文章目录1 设备安全2 TF-A简介3 ARMv7和ARMv8权限等级3.1 ARMv7-A工作模式3.2 ARMv8工作模式4 TF-A不同启动阶段4.1 bl14.2 bl24.3 bl314.4 bl324.5 bl335 STM32MP1中的TF-A5.1 STM32MP1_TF-A框架5.1.1 STM32MP1下的bl15.1.2 STM32MP1下的bl25.1.3 STM32MP1下的bl325.1.4 STM32MP1下的bl335.2 STM32MP1_TF-A启动流程5.3 STM32MP1_TF-A镜像存储映射1 设备安全设备的安全保护涉及到很多方面TF-A主要保护的就是设备启动过程通过各种鉴权保证设备启动的过程中每个阶段的固件都是安全的防止被不法分子替换某些启动固件导致安全信息泄露。对于传统的ARM处理而言Linux系统的启动流程就是内部BootROM - Uboot - kernel - rootfs整个启动过程就是一个链式结构启动过程也没有安全校验。加入TF-A固件以后TF-A就可以对uboot、kennel进行校验。STM32MP1的安全启动Secure Boot有些资料也叫做安全引导安全启动目的是为了保证整个启动过程各个镜像的完整性防止被不法分子破坏或替换掉。Linux启动是一个链式结构因此安全启动的鉴权(校验)过程也是链式结构的。在系统启动的过程中会先对下一个要加载运行的镜像进行鉴权只有鉴权成功此镜像才能运行并进入到下一阶段同样要先对下一阶段的镜像进行鉴权只要其中有一环鉴权失败那么整个系统就会启动失败。2 TF-A简介TF-A是ARM可信任固件是ARM官方提供的一个固件代码它提供了统一的接口标准方便不同的半导体厂商将自家的芯片添加到TF-A里面。ST就是在TF-A官方源码里面添加了STM32MP1系列芯片通过在源码上打补丁文件以支持STM32MP1芯片这个补丁文件就是STM32MP1芯片对应的源码补丁文件。TF-A一共分为5部分bl1、bl2、bl2u、bl31、bl32和bl33打开TF-A源码目录可以看到这5部分如图所示图中并没有bl33这是因为bl33是TF-A启动的其他镜像固件比如uboot。图中bl1、bl2和bl31都属于TF-A固件而bl32和bl33是TF-A要启动的其他第三方固件比如TEE OS和uboot。bl1、bl2、bl31、bl32和bl33是TF-A的不同启动阶段TF-A的启动过程是链式的不同的阶段完整的功能不同bl1、bl2、bl31、bl32和bl33全名如下bl1 Boot loader stage 1 (BL1)bl2 Boot loader stage 2 (BL2)bl31 Boot loader stage 3-1 (BL31)bl32 Boot loader stage 3-2 (BL32)bl33 Boot loader stage 3-3 (BL33)。3 ARMv7和ARMv8权限等级TF-A一开始是为ARMv8准备的ARMv8最突出的特点就是支持64位指令但是为了兼容原来的ARMv7。ARMv8提供了两种指令集AAarch64和AArch32根据字面意思就是64位和32位其中AArch32和ARMv7基本一样(会多一些其他操作指令)。STM32MP1内核为32位的Cortex-A所以对应TF-A中的AArch32。正是因为TF-A一开始是针对ARMv8准备的因此大家在看TF-A相关资料的时候会发现很多晦涩难懂的词汇本来TF-A就是非常偏向底层的需要对ARM CPU架构有一定的了解。安全不能仅仅依靠软件来实现也是需要硬件支持的比如ARM处理器就有不同的运行等级运行在低等级(非安全模式)的应用就不能访问高等级(安全模式)的资源以此来保证敏感资源的安全性。3.1 ARMv7-A工作模式ARMv7处理器有7种运行模型User、FIQ、IRQ、Supervisor(SVC)、Abort、Undef和System。