Se cancelli tutto quanto c'è in /overlay o pialli del tutto mtd2 ottieni un device come mamma l'ha fatto, al primo avvio pensa lui a formattarla in jffs2. Qualsiasi a accesso in scrittura si traduce nell'apparizione di qualcosa nella partizione di overlay.
Riguardo le chiavi, ci sono di mezzo molte chiavi diverse, di sicuro la OSIK è salvata nell'eripv2, ma credo sia usata solo per la verifica della firma dei file RBI. Poi c'è la EIK, anch'essa nell'eripv2, con la quale sono firmati vari pezzi dell'eripv2 stessa. La firma applicata al contenuto delle due partizioni mtd3 e 4 penso venga verificata con un'altra sua antenata di cui non ricordo il nome (edit: si chiama MCV) o con una ancora precedente. Ovviamente ogni chiave è firmata a sua volta da quella da cui dipende, come in ogni implementazione di Secure Boot che si rispetti, alla fine finisci sempre a dover patchare il bootloader, che ovviamente è a due stadi, il primo spacchetta il secondo in ram e gli passa il controllo. Tutto il meccanismo di sicurezza è implementato nel secondo stadio, quindi dovresti: studiarti il secondo stadio disassemblato (è una versione custom di CFE), capire quali chiavi usa a monte e dove le prende, se sono fuse nel SoC (per me improbabile, perchè le chiavi asimmtriche sono un po' troppo lunghe per starci dentro) hai finito di giocare, se non lo sono allora puoi sostituirle, a quel punto reimpacchetti il secondo stadio, carichi l'immagine del primo stadio patchato in mtd0 e l'intera partizione mtd5 rifirmata con le tue chiavi, incroci le dita e riavvii il device, se non parte perchè hai sbagliato qualcosa, e non ti eri fatto un dump grezzo via hardware della nand (quello ad alto livello con dd di mtd0 non vale) puoi anche buttarlo.
