]> git.ipfire.org Git - thirdparty/u-boot.git/commit
fit: support signing with only an engine_id
authorQuentin Schulz <quentin.schulz@cherry.de>
Fri, 21 Nov 2025 17:14:57 +0000 (18:14 +0100)
committerTom Rini <trini@konsulko.com>
Sat, 6 Dec 2025 17:43:08 +0000 (11:43 -0600)
commit5207e1ff20ff26e0f3969b13701bb38610183c6a
treebbe87b47a9b88cbdd09d35ba1df78989c7f185f5
parent07436b5778fc7b920d9c93f8aa4c14987b17a443
fit: support signing with only an engine_id

Currently, when one wants to use an OpenSSL engine to sign a FIT image,
one needs to pass a keydir (via -k) to mkimage which will then be
prepended to the value of the key-name-hint before being passed as
key_id argument to the OpenSSL Engine API, or pass a keyfile (via -G) to
mkimage.

My OpenSSL engine only has "slots" which are not mapped like
directories, so using keydir is not proper, though I could simply have
-k '' I guess but this won't work currently with binman anyway.

Additionally, passing a keyfile (-G) when using an engine doesn't make
sense as the key is stored in the engine.

Let simply allow FIT images be signed if both keydir and keyfile are
missing but an engine is to be used.

The keyname member is already filled by looking at key-name-hint
property in the FIT and passed to the engine, which is exactly what is
needed here.

Reviewed-by: Wolfgang Wallner <wolfgang.wallner@br-automation.com>
Reviewed-by: Simon Glass <sjg@chromium.org>
Signed-off-by: Quentin Schulz <quentin.schulz@cherry.de>
tools/fit_image.c
tools/image-host.c