但新的ARMv7-A架构加入了TrustZone安全扩展所以就新加了一种运行模式Monitor新的处理器架构还支持虚拟化扩展因此又加入了另一个运行模式Hyp所以Cortex-A7处理器有9种处理模式如表所示模式描述User(USR)用户模式非特权模式大部分程序运行的时候就处于此模式FIQ快速中断模式进入FIQ中断异常IRQ一般中断模式Supervisor(SVC)超级管理员模式特权模式供操作系统使用Monitor(MON)监视模式这个模式用于安全扩展模式Abort(ABT)数据访问终止模式用于虚拟存储以及存储保护Hyp(HYP)虚拟化监控模式仅支持虚拟化扩展的核Undef(UND)未定义指令终止模式System(SYS)系统模式用于运行特权级的操作系统任务不同的处理器模式下CPU对于硬件的访问权限不同叫做Privilege Level(特权等级)一共有两个特权级别Privilege(特权级)和non-privilege(非特权级)。其中只有User模式处于non-privilege也就是非特权级剩下的8个模式都是privilege(特权级)。系统启动以后应用软件都是运行在User模式也就是非特权级这个时候处理器对于敏感资源的访问是受限的如果要访问这些敏感资源就需要切换到对应的工作模式下。ARMv7-A对Privilege Level进行了命名PL0和PL1后来也出现了PL2用于虚拟扩展。ARMv7-A新增的Monitor模式就是针对安全扩展的为了支持TEE而引入的。3.2 ARMv8工作模式ARMv8没有Privilegelevel的概念取而代之的是Exceptionlevel(异常级别)简称为EL用于描述特权级别一共有4个级别EL0、EL1、EL2和EL3数字越大级别越高权限越大这四个EL级别对应的应用场合如下EL0一般的应用程序EL1操作系统比如LinuxEL2虚拟化(Hypervisor)虚拟机管理器EL3最底层的安全固件(安全监视器)比如ARM Trusted Firmware(ARM安全固件ATF也就是TF-A)。ARMv8提供了两种安全状态Secure和Non-secure也就是安全和非安全Non-secure也就是正常世界(NormalWorld)。我们可以在Non-secure运行通用操作系统比如Linux在Secure运行可信操作系统比如OP-TEE这两个操作系统可以同时运行这个需要处理器支持ARM的TrustZone功能。在Normal world和Secure world下ARMv8个EL等级对应的内容如图所示在ARMv8的AArch32模式下处理器模式如图所示上图中在AArch32模式下EL0~LE3对应ARMv7的不同工作模式EL0对应ARMv7的User工作模式EL1对应ARMv7的SVC、ABT、FIQ、IRQ、UND和SYS这6中工作模式EL2对应ARMv7的Hyp工作模式EL3对应ARMv7的Mon工作模式。只有EL3是用于安全监视器的所以TF-A主要工作在EL3下大家在看TF-A源码的时候会看到大量的“EL3”字样的文件或代码。4 TF-A不同启动阶段TF-A分为不同的启动阶段按照链式结构依次启动ATF代码启动流程如图所示上图中当芯片复位以后首先运行bl1代码bl1一般是芯片内部的ROM代码bl1主要工作就是将外置Flash中的bl2固件加载到指定的RAM中然后跳转到bl2部分。bl2为安全启动固件bl2会将剩余的三个启动阶段bl31、bl32和bl33对应的镜像文件加载到指定的内存中。比如bl32中的安全操作系统(OP-TEE)bl31中的EL3运行时固件(RuntimeFirware)bl33中的uboot。bl2将这些固件加载完成以后就会启动相应的固件也就是进入到第三启动阶段。TF-A启动流程就是bl1 - bl2 - (bl31/bl32/bl33)。注意bl31、bl32和bl33对应的镜像不需要全部都有但是bl33一般是必须的因为bl33一般是uboot这个是很重要的4.1 bl1bl1是TF-A的第一个启动阶段芯片复位以后就会运行bl1镜像TF-A提供了bl1源码。