执行 VIP 烧写

启用安全启动后，启动过程的每个阶段仅在下一阶段已进行数字签名且签名验证通过时，才会加载并运行下一阶段。整个过程从主引导加载程序（PBL）开始，PBL 加载二级引导加载程序（SBL）或可扩展引导加载程序（XBL）。如果任一阶段的签名检查失败，设备会立即停止。这确保只有受信任的已签名代码才能执行，从而保持设备安全。 验证镜像编程（VIP）增加了另一层控制。它允许你决定在烧写过程中可以向设备发送哪些文件和命令。一旦芯片的熔丝被熔断，安全启动将被永久启用。从那时起，设备仅接受已签名的镜像——任何未签名的镜像都会导致烧写失败。这种安全烧写过程称为 VIP 烧写。

​

创建摘要表

1. 选择必须通过 VIP 下载的已签名镜像文件。

2. 在 Download 窗口中选择正确的存储类型和其他参数。

3. 设置所有下载选项。

注意 确保生成摘要表时使用的配置与 VIP 下载期间使用的配置一致。例如，如果在生成摘要表时选择了 Erase the entire flash before programming，则在 VIP 下载期间也应选择相同的选项。

4. 选择 Create Digest Files。

如果该过程成功运行，它会在与构建相同的文件夹中生成摘要文件。

​

签名组件

1. 使用启用安全启动时所用的相同密钥，通过以下命令对 DigestsToSign.bin.mbn 镜像和 Device Programmer 镜像进行签名：

• 签名摘要表：

  <Metabuild>/<chipset>.LE.X.x/common/sectoolsv2/ext/Linux/sectools secure-image --sign /path/to/ DigestsToSign.bin.mbn --image-id=VIP --security-profile <Metabuild>/<chipset>.LE.X.x/common/sectoolsv2/<chipset>_security_profile.xml --oem-id=0x1 --oem-product-id=0xabcd --anti-rollback-version=0x0 --signing-mode=LOCAL --root-certificate=./OEM-KEYS/qpsa_rootca.cer --ca-certificate=./OEM-KEYS/qpsa_attestca.cer --ca-key=./OEM-KEYS/qpsa_attestca.key --outfile  ./signed_images_out/DigestsToSign.bin.mbn
  

• 签名设备编程器：

  <Metabuild>/<chipset>.LE.X.x/common/sectoolsv2/ext/Linux/sectools secure-image --sign /path/to/ prog_firehose_ddr.mbn --image-id= DEVICE-PROGRAMMER --security-profile <Metabuild>/<chipset>.LE.X.x/common/sectoolsv2/<chipset>_security_profile.xml --oem-id=0x1 --oem-product-id=0xabcd --anti-rollback-version=0x0 --signing-mode=LOCAL --root-certificate=./OEM-KEYS/qpsa_rootca.cer --ca-certificate=./OEM-KEYS/qpsa_attestca.cer --ca-key=./OEM-KEYS/qpsa_attestca.key --outfile ./signed_images_out/prog_firehose_ddr.mbn
  

2. 确保以下事项：

   • 使用与你的安全启动启用配置相匹配的值。例如，将 OEM ID 0x1 和 OEM 产品 ID 0xabcd 替换为你的特定值。
   • 将 <chipset>_security_profile.xml 替换为启用安全启动时使用的相同安全配置文件。
   • 签名密钥必须与启用安全启动时使用的密钥一致。

注意 如果目标 DigestsToSign.bin.mbn 应为 MBNv6 格式（请根据 <chipset>_security_profile.xml 检查），而 PCAT 未生成 MBNv6，则执行以下操作：

1. 从扁平构建文件夹中移除或删除任何现有的摘要文件，如 ChainedTableOfDigests.bin、DIGEST_TABLE.bin 或 DigestsToSign.bin.mbn。
2. 打开 PCAT 应用并进入 Configuration，将 Digest Header Type 更改为 DIGEST_HEADER_TYPE_NONE。
3. 保持所有其他字段不变，重新生成摘要文件。

   在输出中，你会看到：ChainedTableOfDigests.bin、DIGEST_TABLE.bin 和 DigestsToSign.bin，而不是 Not DigestsToSign.bin.mbn。

4. 运行命令将 .bin 转换为 .bin.mbn。
   ./sectools mbn-tool generate --data ./DigestsToSign.bin --outfile DigestsToSign.bin.mbn --mbn-version 6
   
5. 使用 --image-id VIP 对（第 4 步生成的）DigestsToSign.bin.mbn 进行签名。

​

使用 PCAT 下载

1. 在 PCAT 中选择 Perform VIP download。

注意 确保生成摘要表时使用的配置与 VIP 下载期间使用的配置一致。例如，如果在生成摘要表时选择了 Erase the entire flash before programming，则在 VIP 下载期间也应选择相同的选项。

2. 连接安全设备。

3. 要执行 VIP 下载，请点击 DOWNLOAD。

​

后续步骤

• 要实施严格的访问控制，请参阅启用 SELinux。
• 要确保在启动过程中仅加载经过验证且受信任的应用程序，请参阅启用 UEFI 安全启动。