Barebox FIT configuration과 검증

QUESTION

Barebox FIT configuration과 검증 단계에서 실제로 바뀌는 상태는 무엇인가?

STRUCTURE

객체와 주소가 놓이는 구조

CALL PATH

실행 흐름

STATE LEDGER

단계별 입력과 출력

각 단계의 입력과 처리 후 바뀌는 상태를 정리한 표다. 사용 중인 소스 버전에서 다른 필드를 변경한다면 그에 맞춰 표도 수정한다.

분석 범위의 전제와 비교해, 다음 단계에 잘못된 입력을 넘긴 부분부터 조사한다.

VISUAL WALKTHROUGH

주소와 객체의 이동을 그림으로 읽기

아래 그림은 주소, 객체를 사용하는 기간, 제어권을 넘기는 시점을 중심으로 정리했다. 실제 주소와 크기는 사용 중인 보드의 bdinfo, 맵 파일과 링커 심벌로 확인한다.

UPSTREAM SOURCE

원본 코드

아래 코드는 Barebox v2026.06.1의 common/image-fit.c에서 1161-1249줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

1161}
1162
1163static bool __fit_close(struct fit_handle *handle)
1164{
1165	if (!refcount_dec_and_test(&handle->users))
1166		return false;
1167
1168	if (handle->root)
1169		of_delete_node(handle->root);
1170
1171	if (handle->filename)
1172		list_del(&handle->entry);
1173
1174	free(handle->filename);
1175	free(handle->fit_alloc);
1176	return true;
1177}
1178
1179void fit_close(struct fit_handle *handle)
1180{
1181	if (__fit_close(handle))
1182		free(handle);
1183}
1184
1185static int do_bootm_fit(struct image_data *data)
1186{
1187	pr_err("Cannot boot device tree binary blob\n");
1188
1189	return -EINVAL;
1190}
1191
1192static bool fitimage_check(struct image_handler *handler,
1193			   struct image_data *data,
1194			   enum filetype detected_filetype)
1195{
1196	return detected_filetype == filetype_oftree ||
1197		detected_filetype == filetype_fit;
1198}
1199
1200static struct image_handler fit_handler = {
1201	.name = "FIT image",
1202	.bootm = do_bootm_fit,
1203	.filetype = filetype_fit,
1204	.check_image = fitimage_check,
1205};
1206
1207static int bootm_fit_register(void)
1208{
1209	return register_image_handler(&fit_handler);
1210}
1211late_initcall(bootm_fit_register);
1212
1213static int fuzz_fit(const u8 *data, size_t size)
1214{
1215	const char *unit, *imgname = "kernel";
1216	struct fit_handle handle = {};
1217	const void *outdata;
1218	unsigned long outsize, addr;
1219	int ret;
1220	void *config;
1221
1222	handle.verbose = false;
1223	handle.verify = BOOTM_VERIFY_AVAILABLE;
1224
1225	handle.size = size;
1226	handle.fit = data;
1227	handle.fit_alloc = NULL;
1228
1229	refcount_set(&handle.users, 1);
1230
1231	ret = fit_do_open(&handle);
1232	if (ret)
1233		goto out;
1234
1235	config = fit_open_configuration(&handle, NULL, NULL);
1236	if (IS_ERR(config)) {
1237		ret = fit_find_last_unit(&handle, &unit);
1238		if (ret)
1239			goto out;
1240		config = fit_open_configuration(&handle, unit, NULL);
1241	}
1242	if (IS_ERR(config)) {
1243		ret = PTR_ERR(config);
1244		goto out;
1245	}
1246
1247	ret = fit_open_image(&handle, config, imgname, 0, &outdata, &outsize);
1248	if (ret)
1249		goto out;

READING CONTRACT

발췌 범위와 읽기 기준

원문 1161-1249줄에는 앞뒤 문맥이 포함됩니다. 기준 구문 static int do_bootm_fit(struct image_data *data)은 L1185에 있습니다. 발췌 첫 줄을 함수 정의의 시작으로 해석하지 않습니다.

