使用 systemd-boot 和 UKI 配置并安全启动

• Type1：Type1 配置使用引导加载程序规范（BLS）描述文件。您可以在 EFI 上的 /loader/entries/ 目录中找到这些文件。
• Type2：Type2 配置使用统一内核镜像（UKI）。这些镜像将内核、initrd 和内核命令行组合到单个 EFI 可执行文件中。Type2 提供更好的安全性，因为 UKI 包含设备启动所需的所有信息。对 UKI 镜像进行签名可保护其中包含的所有实体。如果启用了 UEFI 安全启动，系统仅加载已签名的镜像，因此签名成为必需项。

​

UKI

​

镜像配方

• esp-qcom-image.bb 生成一个 VFAT 镜像 efi.bin，其中包含 uki.efi 和 systemd-boot。

​

EFI 镜像

图：具有 OSTree 支持生成的 efi.bin 文件

​

签名

​

主机工具 signing_tool.py 用于对 Qualcomm Linux 构建生成的 Linux OS 镜像进行签名

图：安装了 OpenSSL 和 sbsign 的 Linux 机器

​

先决条件

• OpenSSL、sbsign 和 mtools 实用工具
• Python3，包括 pip 包管理器
• 该工具使用的 subprocess、shlex、socket、glob 和 shutil 模块是 Python3 标准库的一部分，无需单独安装。

​

配置主机签名工具

​

config.ini 文件

[common]
# Section - 1: Common Selection
# Select operation: sign_image
operation = sign_image
# Possible values for file_path are 1. remote or 2. local
file_path = local
# If file_path == remote
local_machine_private_key_path = /usr2/<user_name_for_machine>/.ssh/id_rsa

# Section - 2: operation == sign_image related common selection
# Possible values for image_type are 1. efi or 2. dtb
image_type = efi
# This option is required if operation == sign_image & image_type == efi
loader_conf_timeout = 20

# Below options are required to fetch file from remote Linux machine in the same network (that is if file_path == remote)

# This option is useful if operation == sign_image & image_type == efi
[efi_config]
efi_remote_hostname = <remotemachine_ip_or_hostname_where_efi.bin_available>
efi_remote_username = <username_on_remote_machine_where_efi.bin_available>
efi_remote_filepath = <full_path_of_efi.bin_file_on_remotemachine>

# This option is useful if operation == sign_image. Both image_type requires this option
[keys_config]
keys_remote_hostname = <remotemachine_ip_or_hostname_where_keys_available>
keys_remote_username = <username_on_remote_machine_where_keys_available>
keys_remote_filepath = <full_path_of_keys_directory_on_remotemachine>

# This option is useful if operation == sign_image & image_type == dtb
[dtb_config]
dtb_remote_hostname = <remotemachine_ip_or_hostname_where_dtb_available>
dtb_remote_username = <username_on_remote_machine_where_dtb_available>
dtb_remote_filepath = <full_path_of_dtb_on_remotemachine>

1. 设置 operation 变量以指定必须执行的操作。选项为 sign_image。
2. 如果选择 operation == sign_image，请通过设置 image_type 变量指定要签名的镜像。选项为 efi 或 dtb。
3. 使用 file_path 变量指明未签名的 EFI 和 DTB 镜像、密钥和证书的位置。
   • 如果在配置文件中选择 local，请手动将 EFI 和 DTB 镜像、密钥和证书文件复制到本地工作目录：
     1. 在与脚本相同的路径下创建 unsigned_binaries 目录，然后将 efi.bin 和 dtb.bin 镜像复制到该目录中。
     2. 在与脚本相同的路径下创建 keys 目录，然后将 db.auth、db.crt、db.key、KEK.auth 和 PK.auth 文件复制到该目录中。
   • 如果希望脚本自动从同一网络中的远程 Linux 机器复制所需文件，请在配置文件中选择 remote。在配置文件中，为以下变量提供信息：
     • local_machine_private_key_path（必填）
     • [efi_config] 部分（如果 operation 为 sign_image 且 image_type 为 efi）
     • [keys_config] 部分（如果 operation 为 sign_image）
     • [dtb_config] 部分（如果 operation 为 sign_image 且 image_type 为 dtb） 注意 该脚本支持在同一网络内通过 SCP 从另一台 Linux 机器进行复制。
4. 当配置文件中的 image_type 设置为 efi 时，请更新 loader_conf_timeout 变量。
5. 如果遗漏了任何配置信息，脚本运行时会通过命令行提示您输入缺失的详细信息。

