enc-release-mode` 两模式下使用。如果没有预生成的密钥，数据将以明文形式烧录，然后 {IDF_TARGET_NAME} 对数据进行就地加密。
|
||||
可在主机中预生成 flash 加密密钥，并将其编程到设备中。这样，无需明文 flash 更新便可以在主机上预加密数据并将其烧录。该功能可在 :ref:`flash-enc-development-mode` 和 :ref:`flash-enc-release-mode` 两模式下使用。如果没有预生成的密钥，数据将以明文形式烧录，然后 {IDF_TARGET_NAME} 对数据进行就地加密。
|
||||
|
||||
.. note::
|
||||
|
||||
@@ -555,6 +676,72 @@ flash 加密设置
|
||||
|
||||
该命令将向 flash 写入未加密的镜像：二级引导加载程序、分区表和应用程序。烧录完成后，{IDF_TARGET_NAME} 将复位。在下一次启动时，二级引导加载程序会加密：二级引导加载程序、应用程序分区和标记为 ``加密`` 的分区，然后复位。就地加密可能需要时间，对于大的分区来说可能耗时一分钟。之后，应用程序在运行时被解密并执行。
|
||||
|
||||
.. only:: SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
如需使用主机生成的密钥并将其部署到设备的密钥管理器，请完成以下步骤：
|
||||
|
||||
1. 确保你的 {IDF_TARGET_NAME} 设备有 :ref:`flash-encryption-efuse` 中所示的 flash 加密 eFuse 的默认设置。
|
||||
|
||||
请参考如何检查 :ref:`flash-encryption-status`。
|
||||
|
||||
2. 通过运行以下命令生成一个随机密钥：
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_256
|
||||
|
||||
如果 :ref:`生成的 XTS-AES 密钥大小 <CONFIG_SECURE_FLASH_ENCRYPTION_KEYSIZE>` 是 AES-128（256 位密钥）：
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
idf.py secure-generate-flash-encryption-key my_flash_encryption_key.bin
|
||||
|
||||
否则如果 :ref:`生成的 XTS-AES 密钥大小 <CONFIG_SECURE_FLASH_ENCRYPTION_KEYSIZE>` 是 AES-256（512 位密钥）：
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
idf.py secure-generate-flash-encryption-key --keylen 512 my_flash_encryption_key.bin
|
||||
|
||||
|
||||
.. only:: SOC_FLASH_ENCRYPTION_XTS_AES_128 and not SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_EFUSE_CONSISTS_OF_ONE_KEY_BLOCK
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
idf.py secure-generate-flash-encryption-key my_flash_encryption_key.bin
|
||||
|
||||
|
||||
3. **在第一次加密启动前**，使用密钥管理器的 AES 部署模式，通过初始化密钥和辅助密钥将密钥部署到设备的密钥管理器中。
|
||||
|
||||
4. 部署过程将为已部署的密钥生成密钥恢复信息。使用以下命令将该信息存储到 flash 地址 0x0：
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
esptool --port PORT --baud BAUD write-flash 0x0 key_recovery_info.bin
|
||||
|
||||
如果未部署密钥就在启用 flash 加密后启动设备，{IDF_TARGET_NAME} 将生成并部署一个软件无法访问或修改的随机密钥。
|
||||
|
||||
.. note::
|
||||
|
||||
这个命令不包括任何应该被写入 flash 上的分区的用户文件。请在运行此命令前手动写入这些文件，否则在写入前应单独对这些文件进行加密。
|
||||
|
||||
5. 在 :ref:`项目配置菜单 <project-configuration-menu>` 中进行如下设置：
|
||||
|
||||
- :ref:`启动时启用 flash 加密功能 <CONFIG_SECURE_FLASH_ENC_ENABLED>`
|
||||
- :ref:`选择加密模式 <CONFIG_SECURE_FLASH_ENCRYPTION_MODE>` （默认为 **开发模式**）
|
||||
- :ref:`选择 flash 加密密钥来源为密钥管理器 <CONFIG_SECURE_FLASH_ENCRYPTION_KEY_SOURCE>`
|
||||
- :ref:`选择适当详细程度的引导加载程序日志 <CONFIG_BOOTLOADER_LOG_LEVEL>`
|
||||
- 保存配置并退出。