configuration 서명이 선택한 subimage와 property를 실제로 묶는 범위를 확인한다. DT의 key와 required policy, 외부 data offset도 같이 본다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

778	ret = fit_handle_decompression(image, type, &data, &data_len);
779	if (ret)
780		return ret;
781
782	*outdata = data;
783	*outsize = data_len;
784
785	return 0;
786}
787
788int fit_config_verify_signature(struct fit_handle *handle, struct device_node *conf_node)
789{
790	struct device_node *sig_node;
791	int ret = -EINVAL;
792
793	if (!IS_ENABLED(CONFIG_FITIMAGE_SIGNATURE))
794		return 0;
795
796	switch (handle->verify) {
797	case BOOTM_VERIFY_NONE:
798	case BOOTM_VERIFY_HASH:
799		return 0;
800	case BOOTM_VERIFY_SIGNATURE:
801		ret = -EINVAL;
802		break;
803	case BOOTM_VERIFY_AVAILABLE:
804		ret = 0;
805		break;
806	}
807
808	for_each_child_of_node(conf_node, sig_node) {
809		if (!of_node_has_prefix(sig_node, "signature"))
810			continue;
811
812		if (handle->verbose)
813			of_print_nodes(sig_node, 0, ~0);
814
815		ret = fit_verify_signature(handle, sig_node, conf_node);
816		if (ret < 0)
817			return ret;
818	}
819
820	if (ret < 0) {
821		pr_err("configuration '%pOF' does not have a signature\n", conf_node);
822		return ret;
823	}
824
825	return ret;
826}
827
828static int fit_fdt_is_compatible(struct fit_handle *handle,
829				 struct device_node *child,
830				 const char *machine)
831{
832	const char *reason = "malformed";
833	struct device_node *image;
834	const char *unit = "fdt";
835	int data_len;
836	const void *data;
837	int ret;
838
839	if (of_property_present(child, "compatible"))
840		return 0;
841	if (!of_property_present(child, "fdt"))
842		return 0;
843
844	image = fit_get_image(handle, child, &unit, 0);
845	if (!image) {
846		ret = -ENOENT;
847		goto err;
848	}
849
850	data = of_get_property(image, "data", &data_len);
851	if (!data)
852		goto err;
853
854	/* We have three options here:
855	 *
856	 * 1) Increase our attack surface by all supported compression algos
857	 * 2) Verify all configurations in the image as we search for best
858	 *    OF match score
859	 * 3) Blame the user and expect them to supply a compatible property
860	 *    in the configuration node if they want to compress their FDTs
861	 *
862	 * We go for option 3.

DETAILS

내부 동작을 더 깊게 읽기

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

OBJECT LIFETIME

객체와 수명

FAILURE PATH

실패 지점과 증상

로그가 끊긴 함수뿐 아니라 그 함수에 주소, 크기, 플래그를 전달한 앞 단계도 조사한다. 오류 처리 후 등록된 객체나 하드웨어 설정이 그대로 남아 있는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스에서 파악한 동작을 실제 빌드 결과와 대상 보드의 로그로 확인한다. 아래 명령의 보드 이름과 툴체인 접두사는 사용 중인 빌드 환경에 맞게 바꾼다.

LAB

직접 확인할 실험

1. 01
   fit_check_sign 또는 bootm verbose 결과 확인

   select configuration 진입 전후에 FIT configuration의 주소·크기·반환값과 timestamp를 함께 남긴다.

2. 02
   subimage 한 byte 변경 후 거부 확인

   verify hashes/signature 진입 전후에 subimages의 주소·크기·반환값과 timestamp를 함께 남긴다.

3. 03
   여러 configuration에서 default/explicit 선택 비교

   load subimages 진입 전후에 public key의 주소·크기·반환값과 timestamp를 함께 남긴다.

PRIMARY REFERENCES

원문과 다음 글