验证 Qualcomm Linux 的安全配置

​

先决条件

• 构建软件并将其加载到设备上。
• 在宽容模式下启用安全 shell(SSH)以安全访问您的主机设备。

​

验证 TrustZone/设备配置/Hypervisor 镜像加载

• 设备配置(DEVCFG) B - 1206031 - QSEE Dev Config - Image Load, Start D - 763 - Auth Metadata D - 549 - Segments hash check D - 13054 - QSEE Dev Config - Image Loaded, Delta - (53248 Bytes)
• TrustZone B - 1228113 - QSEE - Image Load, Start D - 26382 - Auth Metadata D - 22234 - Segments hash check D - 88999 - QSEE - Image Loaded, Delta - (4027792 Bytes)
• Hypervisor B - 1402237 - QHEE - Image Load, Start D - 26383 - Auth Metadata D - 7045 - Segments hash check D - 35258 - QHEE - Image Loaded, Delta - (1491024 Bytes)
• APDP B - 978348 - APDP - Image Load, Start D - 42212 - Auth Metadata D - 458 - Segments hash check D - 48434 - APDP - Image Loaded, Delta - (17332 Bytes)

​

验证安全启动和 UEFI 安全启动

• 安全启动功能旨在确保设备仅使用制造商信任的软件启动。
• UEFI 安全启动是安全启动的扩展,在统一可扩展固件接口(UEFI)环境中运行。
• 为硬件启用安全启动对于实现硬件安全和保护知识产权至关重要。有关说明,请参阅启用安全启动和启用 UEFI 安全启动。
• XBL 日志包含设备的安全启动状态。日志中包含有关启动接口、安全启动状态、启动配置、JTAG ID、OEM ID 和序列号的信息。
  S - Format: Log Type - Time(microsec) - Message - Optional Info
  S - Log Type: B - Since Boot(Power On Reset),  D - Delta,  S - Statistic
  S - QC_IMAGE_VERSION_STRING=BOOT.MXF.1.0.c1-00037-KODIAKLA-1
  S - IMAGE_VARIANT_STRING=SocKodiakLAA
  S - OEM_IMAGE_VERSION_STRING=hu-apasunur-hyd
  S - Boot Interface: USB **
  S - Secure Boot: On **
  S - Boot Config @ 0x00786070 = 0x000000c1
  S - JTAG ID @ 0x00786130 = 0x001970e1
  S - OEM ID @ 0x00786138 = 0x00000000
  S - Serial Number @ 0x00786134 = 0x4172f1dd
  

​

验证 SELinux 状态并自定义 SELinux 策略

• 安全增强型 Linux(SELinux)是集成到 Linux 内核中的安全架构,提供支持访问控制安全策略的机制。
• 验证设备软件的 SELinux 状态可防止对关键软件模块或驱动程序的未经授权访问。有关说明,请参阅启用 SELinux。
• SEPolicy 是 SELinux 策略,用于定义进程和用户与系统资源交互的规则,在 Linux 中实施强制访问控制(MAC)。
• 默认 SEPolicy 可能无法满足您应用程序的所有特定需求。通过创建自定义策略,您可以定义与应用程序需求相符的精确规则。有关说明,请参阅自定义 SEPolicy。
• 要验证 SELinux 状态,请执行以下操作:
  1. 验证内核配置。
  CONFIG_SECURITY_SELINUX=y
  
  2. 使用 SSH 连接到设备。请参阅 SELinux 构建上的 SSH 启用,以在 SELinux 强制模式下启用 SSH 登录。
  3. 通过运行 seinfo 命令查看 SELinux 启用状态和其他详细信息。
  Statistics for policy file: /sys/fs/selinux/policy
  Policy Version:             33 (MLS enabled)
  Target Policy:              selinux
  Handle unknown classes:     allow
  Classes:                    131       Permissions:         423
  Sensitivities:              16        Categories:          1024
  Types:                      4376      Attributes:          319
  
  4. 从控制台或通过 SSH 连接到设备,验证 SELinux 强制状态。
  getenforce
  enforcing - if selinux is set to enable
  

​

验证 PIL 镜像加载 - 示例日志

• WLAN (remoteproc1)
  730, 0x00000000000459B4 | 8.700828: remoteproc remoteproc1: Remote processor 8a00000. Remoteproc is now up
  