​

运行主机签名工具

1. 完成代码构建过程并获得未签名的 efi.bin 和 dtb.bin 镜像后，运行主机签名工具。
2. 将主机签名工具文件（signing_tool.py 和 config.ini）存储在一台 Linux 机器上。确保这两个文件位于同一工作目录中。
3. 按照配置说明设置主机签名工具。
4. 运行以下命令从命令行启动主机工具：$python3 signing_tool.py。主机签名工具会在屏幕上显示您的选择和操作命令。它还会在命令行中显示错误。工具完成其过程后，会在同一工作目录中创建一个名为 signed_binaries 的目录。已签名的 efi.bin 或 dtb.bin 镜像存储在该目录中。签名后，该工具会删除其他用户创建的目录。
5. 请执行此过程两次，一次针对 efi.bin，一次针对 dtb.bin。在每次签名操作之后、开始新操作之前，请删除 signed_binaries 目录。

​

主机签名工具工作流

图：主机签名工具工作流

• 主机工具需要 efi.bin 和 dtb.bin 的路径（绝对路径或网络路径）。
  • 具有 OSTree 支持的 efi.bin 包含 vmlinuz-x.y.z（Qualcomm Linux 内核镜像）和 bootaa64.efi（引导加载程序镜像）。
  • dtb.bin 包含 qclinux_fit.img。
• 主机工具需要 certificate 和 key 的路径（绝对路径或网络路径）来对镜像进行签名。
• 主机工具将 efi.bin 和 dtb.bin 挂载到 FAT 分区上，这提供了以下目录结构并遵循各自独立的签名流程：efi.bin 的目录结构：
  

  图：efi.bin

  图：efi.bin 具有 OSTree 支持的 efi.bin 的目录结构：
  

  图：具有 OSTree 支持的 efi.bin

  图：具有 OSTree 支持的 efi.bin dtb.bin 的目录结构：
  

  图：dtb.bin

• 对镜像签名后，主机工具会将 .auth 文件复制到 efi.bin 和 dtb.bin 的 /loader/keys/authkeys 目录中。
• 主机工具在 systemd-boot 加载程序配置中配置等待时间。此等待时间会暂停内核加载，允许您查看并选择 systemd-boot 菜单选项。loader.conf 文件必须存在于更新后的 efi.bin 文件中。注意 dtb.bin 文件不遵循此签名过程。
  • 主机工具配置 /loader/loader.conf。
  • loader.conf 的语法为 timeout x，其中 x = 超时时间（秒）。
• 镜像签名后，主机工具会从 FAT 分区卸载 efi.bin/dtb.bin。将已签名的 efi.bin 和 dtb.bin 存储在主机上与主机工具类似的路径下的 signed_binaries 目录中。
• 以下是已签名的 efi.bin 和 dtb.bin 的目录结构：
  

  图：efi.bin 和 dtb.bin 文件的目录结构

​

efi.bin 签名流程

• 主机工具使用 sbsign 实用工具分别对 uki.efi 或 vmlinuz.x.y.z 以及 bootaa64.efi 镜像进行签名。
• sbsign 的签名过程需要 certificate 和 key。验证以下语法，其中 dsk1.key 为密钥，dsk1.crt 为证书，输出文件名与输入文件相同：
  sbsign --key <key file> --cert <cert file> <efi file> <output file name>
  
  示例：
  sbsign –key dsk1.key –cert dsk1.crt bootaa64.efi bootaa64.efi
  
  sbsign --key dsk1.key --cert dsk1.crt uki.efi uki.efi
  
  sbsign --key dsk1.key --cert dsk1.crt vmlinuz.x.y.z vmlinuz.x.y.z
  

​

dtb.bin 签名流程

• 主机工具需要 dtb.bin 文件的路径。
• 主机工具需要 key 和 certificate 的路径（绝对路径或网络路径）来对镜像进行签名。
• UEFI 安全启动需要 PE 格式的文件进行验证。诸如 dtb 之类的非 PE 文件无法使用 sbsign 签名，因为此签名工具需要 PE 格式的文件作为输入。
• 主机工具使用 openssl 实用工具对 dtb 文件进行签名。验证以下语法，其中 dsk1.key 为密钥，dsk1.crt 为证书：
     openssl cms -sign -inkey <.key file> -signer <.crt file> -binary -in <img file> --out <output .sig file> -outform DER
  