但是实际上bl1一般是半导体厂商自己编写的内部BootROM代码并没有使用TF-A提供的bl1镜像比如STM32MP1的内部ROM代码就是bl1。因此bl1部分的实现就千差万别不同的半导体厂商有不同的实现方法。一般bl1要做的就是初始化CPU如果芯片支持不同的启动设备那么还需要初始化不同的启动设置比如NAND、EMMC、SD、USB或串口等。然后根据BOOT引脚的高低电平来判断当前所选择的启动设备从对应的启动设备中加载bl2镜像并放到对应的内存中最后跳转到bl2镜像并运行。4.2 bl2bl2会进一步的初始化芯片比如初始化DDR、MMU、串口等。bl2会将剩下三个阶段(bl31、bl32和bl33)对应的镜像加载到指定的内存中最后根据实际情况来启动剩下三个阶段的镜像。4.3 bl31在 AArch64中 bl31主要是 EL3的 Runtime固件。4.4 bl32bl32一般为安全系统(TEE OS)固件比如OP-TEE。TF-A为AArch32提供了EL3的Runtime软件这个Runtime软件就是bl32固件sp_min就是这个Runtime软件。4.5 bl33bl33就是NormalWorld下的镜像文件比如uboot。5 STM32MP1中的TF-A5.1 STM32MP1_TF-A框架STM32MP1支持TrustZone所以ST提供的软件包包含了安全固件。相比传统ARM处理器(如ARM9ARM11等)最常见的uboot和linux kernel。STM32MP1的软件包还另外提供了TF-A、OP-TEE等安全相关的关键软件因此STM32MP1的整体软件框架必然和传统的ARM芯片不同STM32MP1软件架构如图所示上图从左到右分为三部分Cortex-A7 Secure、Cortex-A7 Non-Secure和Cortex-M4。Cortex-A7 Secure、Cortex-A7 Non-Secure也就是A7的安全和非安全两种情况。在Cortex-A7 Secure下重点是TF-A和OP-TEETF-A是用于完成安全启动的OP-TEE是TEE OS如果使用OP-TEE的话它会和linux内核同时运行OP-TEE负责可信应用linux就是普通的应用程序。在Cortex-A7 Non-Secure下就是传统的ARM软件框架uboot、linux kernel和根文件系统。TF-A分为了不同阶段bl1、bl2、bl31、bl32和bl33这个主要是面向AArch64的对于AArch32而言只有4个阶段bl1第一阶段一般为芯片内部ROM代码bl2第二阶段可信启动固件bl32EL3运行时(Runtime)软件bl33非安全固件比如uboot。其中bl1、bl2和bl32都属于TF-A的一部分(如果使用TF-A提供的bl的话)。5.1.1 STM32MP1下的bl1bl1部分是可选的在编译STM32MP1的TF-A的时候可以通过添加BL2_AT_EL3编译选项来移除bl1默认情况下ST提供的TF-A源码是有添加BL2_AT_EL3编译选项的在TF-A源码里面找到tf-a-stm32mp-2.2.r1/plat/st/stm32mp1/platform.mk此文件定义了STM32MP1这个平台的编译选项有如下所示配置项ARM_CORTEX_A7 : yes ARM_WITH_NEON : yes BL2_AT_EL3 : 1 USE_COHERENT_MEM : 0platform.mk文件定了BL2_AT_EL3为1因此在编译STM32MP1平台对应的TF-A的时候不会编译bl1部分STM32MP1内部ROM代码完成了TF-A中的bl1部分的工作主要就是将外部Flash中的bl2代码加载到内部RAM中并运行。5.1.2 STM32MP1下的bl2bl2为可信启动固件在STM32MP1中就是TF-A的bl2部分bl2的主要功能就是加载下面几个阶段的固件到内存中因此bl2需要初始化所要用到的外设。