Seminar CHIPSEC – TPM, Measured Boot und Event-Log-Analyse

Das zweitägige Seminar untersucht TPM-Zustand, PCR-Banken, Event Logs und die Rekonstruktion der gemessenen Bootkette. Zwei Tage sind notwendig, weil Rohdaten, Ereignisdekodierung, PCR-Nachrechnung, Abweichungsanalyse und betriebliche Baseline gemeinsam praktisch bearbeitet werden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• TPM-Architektur, Schnittstellen, Fähigkeiten und Betriebszustand erfassen.
• PCR-Banken, Algorithmen und Messgrenzen korrekt einordnen.
• TPM-Event-Logs strukturieren und Ereignisse der Bootkette zuordnen.
• PCR-Werte aus Ereignissen nachvollziehen und Abweichungen erklären.
• Measured-Boot-Baselines, Findings und Retestregeln definieren.

Schrittweise Seminarinhalte

1. TPM-Vertrauensmodell und Schnittstellen

Schwerpunkt: TPM 2.0, Localities, CRB beziehungsweise FIFO, Fähigkeiten, Algorithmen, Ownership-Kontext, Firmware- und Betriebssystemzugriff.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „TPM-Vertrauensmodell und Schnittstellen“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von TPM 2.0, Localities, CRB beziehungsweise FIFO, Fähigkeiten, Algorithmen, Ownership-Kontext, Firmware- und Betriebssystemzugriff erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein vollständiges TPM-Kontextmodell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. TPM-Inventar und Zustandsprüfung

Schwerpunkt: Herstellerdaten, Firmwareversion, aktive Schnittstelle, PCR-Banken, unterstützte Befehle, Fehlercodes und sichere Read-only-Abfragen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „TPM-Inventar und Zustandsprüfung“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Herstellerdaten, Firmwareversion, aktive Schnittstelle, PCR-Banken, unterstützte Befehle, Fehlercodes und sichere Read-only-Abfragen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen verifizierten TPM-Inventarbericht erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

3. PCR, Hashketten und Messlogik

Schwerpunkt: PCR Extend, Bankauswahl, Hashalgorithmen, Resetverhalten, Locality, statische und dynamische Messkonzepte sowie Aussagegrenzen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „PCR, Hashketten und Messlogik“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von PCR Extend, Bankauswahl, Hashalgorithmen, Resetverhalten, Locality, statische und dynamische Messkonzepte sowie Aussagegrenzen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein nachvollziehbares PCR- und Messmodell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. Event-Log-Erfassung und Dekodierung

Schwerpunkt: Logformat, Ereignistypen, Digests, UEFI-Variablen, Images, GPT, Separatoren, Reihenfolge und fehlerhafte Einträge.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Event-Log-Erfassung und Dekodierung“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Logformat, Ereignistypen, Digests, UEFI-Variablen, Images, GPT, Separatoren, Reihenfolge und fehlerhafte Einträge erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine strukturierte Measured-Boot-Ereignisliste erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. PCR-Rekonstruktion und Abweichungsanalyse

Schwerpunkt: Nachrechnung, Bankvergleich, fehlende oder doppelte Ereignisse, Firmwareupdate, Bootoptionen, Secure-Boot-Kontext und Vergleichsplattformen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „PCR-Rekonstruktion und Abweichungsanalyse“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Nachrechnung, Bankvergleich, fehlende oder doppelte Ereignisse, Firmwareupdate, Bootoptionen, Secure-Boot-Kontext und Vergleichsplattformen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen validierten Messketten- und Abweichungsbericht erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

6. Baseline, Findings und Retest

Schwerpunkt: erwartete Ereignisse, tolerierte Varianten, Manipulationsindikatoren, Fehlklassifikation, Firmwarewechsel, Wiederholungsprüfung und Evidenz.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Baseline, Findings und Retest“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von erwartete Ereignisse, tolerierte Varianten, Manipulationsindikatoren, Fehlklassifikation, Firmwarewechsel, Wiederholungsprüfung und Evidenz in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein Measured-Boot-Baseline-Runbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erfassung von TPM-Fähigkeiten, PCR-Banken und ausgewählten PCR-Werten.
• Dekodierung eines vorbereiteten TPM-Event-Logs.
• Rekonstruktion einer PCR-Kette und Analyse einer absichtlichen Abweichung.
• Erstellung einer Baseline mit tolerierten Varianten und Retestregeln.

Zielgruppe und Voraussetzungen

Zielgruppe: Firmware und Platform Security, Endpoint Security, Trusted Computing, Incident Response und technische Revision.

Voraussetzungen: Grundkenntnisse in Hashverfahren, UEFI-Boot und Public-Key-Infrastrukturen; CHIPSEC-Grundbedienung.

Didaktik und Arbeitsweise

Der Lernpfad beginnt mit sicherer Zustandsaufnahme, führt über Ereignisdekodierung zur mathematisch nachvollziehbaren PCR-Rekonstruktion und endet mit Baseline- und Retestregeln. Vorbereitete Logs sichern reproduzierbare Übungen.