  示例：
     openssl cms -sign -inkey dsk1.key -signer dsk1.crt -binary -in <foo.img file> --out <foo.sig file > -outform DER
  
  此命令将 DTB 文件的签名添加到一个单独的文件（foo.sig）中，而不会修改原始文件（foo.img）。因此，主机工具必须同时保留这两个文件，其中 *.sig 文件在 UEFI 安全启动验证期间使用。

​

多 DTB 支持

​

生成多 DTB FIT 镜像

KERNEL_DEVICETREE ?= " \
                      qcom/qcs6490-rb3gen2.dtb \
                      qcom/qcs6490-rb3gen2-industrial-mezzanine.dtbo \
                      qcom/qcs6490-rb3gen2-vision-mezzanine.dtbo \
                      "

1. 添加 DTB compatible 字符串：FIT 镜像中包含的每个 DTB 都必须有一个关联的 compatible 字符串。UEFI 使用这些 compatible 字符串在启动时选择正确的 DTB。
   • compatible 字符串在 meta-qcom/conf/machine/include/fit-dtb-compatible.inc 中定义。
   • 这些值必须通过参考以下位置提供的 DTB 元数据来推导：https://github.com/qualcomm-linux/qcom-dtb-metadata 对于 RB3 Gen 2 Core Kit 示例，请添加以下条目：

FIT_DTB_COMPATIBLE[qcs6490-rb3gen2] = " \
    qcom,qcs5430-iot \
    qcom,qcs6490-iot \
    "
FIT_DTB_COMPATIBLE[qcs6490-rb3gen2+qcs6490-rb3gen2-industrial-mezzanine] = " \
    qcom,qcs5430-iot-subtype9 \
    qcom,qcs6490-iot-subtype9 \
    "
FIT_DTB_COMPATIBLE[qcs6490-rb3gen2+qcs6490-rb3gen2-vision-mezzanine] = " \
    qcom,qcs5430-iot-subtype2 \
    qcom,qcs6490-iot-subtype2 \
 "

2. 启用多 DTB 打包：要将生成的 FIT 镜像打包为 VFAT 镜像（dtb.bin），请在 meta-qcom/classes-recipe/image_types_qcom.bbclass 中设置以下变量：
   QCOM_DTB_DEFAULT ?= "multi-dtb"
   
   当此变量设置为 multi-dtb 时，构建系统会将包含 KERNEL_DEVICETREE 中列出的所有 DTB 的组合 FIT 镜像打包到 dtb.bin 中。

​

不支持 FIT 镜像的开发套件

• qcs9100-ride-sx
• qcs8300-ride-sx

KERNEL_DEVICETREE ?= " \
                     qcom/qcs9100-ride.dtb \
                     qcom/qcs9100-ride-r3.dtb \
                     qcom/sa8775p-ride.dtb \
                     qcom/sa8775p-ride-r3.dtb \
                     "

QCOM_DTB_DEFAULT ?= "qcs9100-ride-r3"

​

DTB 分区

• 生成的名为 dtb.bin 的 VFAT 镜像包含组合的 DTB 镜像。Qualcomm 开发套件上有一个名为 dtb 的专用分区。请将 dtb.bin 烧录到此分区。
• UEFI 解析 dtb 分区中存在的组合 DTB，并为硬件选择匹配的 DTB。

​

后续步骤

• 有关 UEFI 安全启动实现的更多信息，请参阅安全启动。
• 有关 UEFI 变量管理，请参阅使用 efivar 工具管理 UEFI 环境变量。
• 有关使用 capsule 的 OTA 固件更新，请参阅使用 capsule 和 OSTree 机制更新 Qualcomm Linux 上的固件和操作系统。