בדיקת VTS באמצעות דיסק RAM לניפוי באגים

קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

ב-Android 10, תמונת מערכת גנרית (GSI) שמשמשת להפעלה בוצע שינוי בבדיקת התאימות של CTS-on-GSI/VTS מ-userdebug לסוג build של משתמש כדי לקבל חתימה. זהו עבור בדיקת VTS מכיוון ש-VTS דורש adb root לפעול, אבל האפליקציה adb root לא זמינה במכשיר build של משתמש.

ה-ramdisk לניפוי באגים (או קובץ האימג' של ניפוי באגים) נועד להפעיל את adb root במכשיר build של משתמש שתוכנת האתחול שלו לא נעולה. זה מפשט את הבדיקה באמצעות אותו build של GSI system.img עבור CTS-on-GSI. VTS-on-GSI. להגדרת STS, שימוש ב-OEM (יצרן ציוד מקורי אחר לניפוי באגים) system.img עדיין תקף נדרש.

בטבלה הבאה מוצגים השינויים בסוגים של קובצי אימג' ו-build לצורך בדיקת תאימות ב-Android 10.

סקירה כללית

קובצי התמונות הנוספים האלה נוצרים בתיקיית ה-build‏ (${ANDROID_PRODUCT_OUT}):

• boot-debug.img
• vendor_boot-debug.img

כשמבצעים את הפלאש של boot-debug.img במחיצה boot של המכשיר, נטענים הגרסה של userdebug לקובץ ה-sepolicy של המערכת וקובץ מאפיינים נוסף, adb_debug.prop. כך אפשר להשתמש ב-adb root עם גרסת ה-build של המשתמש system.img (או GSI או OEM).

בתמונה גנרית של ליבה (GKI) במכשירים עם מחיצה vendor_boot, אסור לבצע איפוס (flash) של boot-debug.img, כי צריך לבצע איפוס של המחיצה boot באמצעות תמונת GKI מאושרת. במקום זאת, צריך להבהב את vendor_boot-debug.img אל vendor_boot כדי להקל על ניפוי באגים ramdisk.

דרישות מוקדמות לשימוש ב-ramdisk לניפוי באגים

RAMdisk לניפוי באגים מסופק על ידי ה-OEM (יצרן הציוד המקורי) שמפרסם את בדיקות התאימות. אסור שהיא תהיה חתומה כגרסה זמינה, וניתן להשתמש בה רק אם המכשיר לא נעול.

לא ייוצר דיסק RAM לניפוי באגים ולא ישמש לשדרוג מכשירים עם:

• BOARD_BUILD_SYSTEM_ROOT_IMAGE נכון
• skip_initramfs בשורת הפקודה בליבה (kernel)

Android 12 GSI

אין צורך בהוראות נוספות כדי להשתמש ב-ramdisk לניפוי באגים עם GSI של Android 12.

החל מ-29/09/2021, אין יותר צורך לעדכן ramdisk עם ניפוי באגים באמצעות repack_bootimg. גרסה זמנית של Android 12 GSI אחרי SGR1.210929.001 (7777720) משלבת את הקובץ המעודכן userdebug_plat_sepolicy.cil ב-system.img שלה ומתעלמת מ-userdebug_plat_sepolicy.cil מ-ramdisk של ניפוי הבאגים. לצפייה CLs עבור פרטים.

Android 11 GSI

כשמשתמשים ב-boot-debug.img או ב-vendor_boot-debug.img, מדיניות האבטחה של המערכת נטענת מהקובץ userdebug_plat_sepolicy.cil בדיסק ה-RAM לצורכי ניפוי באגים של ה-boot-debug.img או ה-vendor_boot-debug.img. כדי להפעיל את GSI של המדיניות הזו, תמיד צריך לשלב שינויי מדיניות עדכניים android11-gsi הסתעפות כדי לבנות מחדש את boot-debug.img או את vendor_boot-debug.img.

לחלופין, אפשר להשתמש בכלי repack_bootimg כדי ליצור מחדש boot-debug.img או vendor_boot-debug.img עם מדיניות אבטחה מעודכנת של GSI.

אריזה מחדש של דיסק RAM לניפוי באגים

במקום לשלב שינויים במדיניות כדי לבנות מחדש את boot-debug.img, השותפים יכול להשתמש ב-repack_bootimg כדי לעדכן את קובץ המדיניות של GSI ל-boot-debug.img (או vendor_boot-debug.img אם המכשיר משתמש ב-GKI).

השלבים הם:

1. מורידים את otatools.zip מ-https://ci.android.com. מומלץ להוריד מהארכיונים של ה-build של aosp_arm64-userdebug ב-aosp-main.

2. מגדירים את סביבת ההפעלה של repack_bootimg:

   unzip otatools.zip -d otatools
   export PATH="${PWD}/otatools/bin:${PATH}"
   repack_bootimg --help

3. ניתן להוריד את userdebug_plat_sepolicy.cil או boot-with-debug-ramdisk-${KERNEL_VERSION}.img מגרסת ה-build של GSI באמצעות. לדוגמה, אם אתם משתמשים בזרוע 64 GSI מ- RJR1.211020.001 (7840830), ולאחר מכן הורדה מ: https://ci.android.com/builds/submitted/7840830/aosp_arm64-user/previous.

