Компания Raspberry Pi представила крупное обновление программного обеспечения rpi-sb-provisioner, предназначенного для подготовки устройств с поддержкой безопасной загрузки (Secure Boot). Новая версия упрощает создание более сложных образов операционной системы и позволяет масштабно разворачивать Raspberry Pi Connect.
Впервые rpi-sb-provisioner был выпущен в 2024 году как инструмент, позволяющий подготавливать устройства Raspberry Pi с включенными Secure Boot и полным шифрованием диска (Full Disk Encryption) простым и предсказуемым способом.
За прошедшее время проект значительно развился благодаря отзывам пользователей. Если первоначально он представлял собой набор shell-скриптов и вспомогательных утилит, то теперь это полноценная система с производственной базой данных, журналом аудита и веб-интерфейсом. Все изменения были реализованы с учетом практических задач, возникающих при массовом производстве устройств.
Разработчики отмечают, что подготовка операционной системы — лишь часть процесса создания устройств на базе Raspberry Pi. Поэтому rpi-sb-provisioner был интегрирован с другими инструментами экосистемы Raspberry Pi.
Интеграция с Raspberry Pi Connect
Одним из ключевых нововведений версии 2.3 стала интеграция с Raspberry Pi Connect для организаций.
Пользователи активно применяют Raspberry Pi Connect для удаленного управления устройствами, однако при массовом развертывании ручная привязка каждого устройства становится непрактичной. Новая версия автоматически назначает каждому устройству постоянную неизменяемую идентичность (immutable identity) и связывает его с корпоративной учетной записью Raspberry Pi Connect.
Такой подход позволяет сохранить привязку устройства даже после обновления операционной системы, восстановления заводских настроек или повторной установки системы.
Гибкая подготовка образов с помощью Image Description Provisioning
Ранее rpi-sb-provisioner был ориентирован преимущественно на стандартные образы Raspberry Pi OS, созданные с использованием pi-gen.
После многочисленных запросов пользователей была реализована технология Image Description Provisioning (IDP), разработанная в составе rpi-image-gen и интегрированная в rpi-sb-provisioner 2.3.
Благодаря IDP инструмент превратился из решения с фиксированными возможностями в полностью программируемую систему подготовки устройств. Теперь можно описывать практически любые параметры будущего образа, включая структуру разделов, их типы и дополнительные атрибуты.
Кроме того, технология позволяет использовать операционные системы, созданные не только средствами rpi-image-gen. Если структуру образа можно описать, система сможет выполнить его подготовку.
Для удобства выбора образов интерфейс rpi-sb-provisioner 2.3 отображает расширенные метаданные, позволяющие проверить конфигурацию перед началом массового производства.
Использование rpi-fw-crypto
В новой версии также используется механизм rpi-fw-crypto, который позволяет применять асимметричную криптографию без раскрытия уникального приватного ключа устройства, записываемого в процессе подготовки.
Эта технология применяется сразу в двух направлениях.
На сервере подготовки устройств она используется для шифрования и привязки материалов цифровой подписи (PEM-файлов или PIN-кодов аппаратных криптомодулей HSM) к конкретному серверу.
На самих устройствах криптографический материал участвует в формировании ключа полного шифрования диска. Это возможно как при использовании готовой среды предварительной аутентификации, так и собственной среды, созданной с помощью rpi-image-gen.
В интерфейсе выбора ключей Secure Boot теперь отображаются отпечаток ключа (hash) и информация о его состоянии шифрования, что снижает вероятность ошибки при записи ключей на устройства.
Дальнейшее развитие
Разработчики сообщают, что rpi-sb-provisioner продолжит активно развиваться. Приоритетом остается учет отзывов пользователей и совершенствование процесса массового производства устройств на базе Raspberry Pi.
Компания также напоминает, что проекты rpi-sb-provisioner, rpi-fw-crypto и rpi-image-gen распространяются с открытым исходным кодом, а подробная документация по массовому развертыванию устройств с использованием Raspberry Pi Connect доступна на официальном сайте Raspberry Pi.
