KW45芯片的安全启动

KW45芯片的安全启动是一个硬件强制执行的完整性验证机制，确保芯片始终只运行由设备所有者（OEM）授权和签名的固件。它的核心目标是防止未授权或恶意代码在设备上执行，是构建设备安全体系的基石。

安全启动的验证过程基于公钥密码学，其信任链条的建立主要包含以下核心环节：

建立根信任 ：首先需要生成一组根信任密钥 （RoTKs / SRKs）。基于这些公钥，会计算出一个唯一的哈希值------根密钥表哈希（RKTH）。这个哈希值被一次性烧录到芯片的一次性可编程存储器（Fuse）中，作为整个信任链的硬件锚点，一旦写入便无法更改。
签名固件 ：在开发阶段，使用与上述公钥对应的私钥对应用程序镜像进行数字签名。这个签名会随固件一同发布。
验证与启动 ：芯片上电时，ROM Bootloader会首先执行。它读取固件及其签名，并使用事先烧录在芯片熔丝中的RKTH来验证签名的有效性。只有当签名验证通过，确认固件未被篡改且来源可信时，芯片才会执行该固件。如果验证失败，启动过程将中止，芯片通常会回退到ISP模式等待救援。

KW45的生命周期状态直接决定了安全策略的严苛程度。

生命周期状态	描述	主要操作
OEM_Open	初始状态。安全启动功能尚未完全激活，任何固件（无论是否签名）都可以运行。	在此状态下烧录根信任哈希（RKTH）、配置其他熔丝、开发和测试未签名的固件。
OEM_Closed	生产状态。安全启动强制开启。芯片仅允许运行由匹配私钥签名的合法固件。	推进到此状态后，设备进入安全状态。此时调试端口默认关闭，ISP模式下也只允许有限的命令（如 `get-property`）。
OEM_Return	可选状态。允许在特定条件下（如通过调试认证）临时恢复部分调试功能。	用于现场问题分析，但前提是必须通过严格的调试认证流程。

⚠️ 重要警告 ：将生命周期从 OEM_Open 推进到 OEM_Closed 是一个不可逆的一次性操作（烧断熔丝）。执行前必须百分百确认所有密钥和固件都已正确配置。

密钥生成与管理 ：可以使用NXP官方提供的SPSDK工具包中的nxpcrypto工具来生成所需的RoTKs和ISK。生成的私钥必须保存在安全的地方（如HSM或加密的服务器），用于所有固件的签名发布。
镜像格式------MBI ：经过签名的固件通常被打包成 Master Boot Image (MBI) 格式。这个镜像文件不仅包含加密的固件数据，还嵌入了签名、证书链等安全信息。

一旦设备进入 OEM_Closed 状态，标准的JTAG/SWD调试接口会被硬件自动禁用，以防止攻击者读取或篡改固件。

如果在后期确实需要进行调试，必须启用调试认证 功能。这是一个复杂的流程，要求开发者生成特定的调试凭证（DC），并使用私钥进行签名。芯片在验证通过后，才会临时重新开启调试端口。

配置安全启动的完整流程通常使用NXP官方推荐的SPSDK (Secure Provisioning SDK) 工具集完成。主要步骤如下：

环境准备：安装SPSDK，并准备好KW45评估板或自制板。确保能通过ISP模式（复位时PTA4引脚拉高）与芯片通信。
生成密钥与哈希 ：使用nxpcrypto工具生成根信任密钥对，并计算出其哈希值（RKTH）。
烧录根信任 ：在芯片处于OEM_Open状态时，通过ISP模式使用 blhost fuse-program 命令将计算出的RKTH烧录到芯片的指定熔丝地址。
复制代码
```
# 示例命令（仅供参考，具体地址请查阅手册）
blhost -p COMx fuse-program 0x0 <RKTH值>
```
准备签名镜像 ：使用nxpimage mbi export命令，配合包含私钥路径和证书配置的YAML文件，将普通的应用程序二进制文件转换成签名的MBI文件。
烧录并锁定 ：将生成的签名镜像通过 blhost write-memory 命令烧录到芯片Flash中。最后，执行 blhost fuse-program 命令，将芯片的生命周期状态从 0x7 (OEM_Open) 改写为 0x1F (OEM_Closed)。
复制代码
```
# 推进生命周期（一次性操作！）
blhost -p COMx fuse-program 0xa 0x1F
```
验证：复位芯片，确认应用程序能够正常启动。此时，可以尝试烧录一个未签名或使用其他密钥签名的固件，验证芯片是否会拒绝启动，以确认安全启动已生效。