Seminar CHIPSEC – Intensivseminar Firmware, Bootkette und Plattformschutz

Das fünftägige Intensivseminar fasst Grundlagen, Installation, ACPI und S3, SPI- und BIOS-Schutz, CPU- und Microcodeprüfung, TPM und Measured Boot sowie UEFI, Secure Boot und NVRAM zusammen. Es bildet den vollständigen Qualifizierungsweg für Firmware-, Bootketten- und Plattformschutz-Assessments.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Eine sichere CHIPSEC-Laborumgebung aufbauen und Plattformzustände reproduzierbar erfassen.
• Firmwaretabellen, SPI-Flash, BIOS-Schreibschutz und Bootkettenkontrollen umfassend bewerten.
• CPU-, Microcode-, TPM- und Measured-Boot-Zustände in das Vertrauensmodell integrieren.
• UEFI-Variablen, Secure-Boot-Schlüssel und S3-Resume-Schutz prüfen.
• Alle Befunde in eine belastbare Plattformbaseline mit Maßnahmen und Retests überführen.

Schrittweise Seminarinhalte

1. Plattformarchitektur und sichere Laborbasis

Schwerpunkt: CPU, Chipsatz, SPI, UEFI, SMM, TPM, IOMMU, Betriebssystem, Vertrauensgrenzen, Installation und Recovery.

1. Ausgangslage, Plattformvoraussetzungen, Recovery-Ziel und Abnahmekriterien für „Plattformarchitektur und sichere Laborbasis“ festlegen.
2. Benötigte Komponenten und Abhängigkeiten anhand von CPU, Chipsatz, SPI, UEFI, SMM, TPM, IOMMU, Betriebssystem, Vertrauensgrenzen, Installation und Recovery in einer Installationscheckliste erfassen.
3. Die Umgebung schrittweise aufbauen; nach jedem Änderungsschritt einen dokumentierten Funktions- und Rückfallpunkt prüfen.
4. Treiber, Helper, Rechte, Plattformdetektion, Logging und read-only Hardwarezugriff mit Positiv- und Negativfällen validieren.
5. Als Arbeitsergebnis ein vollständiges Plattform- und Labormodell dokumentieren und für eine reproduzierbare Wiederholung freigeben.

2. CHIPSEC-Basislauf und Plattformerkennung

Schwerpunkt: Module, Utility, Helper, Treiber, Plattformcode, Konfiguration, Logging, Ergebnisstatus und read-only Sicherheitsregeln.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „CHIPSEC-Basislauf und Plattformerkennung“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Module, Utility, Helper, Treiber, Plattformcode, Konfiguration, Logging, Ergebnisstatus und read-only Sicherheitsregeln erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen reproduzierbaren Basislauf erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

3. ACPI, SMBIOS und WSMT

Schwerpunkt: Tabellenerfassung, Prüfsummen, sicherheitsrelevante Tabellen, Geräte- und Speicherbezug, WSMT-Aussagen und Plausibilitätsprüfung.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „ACPI, SMBIOS und WSMT“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Tabellenerfassung, Prüfsummen, sicherheitsrelevante Tabellen, Geräte- und Speicherbezug, WSMT-Aussagen und Plausibilitätsprüfung erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine validierte Firmwaretabellenanalyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. S3-Resume und Boot-Scripts

Schwerpunkt: Wake-Vektoren, Boot-Script-Speicherlage, Opcode-Klassen, Dispatch-Ziele, Schutzgrenzen und Resume-Retest.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „S3-Resume und Boot-Scripts“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Wake-Vektoren, Boot-Script-Speicherlage, Opcode-Klassen, Dispatch-Ziele, Schutzgrenzen und Resume-Retest erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen belastbaren S3-Sicherheitsbefund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. SPI-Flash und Firmware-Descriptor

Schwerpunkt: sicherer Dump, Descriptor, Regionen, Master-Rechte, Security Override, Controllerzustand und Imageprüfung.