|
||||
|
||||
启用 flash 加密将增大引导加载程序，因而可能需更新分区表偏移量。请参考 :ref:`引导加载程序大小 <bootloader-size>`。
|
||||
|
||||
6. 运行以下命令来构建并烧录完整的镜像：
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
idf.py flash monitor
|
||||
|
||||
.. note::
|
||||
|
||||
这个命令不包括任何应该被写入 flash 上的分区的用户文件。请在运行此命令前手动写入这些文件，否则在写入前应单独对这些文件进行加密。
|
||||
|
||||
一旦在量产模式下启用 flash 加密，引导加载程序将写保护 ``{IDF_TARGET_CRYPT_CNT}`` eFuse。
|
||||
|
||||
请使用 :ref:`OTA 方案 <updating-encrypted-flash-ota>` 对字段中的明文进行后续更新。
|
||||
@@ -828,7 +1015,9 @@ flash 加密的要点
|
||||
|
||||
:esp32: - flash 加密算法采用的是 AES-256，其中密钥随着 flash 的每个 32 字节块的偏移地址“调整”。这意味着，每个 32 字节块（2 个连续的 16 字节 AES 块）使用从 flash 加密密钥中产生的一个特殊密钥进行加密。
|
||||
|
||||
:esp32s2 or esp32s3: - 使用 XTS-AES-128 或 XTS-AES-256 加密 flash。flash 加密密钥分别为 256 位和 512 位，存储于芯片内部一个或两个 ``BLOCK_KEYN`` eFuse 中，并（默认）受保护，防止软件访问。
|
||||
:SOC_FLASH_ENCRYPTION_XTS_AES_256 and SOC_KEY_MANAGER_SUPPORTED: - 使用 XTS-AES-128 或 XTS-AES-256 加密 flash。flash 加密密钥分别为 256 位和 512 位，若 flash 加密使用基于 eFuse 的密钥启用，则存储于芯片内部一个或两个 ``BLOCK_KEYN`` eFuse 中；若 flash 加密使用基于密钥管理器的密钥启用，则 flash 加密密钥存储于密钥管理器中，并（默认）受保护，防止软件访问。
|
||||
|
||||
:SOC_FLASH_ENCRYPTION_XTS_AES_256 and not SOC_KEY_MANAGER_SUPPORTED: - 使用 XTS-AES-128 或 XTS-AES-256 加密 flash。flash 加密密钥分别为 256 位和 512 位，存储于芯片内部一个或两个 ``BLOCK_KEYN`` eFuse 中，并（默认）受保护，防止软件访问。
|
||||
|
||||
:esp32c3: - 使用 XTS-AES-128 加密 flash。 flash 加密密钥为 256 位，存储于芯片内部的 ``BLOCK_KEYN`` eFuse 中，并（默认）受保护，防止软件访问。
|
||||
|
||||
@@ -1003,7 +1192,13 @@ JTAG 调试
|
||||
手动加密文件
|
||||
^^^^^^^^^^^^^^^^^^^^
|
||||
|
||||
手动加密或解密文件需要在 eFuse 中预烧录 flash 加密密钥（请参阅 :ref:`pregenerated-flash-encryption-key`）并在主机上保留一份副本。 如果 flash 加密配置在开发模式下，那么则不需要保留密钥的副本或遵循这些步骤，可以使用更简单的 :ref:`encrypt-partitions` 步骤。
|
||||
.. only:: SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
手动加密或解密文件需要将 flash 加密密钥部署到密钥管理器或在 eFuse 中预烧录（请参阅 :ref:`pregenerated-flash-encryption-key`）并在主机上保留一份副本。如果 flash 加密配置在开发模式下，那么则不需要保留密钥的副本或遵循这些步骤，可以使用更简单的 :ref:`encrypt-partitions` 步骤。
|
||||
|
||||
.. only:: not SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
手动加密或解密文件需要在 eFuse 中预烧录 flash 加密密钥（请参阅 :ref:`pregenerated-flash-encryption-key`）并在主机上保留一份副本。 如果 flash 加密配置在开发模式下，那么则不需要保留密钥的副本或遵循这些步骤，可以使用更简单的 :ref:`encrypt-partitions` 步骤。
|
||||
|
||||
密钥文件应该是单个原始二进制文件（例如：``key.bin``）。
|
||||
|
||||
|
||||
@@ -130,14 +130,52 @@
|
||||
|
||||
espsecure generate-flash-encryption-key --keylen 128 my_flash_encryption_key.bin
|
||||
|
||||
3. 将 flash 加密密钥烧录到 eFuse 中
|
||||
3. 将生成的 Flash 加密密钥编程到设备中
|
||||
|
||||
.. only:: SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
