衡山派Luban-Lite SPI加密驱动配置与密钥烧录实战指南-育师

衡山派Luban-Lite SPI加密驱动配置与密钥烧录实战指南

最近在衡山派平台上做项目，涉及到产品量产前的安全加固，需要在SPI总线上对数据进行加密传输。很多朋友问我，在Luban-Lite系统里怎么配置那个SPI_ENC（SPI加密）驱动，还有怎么把密钥安全地烧录到芯片的eFuse里。今天我就把整个流程，从menuconfig选项配置到eFuse密钥固化，手把手地写出来，希望能帮你绕过我踩过的那些坑。

这篇教程适合正在衡山派平台上进行安全功能开发的嵌入式工程师，特别是需要部署SPI通信加密的伙伴。咱们的目标很明确：让SPI总线上的数据“穿上盔甲”，即使被截获也无法被轻易破解。

1. 理解SPI_ENC：你的SPI总线“加密锁”

在开始动手之前，咱们先搞清楚SPI_ENC是个啥，以及它为啥重要。

简单来说，SPI_ENC是衡山派芯片提供的一个硬件模块，它能对通过SPI总线（比如QSPI）收发的数据进行实时的加密和解密。想象一下，你的主控芯片通过SPI接口去读写外部的Flash存储器，如果数据是明文的，那么任何人用逻辑分析仪接到SPI线上，就能把Flash里的程序或数据“看”得一清二楚，毫无安全可言。

SPI_ENC的作用，就是在数据离开芯片前自动加密，在数据进入芯片后自动解密。对于外部设备（比如Flash）来说，它存储的始终是密文，只有拥有正确密钥的衡山派芯片才能读懂。这就像给你的SPI通信加了一把“硬件锁”。

它用的加密算法是AES-128-CTR。这是一种非常高效且安全的对称加密算法。你不需要深究复杂的密码学原理，只需要知道两件事：

对称加密：加密和解密用的是同一把钥匙（密钥）。
AES-128-CTR：这把“钥匙”是128位（16字节）长的。CTR模式可以把它变成一个“流密码”，非常适合对SPI这种连续的数据流进行加密。

接下来，咱们就进入实战环节，看看怎么把这把“锁”给配置好。

2. 驱动配置：在menuconfig中打开加密开关

配置的第一步，是在Luban-Lite系统的编译配置菜单里，把SPI_ENC功能打开，并指定对哪个SPI接口进行加密。

首先，进入你的Luban-Lite源码根目录，打开终端，执行配置命令：

scons --menuconfig

这个命令会打开一个基于文本的图形化配置界面，咱们需要在这里找到SPI_ENC相关的选项。

按照下面的路径和选项进行选择（这里以打开QSPI0的加密为例）：

首先，用方向键选择进入Board options菜单。
在这个菜单里，找到[*] Using spienc这一项，按空格键选中它（前面会出现一个*号）。这一步是启用SPI_ENC驱动模块。
选中Using spienc后，它下面会展开一个子菜单，按回车键进入。
在子菜单中，找到[*] Enc qspi0，同样按空格键选中它。这一步是指定对QSPI0这个接口的数据进行加密。

操作完成后，你的配置界面应该类似下图（注意选项前的*号）：

Board options ---> [*] Using spienc ---> [*] Enc qspi0

注意：原文示例只打开了QSPI0的加密。如果你的产品需要使用其他SPI接口（如QSPI1, SPI0等），请确保在相应的Enc qspi1等选项上也打上勾。

配置完接口，还有一个重要的参数可以调整：Tweak值。

2.1 调整Tweak值：为每款产品定制“加密指纹”

Tweak这个词可以理解为“微调”或“扰动因子”。它在SPI_ENC的加密过程中扮演什么角色呢？

还记得前面说加密算法是AES-128-CTR吗？CTR模式需要一个不断变化的“计数器”（COUNTER）来保证相同的明文在不同时间、不同位置被加密成不同的密文。这个COUNTER的生成，就依赖于三部分：

eFuse中的NONCE：一个固定的随机数（后面会烧录）。
访问数据的地址：你读写的Flash地址。
Tweak值：就是我们现在要配置的这个值。

Tweak的作用是啥？如果你希望不同批次或不同型号的产品，即使存储了完全相同的数据，在SPI总线上产生的加密密文也完全不同，那么给它们设置不同的Tweak值就能轻松实现。这相当于给每类产品增加了一个独特的“加密指纹”，进一步提升了安全性。

怎么设置呢？还是在刚才的menuconfig路径下：

Board options ---> [*] Using spienc ---> (0) set qspi0 tweak

你会看到set qspi0 tweak后面跟着一个括号，里面是默认值0。将光标移到这里，按回车键，然后输入你想要的Tweak值（一个整数），再按回车确认即可。

提示：Tweak值在产品开发阶段可以任意设置用于测试。但在量产时，一旦确定，所有同型号产品必须使用相同的Tweak值，否则会导致加密结果不一致，系统无法启动或读取数据。

配置完成后，按几次ESC键退出menuconfig，并保存配置。驱动部分的软件配置就完成了。但最关键的一步还没做——烧录密钥。

3. 密钥配置与eFuse烧录：守住安全的“命门”

驱动配置只是告诉系统“我要用加密功能”，而真正的“钥匙”——AES密钥，需要被安全地存储起来。衡山派芯片使用一块叫做eFuse的特殊存储区域来存放这些敏感信息。

eFuse可以理解为芯片内部一次性可编程的保险丝阵列。数据一旦写入并“熔断”（设置为不可读），就无法再更改或读取（即使通过调试接口），这为密钥提供了极高的安全保障。

