雅特力AT32F423安全庫(kù)應(yīng)用筆記

概述

目前越來(lái)越多的微控器(MCU)應(yīng)用需要使用到復(fù)雜的算法及中間件解決方案(middleware solution)，因此，如何保護(hù)軟件方案商開發(fā)出來(lái)的核心算法等知識(shí)產(chǎn)權(quán)代碼(IP-Code)，便成為微控制器應(yīng)用中一項(xiàng)很重要的課題。因?yàn)檫@一重要的需求，AT32F423系列提供了安全庫(kù)區(qū)(SLIB)的功能，以防止重要的IP-Code被終端用戶的程序做修改或讀取，進(jìn)而達(dá)到保護(hù)的目的。本文檔將詳細(xì)闡述AT32F423系列安全庫(kù)區(qū)的應(yīng)用原理和軟件使用方法。

應(yīng)用原理

安全庫(kù)區(qū)的應(yīng)用原理

• 設(shè)定以密碼保護(hù)主閃存中指定范圍的程序區(qū)(即安全庫(kù)區(qū))，軟件方案商可將核心算法存放到此區(qū)域，以達(dá)到保護(hù)的功能，其余空白程序區(qū)可以提供給終端商客戶進(jìn)行二次開發(fā)。
• 安全庫(kù)區(qū)劃分為唯讀區(qū)(SLIB_READ_ONLY)及指令區(qū)(SLIB_INSTRUCTION)，并可選擇部分或是整個(gè)安全庫(kù)區(qū)存放唯讀區(qū)或者指令區(qū)。
• 唯讀安全庫(kù)區(qū)(SLIB_READ_ONLY)的數(shù)據(jù)能透過(guò)I-Code和D-Code總線讀取，不能寫入。
• 指令安全庫(kù)區(qū)(SLIB_INSTRUCTION)內(nèi)的程序代碼僅能被MCU透過(guò)I-Code總線抓取指令(僅能被執(zhí)行)，不能透過(guò)D-Code總線以讀取數(shù)據(jù)的方式讀取(包含ISP/ICP/調(diào)試模式以及從內(nèi)部RAM啟動(dòng)的程序)，以讀取數(shù)據(jù)的方式去訪問(wèn)SLIB_INSTRUCTION時(shí)，讀到的數(shù)值全都是0xFF。
• 安全庫(kù)區(qū)的程序代碼及數(shù)據(jù)，除非輸入正確的密碼，否則無(wú)法被擦除。在密碼不正確時(shí)，對(duì)安全庫(kù)區(qū)執(zhí)行寫入或擦除，將會(huì)在FLASH_STS寄存器的EPPERR位置"1"提出警告。
• 終端用戶執(zhí)行主閃存的整片擦除時(shí)，安全庫(kù)區(qū)的程序代碼及數(shù)據(jù)不會(huì)被擦除。
• 當(dāng)安全庫(kù)區(qū)的保護(hù)功能被啟動(dòng)后，可以透過(guò)在SLIB_PWD_CLR寄存器寫入先前設(shè)置的密碼來(lái)解除保護(hù)功能。解除安全庫(kù)區(qū)的保護(hù)時(shí)，芯片將會(huì)執(zhí)行主閃存的整片擦除(包含安全庫(kù)區(qū)的內(nèi)容)。因此即使軟件方案商設(shè)置的密碼被泄漏，也不會(huì)有程序代碼外泄的疑慮。

下圖是包含安全庫(kù)區(qū)的主閃存區(qū)映射示意圖，安全庫(kù)區(qū)的程序代碼可以很容易地被終端用戶調(diào)用并執(zhí)行, 但不能直接被讀取，因而達(dá)到保護(hù)的功能。圖1. 帶有安全庫(kù)區(qū)的主閃存區(qū)映射安全庫(kù)區(qū)的范圍大小是以扇區(qū)(sector)為單位做設(shè)定，每一扇區(qū)的大小以實(shí)際MCU型號(hào)為準(zhǔn)。表1是AT32F423系列各型號(hào)的主閃存大小、每扇區(qū)大小及可設(shè)置范圍。另外啟動(dòng)程序代碼區(qū)在開啟了主存擴(kuò)展功能后，整個(gè)20KB區(qū)域也是可以作為安全庫(kù)區(qū)。表1. AT32F423各型號(hào)閃存大小總表

如何啟動(dòng)安全庫(kù)區(qū)保護(hù)

