文档说明

• Secure Boot V2

测试准备：

• 硬件准备：ESP32-S3 开发板或模组
• 软件准备：esp-idf v5.0 版本 SDK

测试步骤：

• 生成指定 secure boot 签名 key
• 软件开启 secure boot 配置
• 烧录被签名的固件
• 对新的 app.bin 使用指定 key 进行签名
• 对已经签名的 app.bin 进行 OTA 测试

1、生成指定 secure boot 签名 key

espsecure.py generate_signing_key secure_boot_signing_key.pem --version 2

2、软件开启 secure boot 配置

3、 烧录被签名的固件

• 由于 Secure boot 是对二级 bootloader 进行签名，因此编译生成的被签名的 bootloader.bin 将增大，需要调整默认 partition table 偏移地址。

idf.py menuconfig —> Partition Table

• 使用 idf.py build 指令编译当前工程，编译完成后会生成已经签名的 bootloader.bin 和 app.bin ，以及未被签名的 bootloader-unsigned.bin 和 app-unsigned.bin ，如下：

• 注意编译完成后，直接使用 idf.py flash 指令烧录固件不会烧录被签名的 bootloader.bin，只会烧录 partition-table.bin 、ota_data_initial.bin 以及 被签名的 blink.bin ，需要自行对 被签名的 bootloader.bin 进行烧录

• 烧录 被签名的 bootloader.bin固件，可在当前工程目录下，使用 idf.py bootloader-flash 指令来烧录 被签名的 bootloader.bin 固件。如下：

• 固件烧录后会在第一次启动运行时完成 secure boot 签名，对 eFuse 写入 secure boot 签名 key 以及 secure boot 控制位，参见如下启动日志：

• 若未设置安全下载模式可使用 espefuse.py summary 指令查看 eFuse 信息，可以发现，Secure Boot 被使能，且 eFuse 中写入了 secure boot 签名 key ，如下：
  

• 若设置了安全下载模式可使用 esptool.py --no-stub get_security_info 指令查看 eFuse 中的安全 信息，如下：

• 对照 《ESP32-S3 技术参考手册》中的 “表 5­2. 密钥用途数值对应的含义” 说明，我们来看 EFUSE_KEY_PURPOSE 对应的数值含义。

• Key_Purposes：（9，0，0，0，0，0，12） 第一个 eFsue block 为 9 ，说明这里已经有一个 secure boot 的 digest 烧录到 eFuse 了

4、对新的 app.bin 使用指定 key 进行签名

espsecure.py sign_data --version 2 --keyfile secure_boot_signing_key.pem --output SIGNED_hello_world.bin hello_world.bin

5 、对已经签名的 SIGNED_hello_world.bin 进行 OTA 测试

• 可基于 simple_ota_example 例程进行 OTA 测试，参见 “ESP32 HTTP OTA test” 说明。例如