1. Untersuchungsauftrag, Originalquelle, Schutzbedarf und Beweissicherungsregeln für „SPI-Flash und Firmware-Descriptor“ festlegen.
2. Artefakte anhand von sicherer Dump, Descriptor, Regionen, Master-Rechte, Security Override, Controllerzustand und Imageprüfung read-only erfassen, hashen, beschriften und getrennt vom Arbeitsmaterial ablegen.
3. Strukturen und Inhalte schrittweise dekodieren; Parserfehler und nicht interpretierbare Bereiche gesondert kennzeichnen.
4. Auffälligkeiten durch Vergleich, Zweiterfassung und Kontextdaten verifizieren; Fehlalarme nachvollziehbar ausschließen.
5. Als Arbeitsergebnis eine vollständige SPI- und Descriptoranalyse mit Evidenzkette, Bewertung und Retestempfehlung erstellen.

6. BIOS-Schreibschutz und Protected Ranges

Schwerpunkt: BLE, BIOSWE, SMM_BWP, EISS, Locks, Top Swap, Range-Abdeckung, Lücken und Updatepfade.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „BIOS-Schreibschutz und Protected Ranges“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von BLE, BIOSWE, SMM_BWP, EISS, Locks, Top Swap, Range-Abdeckung, Lücken und Updatepfade erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen priorisierten BIOS-Schutzbefund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

7. CPU, Microcode und Sicherheitsregister

Schwerpunkt: CPUID, Topologie, Microcode, Feature-Control, CET, ausgewählte Mitigationen und Konsistenz über logische Prozessoren.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „CPU, Microcode und Sicherheitsregister“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von CPUID, Topologie, Microcode, Feature-Control, CET, ausgewählte Mitigationen und Konsistenz über logische Prozessoren erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine CPU- und Microcode-Baseline erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

8. TPM, PCR und Measured Boot

Schwerpunkt: TPM-Schnittstelle, Fähigkeiten, PCR-Banken, Event Logs, Messkette, Rekonstruktion und Abweichungsanalyse.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „TPM, PCR und Measured Boot“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von TPM-Schnittstelle, Fähigkeiten, PCR-Banken, Event Logs, Messkette, Rekonstruktion und Abweichungsanalyse erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine verifizierte Measured-Boot-Analyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

9. UEFI, Secure Boot und NVRAM

Schwerpunkt: Variablen, Attribute, PK, KEK, db, dbx, Authentisierung, Schlüsselketten, NVRAM-Schutz und Fehlerfälle.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „UEFI, Secure Boot und NVRAM“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Variablen, Attribute, PK, KEK, db, dbx, Authentisierung, Schlüsselketten, NVRAM-Schutz und Fehlerfälle erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen vollständigen Secure-Boot- und NVRAM-Befund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

10. Gesamtbaseline, Maßnahmen und Retest

Schwerpunkt: Evidenz, Risikobewertung, Plattformvarianten, Firmwareupdate, Maßnahmen, Kompensationen, Retest und Betriebsübergabe.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Gesamtbaseline, Maßnahmen und Retest“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von Evidenz, Risikobewertung, Plattformvarianten, Firmwareupdate, Maßnahmen, Kompensationen, Retest und Betriebsübergabe in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein integriertes Firmware- und Bootketten-Assessment dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Aufbau und Abnahme einer sicheren CHIPSEC-Laborumgebung.
• Erfassung und Bewertung von ACPI-, SMBIOS- und S3-Artefakten.
• Analyse eines SPI-Abbilds, des Descriptors und der BIOS-Schutzmechanismen.
• Erstellung einer CPU- und Microcode-Baseline.
• Rekonstruktion einer TPM- und Measured-Boot-Messkette.
• Prüfung von Secure-Boot-Variablen und Erstellung einer Gesamtbaseline.

Zielgruppe und Voraussetzungen

Zielgruppe: Firmware Security, BIOS Engineering, Plattformarchitektur, Product Security, technische Revision und Incident Response.

Voraussetzungen: Solide Grundlagen in Betriebssystemen, Firmware und x86-Plattformen; sichere Administration und Zugriff auf freigegebene Laborhardware.

Didaktik und Arbeitsweise

Die Laborarbeit beginnt strikt read-only und wird täglich durch Baseline- und Retestschritte abgesichert. Der Lernpfad folgt der realen Vertrauenskette von Hardware und Firmwaretabellen über persistenten Flash bis zu Bootmessung und Secure-Boot-Konfiguration.