swupdate で使用する鍵を変更・追加する方法について本ブログに記載します。
前提条件
本ブログは既に Armadillo に swupdate によって initial_setup.swu をインストールした状態で、Armadillo に証明書が登録されている状態を想定しております。
証明書が登録されているかは、/etc/swupdate.pem より確認できます。
[armadillo ~]# cat /etc/swupdate.pem
# atmark-1
-----BEGIN CERTIFICATE-----
MIIBuzCCAWCgAwIBAgIUbbibr2AEmw3ohnmkXeGPPf0glgcwCgYIKoZIzj0EAwIw
：（省略）
-----END CERTIFICATE-----
# atmark-2
-----BEGIN CERTIFICATE-----
MIIBvzCCAWagAwIBAgIUfagaF9RAjO2+x54PMqIlZkain9MwCgYIKoZIzj0EAwIw
：（省略）
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE----- # 登録した証明書
MIIBmjCCAUCgAwIBAgIUSB+WtEVimKWGlR+X3iaZcZm/VREwCgYIKoZIzj0EAwIw
：（省略）
-----END CERTIFICATE-----
また、新しい鍵を生成するには mkswu のバージョンが 4.3 以上である必要があります。mkswu のバージョンは以下のコマンドで確認できます。
[ATDE ~]$ mkswu --version
mkswu のバージョンが古い場合は以下のコマンドを実行しアップデートしてください。
[ATDE ~]$ sudo apt update && sudo apt install mkswu
新しい鍵の生成方法
以下に鍵を生成する例を示します。
※ここでは例として、パスワードは無しで鍵のコモンネームを test とします。
[ATDE ~]$ mkswu --genkey --plain --cn test
設定ファイルを更新しました：/home/atmark/mkswu/mkswu.conf
/home/atmark/mkswu/swupdate.key はすでに存在します。新しい鍵を作成しますか？ [Y/n] #Enter を押下
署名鍵 /home/atmark/mkswu/swupdate-2.key と証明書 swupdate-2.pem を作成します。
-----
/home/atmark/mkswu/swupdate-2.pem をコンフィグファイルに追加します。
/home/atmark/mkswu/swupdate-2.pem が次のアップデートをインストールするときに転送されます。
インストールされてから現在の鍵を /home/atmark/mkswu/mkswu.conf から外してください。
[ATDE ~]$ ls mkswu/swupdate-2.*
/home/atmark/mkswu/swupdate-2.key
/home/atmark/mkswu/swupdate-2.pem
新しい鍵を生成すると、mkswu.conf に先ほど生成した鍵のパスが記載されます。
[ATDE ~]$ tail /home/atmark/mkswu/mkswu.conf
#ROLLOUT_ERROR_THRESHOLD=30
# extra swupdate certificate. Remove the old one and use new
# PRIVKEY after having installed an update with this first
PUBKEY="$PUBKEY,$CONFIG_DIR/swupdate-2.pem"
# remove "NEW_" to use
NEW_PRIVKEY="$CONFIG_DIR/swupdate-2.key"
# This controls if we should update certificates on device,
# and can be removed once all devices have been updated to only allow new key
UPDATE_CERTS=yes
UPDATE_CERTS が yes の場合、次の swupdate 実行時に Armadillo の /etc/swupdate.pem が更新されます。このときの swupdate は新しく生成した鍵ではなく、今まで使用していた鍵が使用されます。
mkswu --genkey を使用せずに /etc/swupdate.pem を直接編集し、証明書を入力している場合は、その証明書が消えますのでご注意ください。
今まで使用していた鍵を使用できないようにする場合は、mkswu.conf を以下のように編集します。
PUBKEY="$CONFIG_DIR/swupdate-2.pem"
PRIVKEY="$CONFIG_DIR/swupdate-2.key"
UPDATE_CERTS=yes
swupdate.pem の更新
鍵を生成後に swupdate を実行します。
swupdate 実行後に /etc/swupdate.pem が更新されます。
[armadillo ~]# cat /etc/swupdate.pem
：（省略）
-----END CERTIFICATE-----
# swupdate-2.pem #追加された証明書
-----BEGIN CERTIFICATE-----
MIIBljCCATygAwIBAgIUJOus/kS1s8ye0Iv1H7LY1rWCzaMwCgYIKoZIzj0EAwIw
：（省略）
-----END CERTIFICATE-----
# swupdate.pem
：（省略）
以上の手順で、今まで使用していた鍵と新しく生成した鍵どちらを使用しても swupdate を実行することができます。
また、今まで使用していた鍵を使用できないよう mkswu.conf を編集した場合は、/etc/swupdate.pem は以下のようになります。
[armadillo ~]# cat /etc/swupdate.pem
：（省略）
-----END CERTIFICATE-----
# swupdate-2.pem #追加された証明書
-----BEGIN CERTIFICATE-----
MIIBljCCATygAwIBAgIUJOus/kS1s8ye0Iv1H7LY1rWCzaMwCgYIKoZIzj0EAwIw
：（省略）
-----END CERTIFICATE-----
# swupdate.pemが削除されている