在Android6.0 （Android M）userdebug版本上(eng版本不存在该问题)，发现使用adb remount 系统之后，还是不能对system分区进行操作，提示没有写权限，为只读文件系统Read-only file system

执行如下命令 1. adb root 2. adb disable-verity (最新的adb 工具包才支持adb disable-verity命令，如果是Linux开发环境，则可使用工程编译结果目录out/host/linux-x86/bin下的adb执行文件） 3. adb reboot 重启设备 (只要不刷机，以上步骤执行一次就行) 4. adb root 5. adb remount 现在可以对system分区进行读写了

启用

在编译系统中开启签名 boot.img 和 recovery.img功能：

build/target/product/verity.mk文件中添加：

1
PRODUCT_SUPPORTS_VERITY := true

修改device/qcom/msm8996/msm8996.mk文件：

1
PRODUCT_SPPORTS_VERITY := true

开启 LK 验证 Boot 和 Recovery 功能：

Bootable/bootloader/lk/AndroidBoot.mk 文件中：

1
2
3
4
5
ifeq($PRODUCT.$(INTERNAL_PRODUCT).PRODUCT_SUPPORTS_VERITY), true)
VERIFIED_BOOT := VERIFIED_BOOT = 1
else
VERIFIED_BOOT := VERIFIED_BOOT = 0
endif

在 device/OEM/project_name/project_name.mk 中添加：

1
2
3
4
5
6
PRODUCT_SUPPORTS_VERITY := true
PRODUCT_SYSTEM_VERITY_PARTITION := /dev/block/bootdevice/by-name/system
$(call inherit-product, build/target/product/verity.mk)
PRODUCT_COPY_FILES += \
frameworks/native/data/etc/android.software.verified_boot.xm:system/etc/permissions/android.software.verified_boot.xml

在 device/OEM/project_name/fstab.qcom中添加verify标志：

1
/dev/block/bootdevice/by-name/system /system ext4 ro,barrier=1,discard wait,verify

签名key

默认开发 key

包括公钥和私钥，它们位于：build/target/product/security/. 它们用来给 boot 和 recovery 签名，以及验证 system partition 的 metadata table. 它们的位置定义位于：build/target/product/verity.mk 文件中：

1
PRODUCT_VERITY_SIGNING_KDY := build/target/product/security/verity

Key 文件作用说明：

build/target/product/security/

  • verity.pk8 – private key used to sign boot.img and system.img
  • verity.x509.pem – certificate include public key
  • verity_key – public key used in dm verity for system.img

有些老的版本只有两个key文件：

  • verity_private_dev_key – private key used to sign boot.img and system.img
  • verity_key – public key used in dm verity for system image

我们可以看到在 build/core/Makefile 文件中：

1
2
3
4
5
$(INSTALLED_BOOTIMAGE_TARGET): $(MKBOOTIMG) $(INTERNAL_BOOTIMAGE_FILES) $(BOOT_SIGNER) $(BOOTIMAGE_EXTRA_DEPS)
$(call pretty,"Target boot image: $@")
$(hide) $(MKBOOTIMG) $(INTERNAL_BOOTIMAGE_ARGS) $(BOARD_MKBOOTIMG_ARGS) --output $@
$(BOOT_SIGNER) /boot $@ $(PRODUCTS.$(INTERNAL_PRODUCT).PRODUCT_VERITY_SIGNING_KEY).pk8 $(PRODUCTS.$(INTERNAL_PRODUCT).PRODUCT_VERITY_SIGNING_KEY).x509.pem $@
$(hide) $(call assert-max-image-size,$@,$(BOARD_BOOTIMAGE_PARTITION_SIZE))

生成 OEM 自己的公钥密钥对

在 Linux 系统中，确保所安装的 openssl 版本足够新，可以参看： /m8996/build/target/product/security_releasekey/README 文件。

1
2
3
>openssl version
OpenSSL 1.0.2d 9 Jul 2015
>development/tools/make_key mykey '/C=US/ST=California/L=Mountain View/O=Android/OU=Android/CN=Android/[email protected]'