4. מעדכנים את המכשיר boot-debug.img או vendor_boot-debug.img באמצעות userdebug_plat_sepolicy.cil:

   repack_bootimg --local --dst_bootimg boot-debug.img \
       --ramdisk_add userdebug_plat_sepolicy.cil:userdebug_plat_sepolicy.cil \
       --ramdisk_add userdebug_plat_sepolicy.cil:first_stage_ramdisk/userdebug_plat_sepolicy.cil
   # If using GKI
   repack_bootimg --local --dst_bootimg vendor_boot-debug.img \
       --ramdisk_add userdebug_plat_sepolicy.cil:userdebug_plat_sepolicy.cil \
       --ramdisk_add userdebug_plat_sepolicy.cil:first_stage_ramdisk/userdebug_plat_sepolicy.cil

   עם boot-with-debug-ramdisk-${KERNEL_VERSION}.img:

   repack_bootimg --src_bootimg boot-with-debug-ramdisk-5.4.img \
       --dst_bootimg boot-debug.img \
       --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:userdebug_plat_sepolicy.cil \
       --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:first_stage_ramdisk/userdebug_plat_sepolicy.cil
   # If using GKI
   repack_bootimg --src_bootimg boot-with-debug-ramdisk-5.4.img \
       --dst_bootimg vendor_boot-debug.img \
       --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:userdebug_plat_sepolicy.cil \
       --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:first_stage_ramdisk/userdebug_plat_sepolicy.cil

   אפשר לשנות את הארגומנטים של --ramdisk_add בהתאם למכשיר הגדרות אישיות. מידע מפורט זמין בקטע הבא הסברנו.

נתיב של מדיניות ניפוי הבאגים של המשתמש

האפשרות שצוינה למעלה מסוג repack_bootimg מעתיקה את הקובץ userdebug_plat_sepolicy.cil סולם של --src_bootimg ל-Radisk של --dst_bootimg. עם זאת, הנתיב ב-ramdisk של ניפוי באגים עשוי להיות שונה בגרסאות שונות של Android. לחשבון Android בגרסאות 10 ו-11, הנתיב הוא first_stage_ramdisk/userdebug_plat_sepolicy.cil למכשירים עם androidboot.force_normal_boot=1 בשורת הפקודה בליבה (kernel). אחרת, הפרמטר הנתיב הוא userdebug_plat_sepolicy.cil.

מריצים את הפקודה הבאה כדי לבדוק אם הערך androidboot.force_normal_boot מופיע בשורת הפקודה של הליבה:

adb root
adb shell cat /proc/cmdline | grep force_normal_boot

החל מגרסה 12 של Android, הנתיב ב-ramdisk לניפוי באגים הוא תמיד userdebug_plat_sepolicy.cil, ללא קשר לקיום של androidboot.force_normal_boot=1 בשורת הפקודה של הליבה. הבאים טבלה שמציגה את הנתיבים ב-Radisk של ניפוי באגים בגרסאות שונות של Android.

אפשר לציין את --ramdisk_add להעתקה של קבצים ולנתיבים שונים באמצעות רשימה של src_path:dst_path צמדים. לדוגמה, הפקודה הבאה מעתיקה את הקובץ first_stage_ramdisk/userdebug_plat_sepolicy.cil מהמכשיר boot-with-debug-ramdisk-5.4.img עם Android 11 אל first_stage_ramdisk/userdebug_plat_sepolicy.cil בתוך המכשיר vendor_boot-debug.img עם Android 11.

repack_bootimg \
    --src_bootimg boot-with-debug-ramdisk-5.4.img \
    --dst_bootimg vendor_boot-debug.img \
    --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:first_stage_ramdisk/userdebug_plat_sepolicy.cil

אם הערך androidboot.force_normal_boot=1 לא מופיע בשורת הפקודה של הליבה, צריך לשנות את הפקודה כפי שמתואר בהמשך כדי לשנות את נתיב היעד ל-userdebug_plat_sepolicy.cil.

repack_bootimg \
    --src_bootimg boot-with-debug-ramdisk-5.4.img \
    --dst_bootimg vendor_boot-debug.img \
    --ramdisk_add first_stage_ramdisk/userdebug_plat_sepolicy.cil:userdebug_plat_sepolicy.cil

הוספת כותרת תחתונה של AVB

אם התמונה שהועברה אל --dst_bootimg מוגדרת כמחיצה מקושרת ב-AVB, צריך להוסיף כותרת תחתונה של AVB אחרי שמריצים את הפקודה repack_bootimg.

לדוגמה, לפני שמריצים את repack_bootimg, מריצים את הפקודה הבאה כדי לבדוק אם ל-vendor_boot-debug.img יש כותרת תחתונה של AVB בשרשרת.

avbtool info_image --image vendor_boot-debug.img

אם במקור יש לו כותרת תחתונה של AVB מקושרת, צריך להוסיף כותרת תחתונה של AVB אחרי הרצת הפקודה repack_bootimg. שימוש במפתח בדיקה כדי לחתום על vendor_boot-debug.img פועל מפני שניתן להשתמש ב-ramdisk של ניפוי באגים רק כאשר המכשיר לא נעול, ולכן מתאפשרת תמונות חתומות של מפתחות שלא פורסמו ב-boot או מחיצה vendor_boot.

avbtool add_hash_footer --partition_name vendor_boot \
    --partition_size 100663296 \
    --algorithm SHA256_RSA4096 \
    --key otatools/external/avb/test/data/testkey_rsa4096.pem \
    --image vendor_boot-debug.img