撤销熔断的 PKC 密钥#

NVIDIA IGX Orin SoC 支持三个用于安全启动的 PKC 公钥。有关更多信息，请参阅启用 Pre-UEFI 阶段的安全启动。

如果产品发货后密钥泄露，IGX 提供了撤销机制。密钥在被撤销之前始终处于活动状态，SoC 将接受使用任何未撤销密钥签名的映像。最后一个密钥 (FUSE_PK_H2) 不可撤销，系统始终可以使用最后一个密钥的私钥签名的映像启动。

要撤销第一个密钥 (FUSE_PUBLIC_KEY)，请执行以下操作。

  1. 使用编辑器打开 <Linux_for_Tegra> bootloader/generic/BCT/tegra234-br-bct-p3701-0002-p3740-0002.dts 文件。

  2. 将 revoke_pk_h0 = <1> 添加到 brbct 部分。

 1/dts-v1/;
 2
 3/ {
 4    brbct {
 5        . . .
 6        revoke_pk_h0 = <1>;
 7        bf_bl_allbits {
 8            . . .
 9        }
10    };
11};

  1. 使用第二个 PKC 私钥 (rsa3k-1.pem) 作为签名密钥重新刷写 QSPI 映像。如果在之前的刷写中应用了可选加密，请提供 sbk.key。有关详细信息，请参阅4. 签名和刷写 QSPI 启动固件映像。

1sudo ./flash.sh  -u rsa3k-1.pem [-v sbk.key] p3740-0002-p3701-0008-qspi external