不用输入密码，然后 mykey.pk8 和 mykey.x509.pem 将会在当前目录生成。

为DM-Verity 功能生成 verity key

生成 generate_verity_key

使用下面的命令来生成 verity key 的工具 generate_verity_key：

1
2
3
source build/envsetup.sh
choosecombo
make generate_verity_key (mmm system/extras/verity/)

将 *.x509.pem 转换成 verity key

generate_verity_key 的代码位于：system/extra/verity/generate_verity_key.c generate_verity_key 的用法：generate_verity_key | -convert

1
out/host/linux-x86/bin/generate_verity_key -convert mykey.x509.pem verity_key

拷贝并重命名

拷贝mykey.pk8，mykey.x509.pem，verity_key.pub 至 build/target/product/security/ 目录，将其重命名: verity.pk8， verity.x509.pem，verity_key ，并替换默认的开发 key。

生成 keystore

在 LK 里面，有两个 keystore:

  • oem_keystore: 编译到 LK 里面，它定义在 /bootloader/lk/platform/msm_shared/include/oem_keystore.h 中。
  • user_keystore: 存储在”keystore”分区里面。 LK 将使用 OEM keystore 来验证 keystore 分区， 如果验证通过， 将从里面读取 user_keystore，然后用其验证 boot.img 和 recovery.img。

Google 已经在后来的 release 里移除 user_keystore，不需要 keystore 分区。

使用system/extras/verity/keystore_signer, 它实际上是调用openssl 的一个脚本，所以也可以直接调用 openssl来实现。

1
keystore_signer <privatekey.pk8> <crefificate.x509.pem> <outfile> <publickey0.der>
1
2
>openssl rsa -in mykey.pk8 -inform DER -pubout -outform DER -out mypub.der
>java -Xmx512M -jar out/host/linux-x86/framework/KeystoreSigner.jar mykey.pk8 mykey.x509.pem keystore.img mypub.der

如果在没有 pk8 格式的老版本上，则可以使用下面的命令：

1
2
>keystore_signer <PRIVATE_KEY> <KEYSTORE_IMG> <RSA_PUBLIC_KEY_DER>
>java -Xmx512M -jar out/host/linux-x86/framework/KeystoreSigner.jar verity_private_dev_key keystore.img mypub.der

通过上述命令获取 keystore.img之后，可以通过fast boot来刷。

1
Fastboot flash keystore keystore.img

当然，如果没有keystore分区，这步可以忽略

Oem_keystore可以通过下面的方法使用相同的key 通过下面的脚本将keystore.img生成oem_keystore.h文件

1
2
3
4
5
6
7
function generate_oem_keystore_h()
{
echo \#ifndef __OEM_KEYSTORE_H
echo \#define __OEM_KEYSTORE_H
xxd -i $1 | sed -e 's/unsigned char .* = {/const unsigned char OEM_KEYSTORE[] = {/g' -e 's/unsigned int .* =.*;//g'
echo \#endif
}
1
generate_oem_keystore_h keystore.img > oem_keystore.h

将该oem_keystore.h文件拷贝到：bootable/bootloader/lk/platform/msm_shared/include

在 LK 中的代码调用流程

  • boot_linux_from_mmc
  • boot_verifier_init
  • verify_signed_bootimg -> boot_verify_image -> verify_image_with_sig

手机安全状态

开启 Verified Boot 功能的设备有三种安全状态：locked, verified 和 unlocked。任何状态的转换都需要使用 fastboot 命令，同时也会擦除 /data 分区（分区置0），当手机启动的时候，新的状态才会改变，同时会将一个新的文件系统挂载到 /data。除此之外，安全状态的改变用户通过物理按键（开机键，音量上下键等）的方式来确认，另外，如果是转换到 unlocked 状态，需要在开发者选项者将 OEM unlock 打开（这步需要屏幕锁验证），同时通过 fastboot oem unlock 打开。

locked state:

  • 用户不能使用 fastboot 命令下载或者擦除任何分区。
  • boot 和 recovery 分区将会被 keystore 验证 （从 LK 里面的 OEM keystore开始）。

