Chain of Trust와 auth_mod_verify_img

QUESTION

Chain of Trust와 auth_mod_verify_img 단계에서 실제로 바뀌는 상태는 무엇인가?

STRUCTURE

객체와 주소가 놓이는 구조

CALL PATH

실행 흐름

STATE LEDGER

단계별 입력과 출력

각 단계의 입력과 처리 후 바뀌는 상태를 정리한 표다. 사용 중인 소스 버전에서 다른 필드를 변경한다면 그에 맞춰 표도 수정한다.

분석 범위의 전제와 비교해, 다음 단계에 잘못된 입력을 넘긴 부분부터 조사한다.

VISUAL WALKTHROUGH

주소와 객체의 이동을 그림으로 읽기

아래 그림은 주소, 객체를 사용하는 기간, 제어권을 넘기는 시점을 중심으로 정리했다. 실제 주소와 크기는 사용 중인 보드의 bdinfo, 맵 파일과 링커 심벌로 확인한다.

UPSTREAM SOURCE

원본 코드

아래 코드는 Trusted Firmware-A LTS 2.14.3의 drivers/auth/auth_mod.c에서 444-532줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

444		return 1;
445	}
446
447	*parent_id = img_desc->parent->img_id;
448	return 0;
449}
450
451/*
452 * Initialize the different modules in the authentication framework
453 */
454void auth_mod_init(void)
455{
456	/* Check we have a valid CoT registered */
457	assert(cot_desc_ptr != NULL);
458
459	/* Image parser module */
460	img_parser_init();
461}
462
463/*
464 * Authenticate a certificate/image
465 *
466 * Return: 0 = success, Otherwise = error
467 */
468int auth_mod_verify_img(unsigned int img_id,
469			void *img_ptr,
470			unsigned int img_len)
471{
472	const auth_img_desc_t *img_desc = NULL;
473	const auth_param_type_desc_t *type_desc = NULL;
474	const auth_method_desc_t *auth_method = NULL;
475	void *param_ptr;
476	unsigned int param_len;
477	int rc, i;
478	unsigned int cert_nv_ctr = 0;
479	bool need_nv_ctr_upgrade = false;
480	bool sig_auth_done = false;
481	const auth_method_param_nv_ctr_t *nv_ctr_param = NULL;
482
483	/* Get the image descriptor from the chain of trust */
484	img_desc = FCONF_GET_PROPERTY(tbbr, cot, img_id);
485
486	/* Ask the parser to check the image integrity */
487	rc = img_parser_check_integrity(img_desc->img_type, img_ptr, img_len);
488	if (rc != 0) {
489		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
490			__func__, __LINE__, rc);
491		return rc;
492	}
493
494	/* Authenticate the image using the methods indicated in the image
495	 * descriptor. */
496	if (img_desc->img_auth_methods == NULL)
497		return 1;
498	for (i = 0 ; i < AUTH_METHOD_NUM ; i++) {
499		auth_method = &img_desc->img_auth_methods[i];
500		switch (auth_method->type) {
501		case AUTH_METHOD_NONE:
502			rc = 0;
503			break;
504		case AUTH_METHOD_HASH:
505			rc = auth_hash(&auth_method->param.hash,
506					img_desc, img_ptr, img_len);
507			break;
508		case AUTH_METHOD_SIG:
509			rc = auth_signature(&auth_method->param.sig,
510					img_desc, img_ptr, img_len);
511			sig_auth_done = true;
512			break;
513		case AUTH_METHOD_NV_CTR:
514			nv_ctr_param = &auth_method->param.nv_ctr;
515			rc = auth_nvctr(nv_ctr_param,
516					img_desc, img_ptr, img_len,
517					&cert_nv_ctr, &need_nv_ctr_upgrade);
518			break;
519		default:
520			/* Unknown authentication method */
521			rc = 1;
522			break;
523		}
524		if (rc != 0) {
525			VERBOSE("[TBB] %s():%d failed with error code %d.\n",
526				__func__, __LINE__, rc);
527			return rc;
528		}
529	}
530
531	/*
532	 * Do platform NV counter upgrade only if the certificate gets

READING CONTRACT

발췌 범위와 읽기 기준

원문 444-532줄에는 앞뒤 문맥이 포함됩니다. 기준 구문 int auth_mod_verify_img(unsigned int img_id은 L468에 있습니다. 발췌 첫 줄을 함수 정의의 시작으로 해석하지 않습니다.

