wolfSSL チームは、wolfBoot 2.9.0 をリリースしました。対応ハードウェアを拡大し、イメージと暗号処理に関する新しい選択肢を追加するとともに、ブートおよびアップデート処理全体のセキュリティ強化を継続しました。
対応ハードウェアの拡大
wolfBoot 2.9.0 では、以下を含む複数の新しいプラットフォームに対応しました。
- STM32N6、STM32U3、STM32C5、STM32G4、STM32WBA
- NXP LPC54S018M-EVK、Kinetis KL26
- Xilinx Zynq-7000 ZC702
- NXP T2080 および CW VPX3-152（VxWorks 7 64ビットブート対応）
既存のポートも大幅に更新しました。wolfHAL を wolfBoot に統合し、STM32WB のサンプルを追加しました。また STM32H5 では、TrustZone 内で動作するファームウェア TPM のサポートと、wolfHSM を利用する TrustZone エンジンを追加しました。
このほか、LPC55S69 でのハードウェア暗号処理への対応、NXP MCXN でのハードウェアベースの DICE アテステーションの追加、PolarFire SoC の M-mode サポートの強化、ZynqMP の Linux ブートの改善、Vorago VA416x0 のシャドウアップデートの修正など、さまざまな改善を行いました。
新機能
wolfBoot 2.9.0 では、RSA-PSS によるイメージ署名と、ハードウェアアクセラレーションによる暗号処理向けの汎用暗号コールバックインターフェースを追加しました。
FIT イメージのサポートを拡張し、gzip 圧縮されたカーネル、initramfs を含む ramdisk、および FPGA ビットストリームを扱えるようにしました。
本リリースではさらに、以下を追加しました。
- ブートのベンチマーク機能
- ワンショットハッシュ
- モノリシック構成における自己更新の最適化
- wolfHSM を用いたマルチルート CA 検証とキーストアレス動作
- 事前計算済みの IDevID 認証値
- ブートおよびアップデートの失敗診断情報の永続化
- CycloneDX と SPDX を出力する
sbomMakefile ターゲット（ソフトウェア透明性および CRA 対応のワークフロー向け）
セキュリティ強化
本リリースでも、Fenrir によるファジングを起点とした堅牢化を、イメージ解析とアップデート処理の全体にわたって継続しました。
新たに、認証前のイメージを RAM に読み込む際のサイズ上限のチェック、ディスクアップデート時のメモリコピー量の制限を追加し、フォールトインジェクションに対するイメージの真正性および完全性の検証を強化しました。
あわせて、LMS、XMSS、OTP キーストア、デバイスツリー、自己更新、単体テストに関する複数の不具合を修正し、機微な DICE クレームデータを使用後にゼロ化するようにしました。
ダウンロード
wolfBoot 2.9.0 は、ダウンロードページおよび GitHub からダウンロードいただけます。本リリースにより、対応プラットフォームの拡大とハードウェア連携の強化を実現し、セキュアなファームウェア検証とアップデートの信頼性の向上にも継続して取り組んでいます。
もし弊社製品についてご質問があれば、お問い合わせ窓口info@wolfssl.jpまでご連絡をお願い致します。