默認(rèn)狀態(tài)下，安全庫(kù)區(qū)設(shè)定寄存器始終是不可讀且被寫保護(hù)。要想對(duì)安全庫(kù)區(qū)設(shè)定寄存器進(jìn)行寫操作，首先要對(duì)安全庫(kù)區(qū)設(shè)定寄存器解鎖，對(duì)SLIB_UNLOCK寄存器寫入解鎖0xA35F6D24值，通過(guò)查看SLIB_MISC_STS寄存器的SLIB_ULKF位確認(rèn)解鎖成功，隨后便允許對(duì)安全庫(kù)區(qū)設(shè)定寄存器寫入設(shè)定值。啟動(dòng)主閃存安全庫(kù)區(qū)的步驟如下：

• 檢查FLASH_STS寄存器的OBF位，以確認(rèn)沒(méi)有其他正在進(jìn)行的閃存操作；
• 對(duì)SLIB_UNLOCK寄存器寫入0xA35F6D24，以進(jìn)行安全庫(kù)區(qū)解鎖；
• 檢查SLIB_MISC_STS寄存器的SLIB_ULKF位，以確認(rèn)解鎖成功；
• 在SLIB_SET_RANGE寄存器設(shè)定要保護(hù)的區(qū)域，包含SLIB的起始和結(jié)束地址以及SLIB指令區(qū)的起始地址；
• 等待OBF位變?yōu)椤?’；
• 在SLIB_SET_PWD寄存器設(shè)定安全區(qū)域密碼；
• 等待OBF位變?yōu)椤?’；
• 燒錄將存入安全庫(kù)區(qū)的代碼；
• 進(jìn)行系統(tǒng)復(fù)位，重裝載安全庫(kù)區(qū)設(shè)定字；
• 讀出SLIB_STS0/STS1寄存器用于判斷安全庫(kù)區(qū)設(shè)定結(jié)果。

注意事項(xiàng):

• 可在主閃存和主閃存擴(kuò)展區(qū)中設(shè)置安全庫(kù)區(qū)，實(shí)際可設(shè)置范圍參見表1；
• 安全庫(kù)區(qū)代碼必須以扇區(qū)為單位進(jìn)行燒錄，且起始地址必須與主閃存地址或者擴(kuò)展區(qū)地址對(duì)齊；
• 中斷向量表是數(shù)據(jù)型態(tài)且通常會(huì)被放置在閃存的第一扇區(qū)(扇區(qū)0)內(nèi)，請(qǐng)勿將閃存的第一扇區(qū)設(shè)定為安全庫(kù)區(qū)的指令區(qū)；

關(guān)于安全庫(kù)區(qū)設(shè)定寄存器的詳細(xì)說(shuō)明，請(qǐng)參閱AT32F423系列技術(shù)手冊(cè)。啟動(dòng)安全庫(kù)區(qū)的程序可參考安全庫(kù)區(qū)應(yīng)用范例project_l0中位于main.c中的slib_enable()函數(shù)。亦可使用雅特力的ICP或ISP刻錄工具做設(shè)定，后面章節(jié)將會(huì)有詳細(xì)的說(shuō)明。

如何解除安全庫(kù)區(qū)保護(hù)

當(dāng)安全庫(kù)區(qū)的保護(hù)功能被啟動(dòng)后，可以透過(guò)在SLIB_PWD_CLR寄存器寫入先前設(shè)置的密碼來(lái)解除保護(hù)功能。解除安全庫(kù)區(qū)的保護(hù)時(shí)，芯片將會(huì)執(zhí)行主閃存的整片擦除(包含安全庫(kù)區(qū)的內(nèi)容)。解除主閃存安全庫(kù)區(qū)的步驟如下:

• 檢查FLASH_STS寄存器的OBF位，以確認(rèn)沒(méi)有其他正在進(jìn)行的編程操作；
• 在SLIB_PWD_CLR寄存器寫入先前設(shè)置的安全區(qū)域密碼；
• 進(jìn)行系統(tǒng)復(fù)位，重裝載安全庫(kù)區(qū)設(shè)定字；
• 讀出SLIB_STS0寄存器用于判斷安全庫(kù)區(qū)設(shè)定結(jié)果。