3.1 需要烧录哪些信息？

根据原始资料，要使能SPI_ENC功能，必须在eFuse中烧录以下三部分信息：

eFuse 区域	大小 (BIT)	说明
SPI_ENC_KEY	128	AES-128算法的核心密钥。烧录后必须设置为不可读，这是安全底线。
SPI_ENC_NONCE	64	用于生成COUNTER的随机数（“扰动值”）。烧录后也应设置为不可读。
SPI_ENC_ENABLE BIT	1	使能BROM（芯片内置引导ROM）的SPI_ENC功能。只有烧录了这个位，芯片上电启动时才会去解密SPI Flash中的内容。

它们之间的关系：

SPI_ENC_KEY：核心秘密，好比你家大门的钥匙。
SPI_ENC_NONCE：一个固定的随机盐，和Tweak、地址一起生成每次加密都变化的COUNTER，好比每次开锁时还需要输入一个固定密码的一部分。
SPI_ENC_ENABLE BIT：总开关，告诉芯片“从现在起，启动时需要先用钥匙和密码解密”。

3.2 如何烧录eFuse？（关键步骤与注意事项）

重要声明：eFuse烧录是一次性且不可逆的操作！烧录错误或过程中断电，可能导致芯片永久性损坏或安全功能失效。以下流程基于通用原理描述，具体烧录命令、工具和eFuse的绝对地址，请务必查阅你所使用的衡山派芯片的官方数据手册和烧录工具指南。

通常，烧录eFuse会在产品量产阶段，通过专用的烧录器配合PC端软件完成。大致的流程和心得分以下几点：

生成密钥与NONCE：
- KEY（128位）：必须使用密码学安全的随机数生成器来产生。绝对不要使用简单的字符串或重复数字。在Linux下，可以使用/dev/urandom设备；在开发中，应使用芯片厂商提供的真随机数生成器（TRNG）模块来生成。
- NONCE（64位）：同样需要是密码学安全的随机数。
准备烧录文件：将生成的KEY和NONCE值，按照数据手册规定的格式，填入到烧录工具所需的配置文件或二进制镜像中。同时，务必在配置中标记这些区域为“烧录后不可读”（Program Read Disable）。
烧录SPI_ENC_ENABLE BIT：这个位一定要最后烧录！为什么？因为一旦烧录了这个使能位，芯片下次启动就会尝试用eFuse里的KEY和NONCE去解密SPI Flash。如果此时你的Flash里还是明文程序，或者KEY/NONCE还没烧、烧错了，芯片将无法启动，直接“变砖”。安全的做法是：
- 先烧录好KEY和NONCE。
- 将用此KEY和NONCE（以及你设置的Tweak值）加密后的系统固件，烧录到外部SPI Flash中。
- 最后，再烧录SPI_ENC_ENABLE BIT，让芯片的加密启动功能生效。
验证与测试：
- 在烧录使能位之前，可以在软件中通过读取eFuse（如果未锁读）或通过调试接口验证KEY/NONCE是否正确写入。
- 烧录使能位后，进行上电启动测试，确保系统能正常从加密的Flash中启动并运行。

4. 实战流程总结与避坑指南

最后，我把整个部署SPI_ENC的实战流程再捋一遍，并分享几个我踩过的坑：

标准操作流程：

开发阶段：在menuconfig中使能Using spienc和Enc qspi0（或其他接口），并设定一个测试用的Tweak值（如0）。此时先不烧录eFuse，系统按明文方式运行调试。
生成密钥：使用安全随机源生成128位的KEY和64位的NONCE。妥善备份！
编译加密固件：在menuconfig中填入你最终要使用的Tweak值。使用厂商提供的工具，利用步骤2生成的KEY和NONCE，以及这个Tweak值，对你的系统固件进行加密，得到密文固件。
烧录密文固件：将加密后的固件烧录到产品的SPI Flash中。
烧录eFuse（关键步骤）： a. 使用烧录工具，将KEY和NONCE写入eFuse，并立即设置为不可读。 b. （最后一步）烧录SPI_ENC_ENABLE BIT。
上电验证：给产品上电，检查是否能正常启动和运行。

避坑指南：

坑1：顺序颠倒导致变砖：切记先烧加密固件到Flash，最后再烧使能位。顺序反了，芯片一上电就去解密，发现Flash是明文或者密钥不对，就启动不了。
坑2：密钥管理不当：用于量产的KEY和NONCE必须在安全环境中生成和存储。一旦烧录到芯片里，连你自己都读不出来了，如果没备份，这批芯片的固件将无法更新或修复。
坑3：Tweak值不统一：量产时，同一产品型号的所有芯片，其menuconfig中的Tweak值、eFuse中的NONCE、加密工具使用的参数必须完全一致。否则A芯片加密的固件，B芯片解不开。
坑4：忽略地址影响：CTR模式的COUNTER和地址相关。这意味着同一个数据，存储在Flash的地址0x1000和0x2000，加密结果是不一样的。在设计系统时（比如OTA升级），如果需要校验或对比加密数据，一定要在相同的地址进行。

好了，关于衡山派Luban-Lite上SPI_ENC的配置和密钥烧录，核心内容就是这些。这套流程走通后，你的SPI总线通信安全性就有了硬件级的保障。在实际量产中，务必与芯片厂商或烧录器供应商确认具体的工具链和操作细节。祝你一次成功！