首先是安全部分STM32MP1的bl2部分会初始化的外设如下BOOT、安全和OTP控制器也就是BSEC外设扩展的TrustZone保护控制器也就是ETZPC外设TrustZone针对DDR的地址空间保护控制器也就是TZC外设。由于bl2需要从外部flash中加载下一阶段的镜像因此还需要初始化一些外部flash比如SD卡EMMCNANDNOR。最后STM32MP1的bl2部分还要初始化一些其他的外设比如DDR内存;时钟串口用于调试以及使用STM32CubeProgrammer的时候通过串口下载系统USB用STM32CubeProgrammer通过USB烧写系统的时候需要用到。bl2还需要对镜像镜像进行验证和鉴权鉴权是通过调用内部ROM代码的鉴权服务来完成。最后bl2会加载bl32和bl33的固件到指定的内存区域并跳转到bl32bl32接着运行。5.1.3 STM32MP1下的bl32bl32提供运行时安全服务在TF-A中默认使用sp_minsp_min已经在前面提过了。sp_min是一个最小的AArch32安全负载(Secure Payload)整合了PSCI库以及AArch32的EL3运行时软件。sp_min可以替代可信系统(TEE OS)或者可信执行环境(TEE)比如OP-TEE。当然了STM32MP1同时支持sp_min以及OP-TEE用户可以自行选择bl32使用哪个软件包。bl32充当安全监控(secure monitor)因此它向非安全系统(non-secure os比如linux)提供了一些安全服务。非安全的应用软件可以通过安全监控调用(secure monitor calls)来使用这些安全服务这些代码支持标准的服务调用比如PSCI。另外bl32也支持ST32MP1所特有的一些安全服务可以访问特有的安全外设比如RCC、PWR、RTC或BSEC。5.1.4 STM32MP1下的bl33就是传统的uboot并不属于TF-A本身。默认情况下TF-A有bl1、bl2、bl31、bl32和bl33这几个启动阶段。如果bl32使用sp_min的话那么bl1、bl2、bl31和bl32都属于TF-A。但是对于STM23MP1而言因为其使用的是AArch32因此没有bl31部分。而bl1部分ST又没有用TF-A提供的采用的是STM32MP1内部ROM代码因此就只剩下了bl2和bl32。所以对于STM32MP1而言TF-A就两个固件bl2和bl32(sp_min)TF-A源码也采用了设备树(device tree)来设备信息因此对于STM32MP1而言TF-A一共有三部分设备树、bl2和bl32这三部分在编译的时候会被合并成一个二进制文件。还要在最前面加上重要的头部信息最终这4部分就组成了烧写到外部flash中的TF-A镜像其文件结构如图所示5.2 STM32MP1_TF-A启动流程STM32MP1的TF-A启动流程如图所示上图中TF-A启动分为了5步这5步的含义如下复位以后内部ROM加载TF-A整个镜像然后运行bl2镜像bl2将bl32镜像加载到指定内存区域bl2将bl33镜像加载到指定内存区域bl2执行完毕以后就会跳转到bl32镜像bl32镜像执行完以后跳转到bl33镜像也就是uboot。最后uboot引导非安全系统也就是Linux内核。5.3 STM32MP1_TF-A镜像存储映射烧写到STM32MP1里面的TF-A镜像有4部分除去头部信息还有设备树、bl2和bl32。这3部分虽然在“肉体”上被打包在了一起但是“灵魂”上是三部分比如bl2是一个镜像bl32是另外一个镜像其执行顺序都是不一样的当加载到内存上以后这3部分的存储映射如图所示图中TF-A各部分存储映射不是固定的编译TF-A的时候配置不同其存储地址也不同。比如图中BL32的起始地址为0x2FFED000其他资料可能是别的地址这个没关系的重点是其存储映射形式。