  • 唯一能使用的 fastboot 命令只有 fastboot oem unlock，但如果要使用该命令，还必须在开发者选项中将 OEM unlock打开（默认关闭）。

    verified state:

  • 用户可以使用 fastboot 命令来下载或者擦除特定的分区（bootable/bootloader/lk/app/aboot/aboot.c中的 critical_flash_allowed_ptn 结构体）。

  • 不允许登记 keystore或者篡改 persisten data block。

  • 对于使用用户或者第三方软件来来，这是个比较合适的状态，特别是开发者需要频繁地烧写软件。

  • 如果使用了没有被OEM签名的 keystore，那需要处理开机时的警告信息。

    unlock state:

  • 所有的 fastboot 命令都可以使用。

  • 用户 keystore 可以被登记或者擦除。

  • 在这种状态下，boot和recovery不会被验证。同时开机时会有警告，需要按音量上键才能继续启动。

影响

  • 软件集成和 OTA 升级，必须使用 block 方式做包和升级，相关工程师需要注意在适配。
  • 售后，用户自行刷三方固件以及 root 检测等。
  • 开机速度和 performance, Idol 4S 上实测，从校验开始到 system 分区挂载完成耗时 50 ms 以内，对开机 速度的影响可以忽略，当前没有任何证据表明会影响 performance。
  • 工程师日常开发调试。

注意事项

  • 该功能在 eng 软件上是关闭的，刷 eng 的 boot.img 不会受影响。
  • 混刷 boot.img 和 system.img 会启动不了，使能后的 userdebug 或 user 版本的 boot.img 搭配的 eng 版本的 system.img 或者未使能前的 system.img 会开不起来，因为生成时用的 key 不同。

  • 可以通过开机后查看 system 分区的挂载信息来查看是否开启了 Verified Boot 功能：

    1
    adb shell mount | grep /system

    开启显示

    1
    /dev/block/dm-0 /system ext4 ro,seclabel,relatime,discard,data=ordered 0 0

    关闭显示

    1
    /dev/block/bootdevice/by-name/system /system ext4 ro,seclabel,relatime,discard,data=ordered 0 0

  • 通常会使用 userdebug 软件（或者刷 userdebug 版本的 boot.img) 来调试，但使能后，system 是无法挂载成 rw 状态的，不能 push

    1
    2
    3
    4
    5
    6
    7
    8
    $ adb root
    Restarting adbd as root
    $ adb remount
    Reremount succeeded
    $ adb shell mount | grep /systtem
    /dev/block/dm-0 /system ext4 ro,seclabel,relatime,discard,data=ordered 0 0
    $ adb push out/target/product/project_name/system/xbin/su /system/xbin/su
    failed to copy 'out/target/product/project_name/system/xbin/su' to '/system/xbin/su': Read-only file system

  • 在 userdebug 软件（或者刷 userdebug 版本的 boot.img）有两种方法可以关闭：

    1. 用 adb 命令，重启后生效：

      1
      2
      $ adb disable-verity
      $ adb enable-verity

      注意，如果重新刷 了 system.img 就要重新操作，因为关闭标志是写在 system.img 尾部的。当启用boot verity功能，一旦你修改了手机里的 system 分区，比如 push 进去一个 apk，再打开的话，手机会起不来。

    2. 替换 eng.img ，也可以修改 fstab.qcom 文件，重新编译 userdebug 的 boot.img: 具体操作是修改 device/OEM/project_name/fstab.qcom文件，去掉 verify 标志，例如：

      1
      2
      /dev/block/bootdevice/by-name/system /system ext4 ro,barrier=1,discard wait,verify
      /dev/block/bootdevice/by-name/system /system ext4 ro,barrier=1,discard wait

  • user 软件没有办法，如果需要修改 system， 请刷 userdebug 或者 eng 的 boot.img。

  • 旧版的 adb 可能不支持 disable-verity 和 enable-verity 命令，请更新到最新的 Android SDK，或者使用工程编译出来的 adb (out/host/linux-x86/bin/adb)。

http://blog.csdn.net/u011280717/article/details/51867673

http://luomingmao.com/2016/08/29/Verified-Boot

http://blog.csdn.net/andrewblog/article/details/51879844