• cDSP (remoteproc3)
  735, 0x00000000000465A3 | 8.794052: remoteproc remoteproc3: Remote processor a300000. Remoteproc is now up
  
• aDSP (remoteproc2)
  741, 0x00000000000469FC | 8.828033: remoteproc remoteproc2: Remote processor 3000000.remoteproc is now up
  
• MODEM (remoteproc0)
  1035, 0x000000000006B78B | 13.433955: remoteproc remoteproc0: Remote processor 4080000. Remoteproc is now up
  
• A660_zap
  sh-5.1# cat /dev/kgsl-3d0
  OH HAI GPU
  
• Video (Vpu20_1v.mbn)
  sh-5.1# dmesg | grep video
  [ 0.000000] OF: reserved mem: 0x000000008a700000..0x000000008adfffff (7168 KiB) nomap non-reusable video@8a700000
  [ 0.169598] platform aa00000.video-codec: Adding to iommu group 9
  [ 11.385238] videodev: Linux video capture interface: v2.00
  [ 11.476933] qcom-venus aa00000.video-codec: non legacy binding
  

​

验证 QCOMTEE 驱动程序状态

ls /dev/tee0

​

验证 Qualcomm TEE Mink 和 GlobalPlatform API 可用性

1. 验证设备上 Mink Adaptor 和 Mink Teec 库的可用性。
   cd /usr/lib/
   ls libmink*
   

​

验证 Qualcomm TEE supplicant 是否正在运行

1. 验证 QTEE supplicant 守护进程是否正在运行。
   # Get the service status using systemctl
   systemctl status qteesupplicant.service
   # The command output must show the service is loaded and running similar to below
   qteesupplicant.service - QTEE Supplicant Service
      Loaded: loaded (/usr/bin/qtee_supplicant; enabled; preset: enabled)
      Active: active (running) since Sun 1980-01-06 00:00:00 UTC; 29min ago
   

​

验证 RPMB 配置状态

1. 使用 SSH 连接到设备并运行以下命令。
   sh-5.1# rpmb_client -p
   
   随后会显示以下消息。
   -------------------------------------------------------
    WARNING!!! You are about to provision the RPMB key.
    You are about to provision the RPMB key.
    This is a ONE time operation and CANNOT be reversed.
    -------------------------------------------------------
     0 -> Provision Production key
     1 -> Provision Test key\n
     2 -> Check RPMB key provision status
    -------------------------------------------------------
     Select an option to proceed:
   
2. 选择选项 2: Check RPMB key provision status. 对于未配置的设备,预期输出为 RPMB_KEY_NOT_PROVISIONED。
3. 您可以选择选项 1:仅在必要时使用测试密钥配置 RPMB,并在继续之前阅读以下注意事项。
   1. 一旦在非安全设备上使用测试密钥配置了 RPMB,该操作将不可逆。因此,此类设备无法启用安全启动。有关更多信息,请参阅 RPMB。

​

验证 Qualcomm WES 状态

• Qualcomm® 无线边缘服务(Qualcomm WES)有助于轻松部署大量边缘设备并在无需人工干预的情况下进行管理。它包括以下服务:
  • 即插即用设置
  • 按需更新
  • 紧急和例行升级
  • 覆盖设备整个生命周期的第三方服务。
• 如果您需要开发提供基于硬件的认证、零接触设备配置和芯片组功能管理的应用程序,请参阅开发可信应用程序和客户端应用程序。
• 要安装或升级 QCS5430 SoftSKU 功能包,请参阅安装或升级 SoftSKU 功能包。

​

验证可信应用程序和客户端应用程序

• 可信应用程序在可信执行环境(TEE)中运行,提供安全隔离的环境,以保持代码和数据的完整性与机密性。
• 客户端应用程序在普通世界操作系统中运行,使用 TEE 客户端 API 与可信应用程序通信以执行安全服务。
• 要在安全世界(TrustZone)中执行安全关键型应用程序,您必须开发自己的可信应用程序。您必须拥有 Qualcomm TEE 软件开发工具包(SDK)的访问权限,才能开发启动可信应用程序的相应客户端应用程序。有关更多信息,请参阅开发可信应用程序和客户端应用程序。

​

后续步骤

• 要配置 Qualcomm TEE 以保护处理敏感数据并运行可信应用程序的设备,请参阅配置安全服务。
• 要自定义内存和 SEPolicy,请参阅自定义安全服务。