Barebox FIT configuration과 검증 | Barebox

QUESTION

Barebox FIT configuration과 검증 단계에서 실제로 바뀌는 상태는 무엇인가?

configuration 서명이 선택한 subimage와 property를 실제로 묶는 범위를 확인한다. DT의 key와 required policy, 외부 data offset도 같이 본다.

검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다. 이 문장을 기준으로 코드를 위에서 아래로 읽으면, 함수 이름을 외우는 대신 어느 시점에 어떤 상태를 신뢰할 수 있는지 판단할 수 있다.

STRUCTURE

객체와 주소가 놓이는 구조

그림 1. Barebox FIT configuration과 검증에서 입력, 내부 상태, 출력의 경계

입력과 전제내부 상태외부로 공개되는 결과

01FIT configuration

02subimages

03public key

04image_data

INVARIANT

검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다.

fit_handle / selected configuration / image_data를 중심에 놓고 왼쪽의 입력이 어떤 검사를 거쳐 오른쪽 결과로 공개되는지 표시했다. 실제 디버깅에서는 각 블록의 주소와 크기를 로그에 대입한다.

CALL PATH

실행 흐름

그림 2. 정상 경로의 주요 호출과 상태 전달

FIT file

select configuration

verify hashes/signature

load subimages

bootm handoff

화살표는 단순 호출 순서만 뜻하지 않는다. 각 단계가 성공을 반환할 때 다음 단계가 읽을 수 있는 상태가 무엇인지 함께 확인한다. 오류 반환이 발생하면 바로 다음 화살표로 진행하지 않고 해당 단계의 정리 경로를 따라간다.

STATE LEDGER

단계별 입력과 출력

호출 순서를 함수 이름으로만 외우지 않고, 각 단계가 무엇을 받아 무엇을 공개하는지 적은 표다. 실제 소스에서 생산 필드가 다르면 표를 고치는 방식으로 사용한다.

#	단계	진입 시 신뢰할 상태	성공 뒤 남아야 할 상태	다음 소비자
01	`FIT file`	부트 CPU의 동기 실행 문맥	FIT configuration	select configuration
02	`select configuration`	FIT file 완료 상태	subimages	verify hashes/signature
03	`verify hashes/signature`	select configuration 완료 상태	public key	load subimages
04	`load subimages`	verify hashes/signature 완료 상태	image_data	bootm handoff
05	`bootm handoff`	load subimages 완료 상태	image_data	최종 최종 부트로더 이미지 또는 다음 stage

공통 불변 조건: 검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다. 한 단계의 출력이 다음 단계의 입력 조건을 만족하지 않으면 오류가 실제로 드러난 위치보다 앞의 생산 단계부터 조사한다.

UPSTREAM SOURCE

원본 코드

아래 코드는 Barebox v2026.06.1의 common/image-fit.c에서 1161-1249줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

commit314c679eea2d0ca847c64d1b646a1cf91225c0ecsymbolstatic int do_bootm_fit(struct image_data *data)

1161}
1162
1163static bool __fit_close(struct fit_handle *handle)
1164{
1165	if (!refcount_dec_and_test(&handle->users))
1166		return false;
1167
1168	if (handle->root)
1169		of_delete_node(handle->root);
1170
1171	if (handle->filename)
1172		list_del(&handle->entry);
1173
1174	free(handle->filename);
1175	free(handle->fit_alloc);
1176	return true;
1177}
1178
1179void fit_close(struct fit_handle *handle)
1180{
1181	if (__fit_close(handle))
1182		free(handle);
1183}
1184
1185static int do_bootm_fit(struct image_data *data)
1186{
1187	pr_err("Cannot boot device tree binary blob\n");
1188
1189	return -EINVAL;
1190}
1191
1192static bool fitimage_check(struct image_handler *handler,
1193			   struct image_data *data,
1194			   enum filetype detected_filetype)
1195{
1196	return detected_filetype == filetype_oftree ||
1197		detected_filetype == filetype_fit;
1198}
1199
1200static struct image_handler fit_handler = {
1201	.name = "FIT image",
1202	.bootm = do_bootm_fit,
1203	.filetype = filetype_fit,
1204	.check_image = fitimage_check,
1205};
1206
1207static int bootm_fit_register(void)
1208{
1209	return register_image_handler(&fit_handler);
1210}
1211late_initcall(bootm_fit_register);
1212
1213static int fuzz_fit(const u8 *data, size_t size)
1214{
1215	const char *unit, *imgname = "kernel";
1216	struct fit_handle handle = {};
1217	const void *outdata;
1218	unsigned long outsize, addr;
1219	int ret;
1220	void *config;
1221
1222	handle.verbose = false;
1223	handle.verify = BOOTM_VERIFY_AVAILABLE;
1224
1225	handle.size = size;
1226	handle.fit = data;
1227	handle.fit_alloc = NULL;
1228
1229	refcount_set(&handle.users, 1);
1230
1231	ret = fit_do_open(&handle);
1232	if (ret)
1233		goto out;
1234
1235	config = fit_open_configuration(&handle, NULL, NULL);
1236	if (IS_ERR(config)) {
1237		ret = fit_find_last_unit(&handle, &unit);
1238		if (ret)
1239			goto out;
1240		config = fit_open_configuration(&handle, unit, NULL);
1241	}
1242	if (IS_ERR(config)) {
1243		ret = PTR_ERR(config);
1244		goto out;
1245	}
1246
1247	ret = fit_open_image(&handle, config, imgname, 0, &outdata, &outsize);
1248	if (ret)
1249		goto out;