a. 如果打算使用 Key Manager 存储 Flash 加密密钥，请使用脚本 `generate_km_test_cases.py` 生成密钥部署参数，并使用该参数将密钥部署到 Key Manager 中。密钥部署到 Key Manager 后，使用以下命令将生成的密钥恢复信息存储到 flash 存储器地址 0x0 处：
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
esptool --port PORT write-flash 0x0 key_recovery_info.bin
|
||||
|
||||
将密钥恢复信息存储到 flash 存储器后，还需要编程 ``KM_XTS_KEY_LENGTH_256`` 和 ``FORCE_USE_KEY_MANAGER_KEY`` eFuse。
|
||||
|
||||
.. warning::
|
||||
|
||||
这个操作 **无法回退**。
|
||||
|
||||
``FORCE_USE_KEY_MANAGER_KEY`` eFuse 的第 1 位用于强制使用基于 Key Manager 的 XTS-AES 密钥。
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
espefuse --port PORT burn-efuse FORCE_USE_KEY_MANAGER_KEY 2
|
||||
|
||||
``KM_XTS_KEY_LENGTH_256`` eFuse 用于控制基于 Key Manager 的 XTS-AES 密钥的长度。将该 eFuse 设置为 1 表示使用 128 位密钥，设置为 0 表示使用 256 位密钥。
|
||||
|
||||
如果使用 128 位密钥，将 ``KM_XTS_KEY_LENGTH_256`` eFuse 设置为 1。
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
espefuse --port PORT burn-efuse KM_XTS_KEY_LENGTH_256 1
|
||||
|
||||
如果使用 256 位密钥，将 ``KM_XTS_KEY_LENGTH_256`` eFuse 设置为 0。
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
espefuse --port PORT burn-efuse KM_XTS_KEY_LENGTH_256 0
|
||||
|
||||
b. 如需将 Flash 加密密钥存储在 eFuse 中，请运行以下命令：
|
||||
|
||||
.. only:: not SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
如需将 Flash 加密密钥存储在 eFuse 中，请运行以下命令：
|
||||
|
||||
.. warning::
|
||||
|
||||
这个操作 **无法回退**。
|
||||
|
||||
运行以下命令进行烧录：
|
||||
|
||||
.. only:: not SOC_FLASH_ENCRYPTION_XTS_AES
|
||||
|
||||
.. code-block:: bash
|
||||
|
||||
@@ -101,6 +101,25 @@ flash 加密最佳实践
|
||||
|
||||
详情请参阅 :doc:`../api-reference/peripherals/ecdsa` 及 :doc:`../api-reference/peripherals/ds`。
|
||||
|
||||
.. only:: SOC_KEY_MANAGER_SUPPORTED
|
||||
|
||||
密钥管理器
|
||||
~~~~~~~~~~
|
||||
|
||||
{IDF_TARGET_NAME} 中的密钥管理器外设提供硬件辅助的 **密钥部署和恢复** 功能，适用于加密密钥。密钥通过硬件唯一密钥 (HUK) 与芯片绑定，该密钥对每块芯片唯一，从而确保密钥内容不会暴露在软件可访问的内存中。
|
||||
|
||||
密钥管理器支持以下加密外设的密钥管理：:doc:`ECDSA <../api-reference/peripherals/ecdsa>`、:doc:`HMAC <../api-reference/peripherals/hmac>`、:doc:`数字签名 (DS) <../api-reference/peripherals/ds>` 以及 flash 加密。
|
||||
|
||||
详情请参阅 :doc:`../api-reference/peripherals/key_manager`。
|
||||
|
||||
密钥管理器最佳实践
|
||||
^^^^^^^^^^^^^^^^^^
|
||||
|
||||
* 防止密钥管理器部署密钥的 ``key_recovery_info`` 遭受未授权修改或丢失。
|
||||
* 在成功部署密钥后，锁定密钥管理器相关的安全 eFuse，以防止重新部署同类型密钥。
|
||||
* 除非明确需要，否则在 flash 加密已启用的情况下，避免部署新的 XTS-AES 密钥。
|
||||
|
||||
|
||||
.. only:: SOC_MEMPROT_SUPPORTED or SOC_CPU_IDRAM_SPLIT_USING_PMP
|
||||
|
||||
内存保护
|
||||
|
||||
Reference in New Issue
Block a user