編排及執(zhí)行安全庫(kù)區(qū)的程序

如前面章節(jié)所提到，在指令安全庫(kù)區(qū)(SLIB_INSTRUCTION)內(nèi)的的程序代碼可以被MCU經(jīng)由I-Code總線抓取，但不能經(jīng)由D-Code總線以讀取數(shù)據(jù)的方式去讀出，這樣的保護(hù)是全面性的，也就是說(shuō)在指令安全庫(kù)區(qū)之內(nèi)的程序代碼，也不能讀取同樣被放置在指令安全庫(kù)區(qū)之內(nèi)的數(shù)據(jù)，例如C程序代碼常被編譯成的文字池(literal pool)、分支表(branch table)或常數(shù)(constant)等之類當(dāng)指令被執(zhí)行時(shí)會(huì)經(jīng)由D-Code總線去讀取的數(shù)據(jù)。這代表指令安全庫(kù)區(qū)之內(nèi)只能放置指令，不能放置任何數(shù)據(jù)。因此用戶在編排要放置在指令安全庫(kù)區(qū)之內(nèi)的程序代碼時(shí)，必須配置編譯程序(compiler)的設(shè)定去產(chǎn)生只執(zhí)行(execute-only)的代碼以避免上述那些型態(tài)的數(shù)據(jù)產(chǎn)生。圖2及圖3是一般常見的文字池跟分支表的例子:switch()是C程序中常用的跳轉(zhuǎn)指令，此例子中的sclk_source變量是去讀取CRM_CFG寄存器，圖2可看到編譯出來(lái)的匯編代碼(assembly code) “LDR R7, [PC, #288]”，會(huì)用程序計(jì)數(shù)器(program counter, PC)間接尋址的方式去取得CRM_CFG寄存器的地址，而CRM_CFG的地址會(huì)被以常數(shù)的方式存放在鄰近的指令區(qū)(也在指令安全庫(kù)區(qū)之內(nèi))，因此執(zhí)行switch()指令時(shí)就會(huì)發(fā)生數(shù)據(jù)的讀取。如果指令安全庫(kù)區(qū)內(nèi)有這類的程序代碼，在執(zhí)行的時(shí)候就會(huì)產(chǎn)生錯(cuò)誤。第三章的范例程序?qū)?huì)說(shuō)明如何設(shè)定編譯程序的配置來(lái)避免這樣的問(wèn)題。圖2. 文字池例子(1)圖3. 文字池例子(2)

不可將中斷向量表設(shè)置為安全庫(kù)區(qū)的指令區(qū)

中斷向量表包含每個(gè)中斷處理程序的入口點(diǎn)地址，由MCU通過(guò)D-Code總線讀取。通常，中斷向量表位于主閃存第一扇區(qū)(sector 0)的起始地址0x08000000，因此在設(shè)置指令安全庫(kù)區(qū)時(shí)，必須遵守以下的規(guī)則：

• 不可將主閃存的第一扇區(qū)設(shè)置為安全庫(kù)區(qū)的指令區(qū)。

安全庫(kù)區(qū)代碼與用戶區(qū)代碼的關(guān)聯(lián)性

受安全庫(kù)區(qū)保護(hù)的程序代碼(IP-Code)可以從位于用戶代碼區(qū)(安全庫(kù)區(qū)之外的區(qū)域)的函數(shù)庫(kù)中調(diào)用函數(shù)。在這種情形下，IP-Code將會(huì)包含這些函數(shù)的地址，允許PC（程序計(jì)數(shù)器）在執(zhí)行IP-Code時(shí)跳轉(zhuǎn)到這些函數(shù)。一旦安全庫(kù)區(qū)被啟動(dòng)，這些函數(shù)的地址就不能被改變，此時(shí)，這些位于用戶代碼區(qū)的函數(shù)的地址就必須固定下來(lái)，否則PC將跳轉(zhuǎn)到錯(cuò)誤的地址而無(wú)法正常工作。因此在設(shè)置安全庫(kù)區(qū)的時(shí)候，應(yīng)該將所有與IP-Code相關(guān)聯(lián)的函數(shù)都一起編排到安全庫(kù)區(qū)之內(nèi)以避免此情況發(fā)生。下圖顯示出一個(gè)被保護(hù)的函數(shù)Function_A()調(diào)用到用戶區(qū)內(nèi)的函數(shù)Function_B()的例子。圖4. 安全庫(kù)區(qū)的函數(shù)調(diào)用用戶區(qū)函數(shù)的例子此外，另一個(gè)最常見的情形就是使用到C語(yǔ)言的標(biāo)準(zhǔn)函式庫(kù)，例如memset()及memcpy()這類函數(shù)。如果IP-Code跟用戶區(qū)代碼都有調(diào)用到這類函數(shù)，就會(huì)有上述問(wèn)題的困擾。列舉兩種常用的解決方法：1) 將其編譯到安全庫(kù)區(qū)范圍內(nèi)，具體如何實(shí)現(xiàn)可以查看keil或IAR的相關(guān)文檔。2) 避免在IP-Code內(nèi)使用C的標(biāo)準(zhǔn)函式庫(kù)，若非要使用，就必須將用到的函數(shù)改寫為其他名稱，以下是一個(gè)范例，在IP-Code 中寫一個(gè)my_memset()函數(shù)取代原先的memset()。圖5. 自定義函數(shù)范例