서명 검증 성공만 보지 말고 어떤 parent에서 어떤 public key와 hash가 추출되어 child image에 연결되는지 추적한다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

146 * case, the signature verification is considered just an integrity check and
147 * the authentication is established by calculating the hash of the key and
148 * comparing it with the hash obtained from the parent.
149 *
150 * If the image has no parent (NULL), it means it has to be authenticated using
151 * the ROTPK stored in the platform. Again, this ROTPK could be the key itself
152 * or a hash of it.
153 *
154 * Return: 0 = success, Otherwise = error
155 */
156static int auth_signature(const auth_method_param_sig_t *param,
157			  const auth_img_desc_t *img_desc,
158			  void *img, unsigned int img_len)
159{
160	void *data_ptr, *pk_ptr, *cnv_pk_ptr, *pk_plat_ptr, *sig_ptr, *sig_alg_ptr, *pk_oid;
161	unsigned int data_len, pk_len, cnv_pk_len, pk_plat_len, sig_len, sig_alg_len;
162	unsigned int flags = 0;
163	int rc;
164
165	/* Get the data to be signed from current image */
166	rc = img_parser_get_auth_param(img_desc->img_type, param->data,
167			img, img_len, &data_ptr, &data_len);
168	if (rc != 0) {
169		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
170			__func__, __LINE__, rc);
171		return rc;
172	}
173
174	/* Get the signature from current image */
175	rc = img_parser_get_auth_param(img_desc->img_type, param->sig,
176			img, img_len, &sig_ptr, &sig_len);
177	if (rc != 0) {
178		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
179			__func__, __LINE__, rc);
180		return rc;
181	}
182
183	/* Get the signature algorithm from current image */
184	rc = img_parser_get_auth_param(img_desc->img_type, param->alg,
185			img, img_len, &sig_alg_ptr, &sig_alg_len);
186	if (rc != 0) {
187		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
188			__func__, __LINE__, rc);
189		return rc;
190	}
191
192	/*
193	 * Set Zero-OID for ROTPK(subject key) as a the certificate
194	 * does not hold Key-OID information for ROTPK.
195	 */
196	if (param->pk->cookie != NULL) {
197		pk_oid = param->pk->cookie;
198	} else {
199		pk_oid = ZERO_OID;
200	}
201
202	set_current_pk_oid(pk_oid);
203
204	/* Get the public key from the parent. If there is no parent (NULL),
205	 * the certificate has been signed with the ROTPK, so we have to get
206	 * the PK from the platform */
207	if (img_desc->parent != NULL) {
208		rc = auth_get_param(param->pk, img_desc->parent,
209				&pk_ptr, &pk_len);
210		if (rc != 0) {
211			VERBOSE("[TBB] %s():%d failed with error code %d.\n",
212				__func__, __LINE__, rc);
213			return rc;
214		}
215	} else {
216		/*
217		 * Root certificates are signed with the ROTPK, so we have to
218		 * get it from the platform.
219		 */
220		rc = plat_get_rotpk_info(param->pk->cookie, &pk_plat_ptr,
221					 &pk_plat_len, &flags);
222		if (rc != 0) {
223			VERBOSE("[TBB] %s():%d failed with error code %d.\n",
224				__func__, __LINE__, rc);
225			return rc;
226		}
227
228		assert(is_rotpk_flags_valid(flags));
229
230		/* Also retrieve the key from the image. */
231		rc = img_parser_get_auth_param(img_desc->img_type,
232					       param->pk, img, img_len,
233					       &pk_ptr, &pk_len);
234		if (rc != 0) {
235			VERBOSE("[TBB] %s():%d failed with error code %d.\n",
236				__func__, __LINE__, rc);
237			return rc;
238		}
239
240		/*
241		 * Validate the certificate's key against the platform ROTPK.
242		 *
243		 * Platform may store key in one of the following way -
244		 * 1. Hash of ROTPK
245		 * 2. Hash if prefixed, suffixed or modified ROTPK
246		 * 3. Full ROTPK
247		 */
248		if ((flags & ROTPK_NOT_DEPLOYED) != 0U) {
249			NOTICE("ROTPK is not deployed on platform. "
250				"Skipping ROTPK verification.\n");
251		} else if ((flags & ROTPK_IS_HASH) != 0U) {
252			/*
253			 * platform may store the hash of a prefixed,
254			 * suffixed or modified pk
255			 */
256			rc = crypto_mod_convert_pk(pk_ptr, pk_len, &cnv_pk_ptr, &cnv_pk_len);
257			if (rc != 0) {
258				VERBOSE("[TBB] %s():%d failed with error code %d.\n",
259					__func__, __LINE__, rc);
260				return rc;