LINE BY LINE

1161-1249줄 해설

원본에 보이는 모든 줄을 순서대로 설명한다. 빈 줄도 block 경계로 남겨, 코드와 설명의 위치가 어긋나지 않게 했다.

1161}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1162(빈 줄)

}까지의 동작과 static bool __fit_close(struct fit_handle *handle)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 subimages 상태가 아래 블록의 입력으로 사용되는 경계다.

1163static bool __fit_close(struct fit_handle *handle)

__fit_close 함수 정의가 시작된다. 입력은 struct fit_handle *handle이며, 부트 CPU의 동기 실행 문맥에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

1164{

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 fit_handle / selected configuration / image_data의 수명에 맞춰 묶어 읽는다.

1165if (!refcount_dec_and_test(&handle->users))

!refcount_dec_and_test(&handle->users)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1166return false;

false를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 fit_handle / selected configuration / image_data를 정리하거나 다음 단계로 진행하는지 확인한다.

1167(빈 줄)

return false;까지의 동작과 if (handle->root)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1168if (handle->root)

handle->root를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1169of_delete_node(handle->root);

of_delete_node(handle->root)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1170(빈 줄)

of_delete_node(handle->root);까지의 동작과 if (handle->filename)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1171if (handle->filename)

handle->filename를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1172list_del(&handle->entry);

list_del(&handle->entry)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1173(빈 줄)

list_del(&handle->entry);까지의 동작과 free(handle->filename);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1174free(handle->filename);

free(handle->filename)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1175free(handle->fit_alloc);

free(handle->fit_alloc)를 호출한다. 반환 결과는 현재 줄 또는 다음 return true;에서 검사되는 흐름이다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1176return true;

true를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 fit_handle / selected configuration / image_data를 정리하거나 다음 단계로 진행하는지 확인한다.

1177}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1178(빈 줄)

}까지의 동작과 void fit_close(struct fit_handle *handle)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1179void fit_close(struct fit_handle *handle)

fit_close 함수 정의가 시작된다. 입력은 struct fit_handle *handle이며, 부트 CPU의 동기 실행 문맥에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

1180{

1181if (__fit_close(handle))

__fit_close(handle)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1182free(handle);

free(handle)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1183}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1184(빈 줄)

}까지의 동작과 static int do_bootm_fit(struct image_data *data)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1185static int do_bootm_fit(struct image_data *data)

do_bootm_fit 함수 정의가 시작된다. 입력은 struct image_data *data이며, 부트 CPU의 동기 실행 문맥에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

1186{

1187pr_err("Cannot boot device tree binary blob\n");

pr_err("Cannot boot device tree binary blob\n")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1188(빈 줄)

pr_err("Cannot boot device tree binary blob\n");까지의 동작과 return -EINVAL;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1189return -EINVAL;

-EINVAL를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 fit_handle / selected configuration / image_data를 정리하거나 다음 단계로 진행하는지 확인한다.

1190}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1191(빈 줄)

}까지의 동작과 static bool fitimage_check(struct image_handler *handler,에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1192static bool fitimage_check(struct image_handler *handler,

fitimage_check(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1193struct image_data *data,

struct image_data *data,를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1194enum filetype detected_filetype)

enum filetype detected_filetype)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1195{

1196return detected_filetype == filetype_oftree ||

detected_filetype == filetype_oftree ||를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 fit_handle / selected configuration / image_data를 정리하거나 다음 단계로 진행하는지 확인한다.