方案商和終端用戶代碼整合及下載操作流程

方案商和終端用戶的代碼設(shè)計(jì)完成后，需要下載到同一個(gè)MCU中，這就涉及到各自代碼的安全性問(wèn)題。以下列舉兩種常用下載操作流程供用戶參考，仍然是以上面Project_L0和Project_L1為例。操作中涉及到AT-Link的離線下載模式，詳細(xì)描述可以參考ICP使用文檔及AT-Link使用文檔。

方案商和終端用戶代碼分別燒錄

方案商先燒錄SLIB代碼到MCU，然后終端用戶再燒錄應(yīng)用代碼到MCU，步驟如下：(1)方法A：方案商將編譯完成的工程中SLIB部分的代碼通過(guò)ICP截取保存成BIN或者HEX檔：先將整個(gè)工程下載到MCU(此時(shí)不配置SLIB及FAP等信息)，然后通過(guò)存儲(chǔ)器讀取功能讀取對(duì)應(yīng)SLIB部分代碼(0x08001000~0x08002FFF)，再通過(guò)ICP軟件操作文件-存儲(chǔ)器數(shù)據(jù)另存為將其保存為BIN或者HEX，例程中BIN檔命名為slib.bin，如下圖。圖42. 保存SLIB代碼方法B：方案商將編譯完成的工程直接產(chǎn)生bin格式的文件，取其中SLIB區(qū)域?qū)?yīng)的一段，例如在KEIL工程中，user選項(xiàng)中添加fromelf.exe --bin --output .\Listings\@L.bin !L，生成對(duì)應(yīng)固件的bin檔，將對(duì)應(yīng)的SLIB段文件添加后綴名.bin格式，本例中改為ER_SLIB_INSTRUCTION.bin和ER_SLIB_READ_ONLY.bin，對(duì)應(yīng)的就是0x08002000地址段的SLIB-INSTRUCTION文件和0x08001000地址段的SLIB-READ-ONLY文件，如下圖圖43. 生成SLIB代碼部分bin文件(2) 將bin通過(guò)ICP工具，在線燒錄到MCU，如下圖圖44. ICP在線燒錄MCU(3) 或者通過(guò)ICP工具配置成離線項(xiàng)目工程保存到AT-Link，然后經(jīng)過(guò)AT-Link離線燒錄到MCU，保存離線項(xiàng)目工程如下圖。圖45. AT-Link離線燒錄到MCU(4) 經(jīng)過(guò)步驟2或者步驟3，終端用戶拿到燒錄好SLIB部分的MCU，此時(shí)SLIB狀態(tài)會(huì)顯示為已啟用，終端用戶通過(guò)在線燒錄或者離線燒錄應(yīng)用代碼到MCU完成整個(gè)過(guò)程，在線燒錄如下圖。圖46. 終端用戶燒錄代碼到MCU

方案商和終端用戶代碼合并燒錄

方案商的SLIB代碼和終端用戶的應(yīng)用代碼整合到一個(gè)離線項(xiàng)目工程中，通過(guò)AT-Link離線燒錄一次下載到MCU，步驟如下：(1) 方案商將編譯完成的工程按照上一章節(jié)所述方法處理，得到SLIB部分的BIN檔。(2) 方案商通過(guò)ICP制作離線項(xiàng)目工程并保存到PC，可以根據(jù)最終需求配置各種參數(shù)，比如限制下載次數(shù)、項(xiàng)目文件綁定AT-Link、下載完成后開啟FAP等，保存離線項(xiàng)目工程如下圖注意：離線項(xiàng)目工程本身已經(jīng)經(jīng)過(guò)加密，為進(jìn)一步提升安全性，方案商還可以將slib.bin制作成加密的slib.benc文件再添加到離線項(xiàng)目工程中，但此時(shí)的離線項(xiàng)目工程只能在對(duì)應(yīng)匹配加密秘鑰的AT-Link上才能使用圖47. 制作離線項(xiàng)目工程(3) 終端用戶拿到該離線項(xiàng)目工程，用ICP打開項(xiàng)目文件，通過(guò)添加文件功能，可以添加應(yīng)用代碼部分到該離線項(xiàng)目工程，然后再保存到PC或者直接存儲(chǔ)到AT-Link，通過(guò)執(zhí)行離線下載完成操作，項(xiàng)目文件添加方法如下圖。注意：為防止代碼泄露被破解等風(fēng)險(xiǎn)，離線項(xiàng)目工程添加代碼文件時(shí)其余配置都不可更改，所以需要方案商預(yù)先將最終配置設(shè)置好圖48. 添加項(xiàng)目文件