313 * value that should not be lower than the value stored in the platform. If the
314 * value is larger, the counter in the platform must be updated to the new value
315 * (provided it has been authenticated).
316 *
317 * Return: 0 = success, Otherwise = error
318 * Returns additionally,
319 * cert_nv_ctr -> NV counter value present in the certificate
320 * need_nv_ctr_upgrade = 0 -> platform NV counter upgrade is not needed
321 * need_nv_ctr_upgrade = 1 -> platform NV counter upgrade is needed
322 */
323static int auth_nvctr(const auth_method_param_nv_ctr_t *param,
324		      const auth_img_desc_t *img_desc,
325		      void *img, unsigned int img_len,
326		      unsigned int *cert_nv_ctr,
327		      bool *need_nv_ctr_upgrade)
328{
329	unsigned char *p;
330	void *data_ptr = NULL;
331	unsigned int data_len, len, i;
332	unsigned int plat_nv_ctr;
333	int rc;
334
335	/* Get the counter value from current image. The AM expects the IPM
336	 * to return the counter value as a DER encoded integer */
337	rc = img_parser_get_auth_param(img_desc->img_type, param->cert_nv_ctr,
338				       img, img_len, &data_ptr, &data_len);
339	if (rc != 0) {
340		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
341			__func__, __LINE__, rc);
342		return rc;
343	}
344
345	/* Parse the DER encoded integer */
346	assert(data_ptr);
347	p = (unsigned char *)data_ptr;
348
349	/*
350	 * Integers must be at least 3 bytes: 1 for tag, 1 for length, and 1
351	 * for value.  The first byte (tag) must be ASN1_INTEGER.
352	 */
353	if ((data_len < 3) || (*p != ASN1_INTEGER)) {
354		/* Invalid ASN.1 integer */
355		return 1;
356	}
357	p++;
358
359	/*
360	 * NV-counters are unsigned integers up to 31 bits.  Trailing
361	 * padding is not allowed.
362	 */
363	len = (unsigned int)*p;
364	if ((len > 4) || (data_len - 2 != len)) {
365		return 1;
366	}
367	p++;
368
369	/* Check the number is not negative */
370	if (*p & 0x80) {
371		return 1;
372	}
373
374	/* Convert to unsigned int. This code is for a little-endian CPU */
375	*cert_nv_ctr = 0;
376	for (i = 0; i < len; i++) {
377		*cert_nv_ctr = (*cert_nv_ctr << 8) | *p++;
378	}
379
380	/* Get the counter from the platform */
381	rc = plat_get_nv_ctr(param->plat_nv_ctr->cookie, &plat_nv_ctr);
382	if (rc != 0) {
383		VERBOSE("[TBB] %s():%d failed with error code %d.\n",
384			__func__, __LINE__, rc);
385		return rc;
386	}
387
388	if (*cert_nv_ctr < plat_nv_ctr) {
389		/* Invalid NV-counter */
390		return 1;
391	} else if (*cert_nv_ctr > plat_nv_ctr) {
392#if PSA_FWU_SUPPORT && IMAGE_BL2
393		if (fwu_get_active_bank_state() == FWU_BANK_STATE_ACCEPTED) {
394			*need_nv_ctr_upgrade = true;
395		} else {
396			*need_nv_ctr_upgrade = false;
397		}
398#elif PSA_FWU_SUPPORT && IMAGE_BL1
399		/* The check is for bl1 only */
400		if (bl1_plat_is_shared_nv_ctr() == false) {
401			/* If NV ctr is not shared, it can be upgraded */
402			*need_nv_ctr_upgrade = true;
403		} else {
404			/* If NV ctr is shared, the upgrade should happens in BL2 */
405			*need_nv_ctr_upgrade = false;
406		}
407#else
408		*need_nv_ctr_upgrade = true;
409#endif /* PSA_FWU_SUPPORT && IMAGE_BL2 */
410	}
411
412	return 0;
413}
414
415int plat_set_nv_ctr2(void *cookie, const auth_img_desc_t *img_desc __unused,
416		unsigned int nv_ctr)
417{
418	return plat_set_nv_ctr(cookie, nv_ctr);
419}
420
421/*

DETAILS

내부 동작을 더 깊게 읽기

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

OBJECT LIFETIME

객체와 수명

FAILURE PATH

실패 지점과 증상

로그가 끊긴 함수뿐 아니라 그 함수에 주소, 크기, 플래그를 전달한 앞 단계도 조사한다. 오류 처리 후 등록된 객체나 하드웨어 설정이 그대로 남아 있는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스에서 파악한 동작을 실제 빌드 결과와 대상 보드의 로그로 확인한다. 아래 명령의 보드 이름과 툴체인 접두사는 사용 중인 빌드 환경에 맞게 바꾼다.

LAB

직접 확인할 실험

1. 01
   certificate chain을 fiptool과 cert tool 출력으로 대조

   parent certificate 진입 전후에 auth_img_desc_t의 주소·크기·반환값과 timestamp를 함께 남긴다.

2. 02
   payload와 certificate를 각각 변조

   public key/signature 진입 전후에 auth_method_desc_t의 주소·크기·반환값과 timestamp를 함께 남긴다.

3. 03
   NV counter를 낮춰 rollback 거부 확인

   hash/NV counter 진입 전후에 authenticated_data의 주소·크기·반환값과 timestamp를 함께 남긴다.

PRIMARY REFERENCES

원문과 다음 글