1197detected_filetype == filetype_fit;

detected_filetype에 = filetype_fit를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1198}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1199(빈 줄)

}까지의 동작과 static struct image_handler fit_handler = {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1200static struct image_handler fit_handler = {

원본 1200번 줄의 static struct image_handler fit_handler = {는 앞의 이전 block 경계 결과를 받아 다음 .name = "FIT image",로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건이 유지되는지 확인한다.

1201.name = "FIT image",

원본 1201번 줄의 .name = "FIT image",는 앞의 static struct image_handler fit_handler = { 결과를 받아 다음 .bootm = do_bootm_fit,로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건이 유지되는지 확인한다.

1202.bootm = do_bootm_fit,

원본 1202번 줄의 .bootm = do_bootm_fit,는 앞의 .name = "FIT image", 결과를 받아 다음 .filetype = filetype_fit,로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건이 유지되는지 확인한다.

1203.filetype = filetype_fit,

원본 1203번 줄의 .filetype = filetype_fit,는 앞의 .bootm = do_bootm_fit, 결과를 받아 다음 .check_image = fitimage_check,로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건이 유지되는지 확인한다.

1204.check_image = fitimage_check,

원본 1204번 줄의 .check_image = fitimage_check,는 앞의 .filetype = filetype_fit, 결과를 받아 다음 };로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건이 유지되는지 확인한다.

1205};

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1206(빈 줄)

};까지의 동작과 static int bootm_fit_register(void)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1207static int bootm_fit_register(void)

bootm_fit_register 함수 정의가 시작된다. 입력은 void이며, 부트 CPU의 동기 실행 문맥에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

1208{

1209return register_image_handler(&fit_handler);

register_image_handler(&fit_handler)를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 fit_handle / selected configuration / image_data를 정리하거나 다음 단계로 진행하는지 확인한다.

1210}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1211late_initcall(bootm_fit_register);

late_initcall(bootm_fit_register)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1212(빈 줄)

late_initcall(bootm_fit_register);까지의 동작과 static int fuzz_fit(const u8 *data, size_t size)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1213static int fuzz_fit(const u8 *data, size_t size)

fuzz_fit 함수 정의가 시작된다. 입력은 const u8 *data, size_t size이며, 부트 CPU의 동기 실행 문맥에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

1214{

1215const char *unit, *imgname = "kernel";

const char *unit, *imgname에 "kernel"를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1216struct fit_handle handle = {};

struct fit_handle handle = {}를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1217const void *outdata;

const void *outdata를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1218unsigned long outsize, addr;

unsigned long outsize, addr를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1219int ret;

int ret를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1220void *config;

void *config를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 fit_handle / selected configuration / image_data를 직접 소유하는지 pointer만 빌리는지, 부트 CPU의 동기 실행 문맥를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

1221(빈 줄)

void *config;까지의 동작과 handle.verbose = false;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1222handle.verbose = false;

handle.verbose에 false를 = 연산으로 반영해 fit_handle / selected configuration / image_data와 연결된 field를 갱신한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1223handle.verify = BOOTM_VERIFY_AVAILABLE;

handle.verify에 BOOTM_VERIFY_AVAILABLE를 = 연산으로 반영해 fit_handle / selected configuration / image_data와 연결된 field를 갱신한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1224(빈 줄)

handle.verify = BOOTM_VERIFY_AVAILABLE;까지의 동작과 handle.size = size;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1225handle.size = size;

handle.size에 size를 = 연산으로 반영해 fit_handle / selected configuration / image_data와 연결된 field를 갱신한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1226handle.fit = data;

handle.fit에 data를 = 연산으로 반영해 fit_handle / selected configuration / image_data와 연결된 field를 갱신한다. 바로 다음 handle.fit_alloc = NULL;가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1227handle.fit_alloc = NULL;

handle.fit_alloc에 NULL를 = 연산으로 반영해 fit_handle / selected configuration / image_data와 연결된 field를 갱신한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1228(빈 줄)

handle.fit_alloc = NULL;까지의 동작과 refcount_set(&handle.users, 1);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1229refcount_set(&handle.users, 1);

refcount_set(&handle.users, 1)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 fit_handle / selected configuration / image_data의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 image_data 항목과 대조한다.

1230(빈 줄)

refcount_set(&handle.users, 1);까지의 동작과 ret = fit_do_open(&handle);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1231ret = fit_do_open(&handle);

ret에 fit_do_open(&handle)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (ret)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1232if (ret)

ret를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1233goto out;

'goto out;'로 직선 경로를 벗어난다. 이동 대상에서 fit_handle / selected configuration / image_data에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

1234(빈 줄)

goto out;까지의 동작과 config = fit_open_configuration(&handle, NULL, NULL);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1235config = fit_open_configuration(&handle, NULL, NULL);

config에 fit_open_configuration(&handle, NULL, NULL)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (IS_ERR(config)) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1236if (IS_ERR(config)) {

IS_ERR(config)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

1237ret = fit_find_last_unit(&handle, &unit);

ret에 fit_find_last_unit(&handle, &unit)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (ret)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1238if (ret)

1239goto out;

1240config = fit_open_configuration(&handle, unit, NULL);

config에 fit_open_configuration(&handle, unit, NULL)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1241}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1242if (IS_ERR(config)) {

1243ret = PTR_ERR(config);

ret에 PTR_ERR(config)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 bootm handoff 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1244goto out;

1245}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

1246(빈 줄)

}까지의 동작과 ret = fit_open_image(&handle, config, imgname, 0, &outdata, &outsize);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 image_data 상태가 아래 블록의 입력으로 사용되는 경계다.

1247ret = fit_open_image(&handle, config, imgname, 0, &outdata, &outsize);

ret에 fit_open_image(&handle, config, imgname, 0, &outdata, &outsize)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if (ret)가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

1248if (ret)

1249goto out;

DETAILS

내부 동작을 더 깊게 읽기

진입 조건을 먼저 고정한다

FIT file에서 들어온 실행은 부트 CPU의 동기 실행 문맥에 놓여 있다. 이때 interrupt, MMU/cache, stack, heap 중 무엇이 이미 준비되었는지 소스의 호출자까지 올라가 확인한다. 같은 함수라도 SPL, relocation 전후, app thread처럼 호출 문맥이 달라지면 허용되는 API와 지연 시간이 달라진다.

configuration 서명이 선택한 subimage와 property를 실제로 묶는 범위를 확인한다. DT의 key와 required policy, 외부 data offset도 같이 본다.

중심 객체의 생성과 공개를 나눈다

이 글의 중심 객체는 fit_handle / selected configuration / image_data다. 메모리를 확보한 시점, 필드를 채운 시점, 전역 list나 다른 subsystem에 공개한 시점을 구분한다. 공개 뒤 오류가 발생한다면 목록에서 제거하고 child, buffer, reference를 역순으로 정리하는지 확인한다.

빌드 산출물 관점에서는 최종 부트로더 이미지 안에 해당 symbol과 section이 실제로 포함되었는지도 map과 objdump로 검증한다.

주소, 크기와 정렬을 계산한다

부트 코드의 오류는 논리보다 주소 계산에서 먼저 드러나는 경우가 많다. source range, destination range, header가 말하는 payload size, block 또는 page 단위를 표로 적고 각 구간의 끝 주소를 직접 계산한다. 끝 주소는 start + size - 1인지 exclusive end인지 API 계약을 확인한다.

검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다.

성공 flag와 실제 완료 시점을 맞춘다

select configuration → verify hashes/signature → load subimages 구간에서는 부분 초기화 상태가 생길 수 있다. flag, list insertion, callback 등록, storage write 완료 중 무엇이 성공의 기준인지 찾는다. hardware write나 DMA가 포함되면 함수 반환과 장치 완료가 같은 시점인지도 확인한다.

다른 CPU, interrupt handler, USB completion 또는 shell command가 상태를 관찰할 수 있다면 memory ordering과 lock 범위도 함께 읽는다.

마지막 handoff의 계약을 적는다

정상 경로는 bootm handoff에서 끝난다. 이 단계가 함수 반환인지, scheduler 전환인지, 다른 image로의 비복귀 분기인지 구분한다. 비복귀 handoff라면 cache clean/invalidate, interrupt disable, 장치 quiesce, argument register와 FDT 또는 image address가 최종 점검 항목이다.

반환하는 경로라면 caller가 오류와 부분 성공을 구분하고 다음 후보 또는 복구 경로를 선택하는지 확인한다.

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

configuration 선택과 cryptographic verification을 묶는다

default 또는 명시 configuration이 참조하는 kernel, FDT, ramdisk를 확정한 뒤 그 조합이 signature 보호 범위에 들어가는지 확인한다. subimage hash만 맞는다고 configuration property가 보호되는 것은 아니다.

public key가 든 control DT의 신뢰와 required policy를 secure boot chain에 포함한다.

external data offset을 전체 file 범위에서 검증한다

FIT 내부 property의 offset과 size를 더할 때 overflow를 막고 file/buffer end 안인지 확인한다. hash 대상 byte와 이후 copy/decompress source가 동일해야 한다.

verification 뒤 configuration이나 data pointer를 다시 선택하는 경로가 없는지 본다.

오류 뒤 unsigned fallback을 차단한다

key 없음, signature mismatch, hash 오류와 format 오류를 분리하되 secure mode에서는 모두 실행으로 이어지지 않아야 한다. 다른 handler나 raw image fallback이 verification 실패를 우회하지 않는지 bootm 상위 경로까지 추적한다.

configuration과 각 subimage를 개별 변조해 거부 지점을 기록한다.

OBJECT LIFETIME

객체와 수명

대상	만들어지는 시점	유효 범위	확인할 조건
`fit_handle / selected configuration / image_data`	select configuration	bootm handoff 또는 오류 정리 완료까지	검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다.
입력 buffer / metadata	FIT file	parse와 검증이 끝날 때까지	길이, 정렬, 소유권, 변조 가능성
등록된 list / descriptor	verify hashes/signature	subsystem 종료 또는 image handoff까지	이중 등록, dangling pointer, 오류 unwind
hardware 또는 persistent state	실제 write/probe가 완료된 뒤	reset 또는 명시적 해제·갱신까지	flush, timeout, 전원 차단, rollback
`최종 부트로더 이미지`	link/image 생성 시점	다음 stage가 새 image로 교체할 때까지	load address, entry, section과 header 일치

FAILURE PATH

실패 지점과 증상

#	조건	관찰되는 증상	먼저 볼 단계
01	required key 미설정	unsigned 허용	select configuration
02	external data bounds 오류	다른 영역 검증	verify hashes/signature
03	configuration 선택 주입	의도하지 않은 image	load subimages

로그가 끊긴 마지막 함수만 고치지 않는다. 그 함수가 받은 주소, size, flag가 만들어진 앞 단계까지 올라가고, 오류 뒤 등록 객체와 hardware 상태가 남았는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스 해석은 실제 빌드 산출물과 target 로그로 닫아야 한다. 아래 명령의 보드 이름과 toolchain prefix는 사용 중인 빌드 환경에 맞게 바꾼다.

#	목적	명령 또는 계측	판정 기준
01	빌드 구성	`make <board>_defconfig && make V=1`	Kconfig, linker section과 최종 barebox image 생성 명령을 보관한다.
02	symbol과 section	`${CROSS_COMPILE}nm -n barebox \| grep 'static int do_bootm_fit'`	initcall, command, driver descriptor가 image에 남았는지 확인한다.
03	주소와 resource	`iomem`	image, malloc, stack, device resource와 reserved 영역의 겹침을 확인한다.
04	device 상태	`devinfo; drvinfo; of_dump`	DT node 생성, device 등록, driver probe를 서로 구분한다.
05	boot 정책	`boot -d -v; state -d`	entry 탐색 결과와 persistent state가 실제 선택에 미친 영향을 확인한다.

LAB

직접 확인할 실험

01
fit_check_sign 또는 bootm verbose 결과 확인
select configuration 진입 전후에 FIT configuration의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다. 조건이 처음 깨지는 줄을 기록한다.
02
subimage 한 byte 변경 후 거부 확인
verify hashes/signature 진입 전후에 subimages의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다. 조건이 처음 깨지는 줄을 기록한다.
03
여러 configuration에서 default/explicit 선택 비교
load subimages 진입 전후에 public key의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 검증한 byte와 실제로 적재·실행하는 byte가 동일하며 실패 시 unsigned fallback이 없어야 한다. 조건이 처음 깨지는 줄을 기록한다.

PRIMARY REFERENCES

원문과 다음 글

common/image-fit.cv2026.06.1 원본 파일 Barebox source tree기준 commit 314c679eea2d