Seminar Das U-Boot: Intensivseminar Security, Updates und Trusted Boot

Einordnung

Das Intensivseminar bündelt Vertrauenskette, FIT-Verifikation, UEFI Secure Boot, TPM und Measured Boot, A/B-Updates, Android-Bootpfade, Rollbackschutz, Provisionierung und Recovery. Der Schwerpunkt liegt auf einer prüfbaren Sicherheits- und Updatearchitektur statt auf isolierten Einzelmaßnahmen.

Inhaltsübersicht

• Bedrohungsmodell und Vertrauenskette erstellen
• FIT-Verifikation umsetzen
• Verified Boot und Rollbackschutz gestalten
• UEFI Secure Boot integrieren
• TPM und Measured Boot aufbauen
• A/B-Updates ausfallsicher gestalten
• Android- und Geräteupdates einbinden
• Provisionierung und Schlüsselbetrieb planen
• Security-Freigabe und Recovery testen
• Praxisübungen
• Lernziele

Zielgruppe und Vorkenntnisse

Zielgruppe: Embedded Security Engineering, BSP- und Plattformteams, Firmware- und Updateentwicklung, Product Security, technische Architektur und Qualitätssicherung.
Vorkenntnisse: Gute U-Boot-, Linux-, Build- und Device-Tree-Kenntnisse sowie Grundlagen zu asymmetrischer Kryptografie, Hashes, Zertifikaten und Bedrohungsmodellen.

1. Bedrohungsmodell und Vertrauenskette erstellen

Schutzbedarf, Angreiferfähigkeiten und vertrauenswürdige Startstufen werden eindeutig festgelegt.

1. Schritt 1: Bootartefakte, Schlüssel und Debugzugänge inventarisieren.
2. Schritt 2: Vertrauensanker und Übergabepunkte der Bootkette markieren.
3. Schritt 3: Akzeptierte Fehlerreaktionen und Recoveryrechte definieren.

2. FIT-Verifikation umsetzen

Hashes, Signaturen und Schlüsselübergabe werden in einen prüfbaren Imagepfad integriert.

1. Schritt 1: Signierbare FIT-Knoten und Konfigurationen festlegen.
2. Schritt 2: Öffentlichen Schlüssel in den geschützten Control-Devicetree einbringen.
3. Schritt 3: Gültige, manipulierte und falsch signierte Images testen.

3. Verified Boot und Rollbackschutz gestalten

Authentizität wird mit Versions- und Zustandskontrolle verbunden.

1. Schritt 1: Verifizierte Bootstufen und zulässige Images definieren.
2. Schritt 2: Versionszähler und minimale akzeptierte Version festlegen.
3. Schritt 3: Recovery und Schlüsselwechsel ohne Abschwächung der Vertrauenskette planen.

4. UEFI Secure Boot integrieren

EFI-Anwendungen, Datenbanken und Boot Manager werden in die Plattformstrategie eingebunden.

1. Schritt 1: Schlüsselhierarchie und Datenbanken für Produktionszustände definieren.
2. Schritt 2: Signierte EFI-Anwendungen und nicht autorisierte Images prüfen.
3. Schritt 3: Setup-, Audit-, User- und Recoveryzustand kontrolliert testen.

5. TPM und Measured Boot aufbauen

Messungen, PCRs und Ereignisprotokoll ergänzen Verifikation um nachweisbare Startzustände.

1. Schritt 1: Messpunkte und zugehörige Artefakte festlegen.
2. Schritt 2: PCR-Auswahl und Ereignisprotokoll konsistent konfigurieren.
3. Schritt 3: Erwartete und manipulierte Bootpfade anhand der Messwerte vergleichen.

6. A/B-Updates ausfallsicher gestalten

Slot-Status, Bootversuche, Erfolgsmarkierung und Rückfall werden als Zustandsmaschine implementiert.

1. Schritt 1: Partitionen, Metadaten und atomare Zustandswechsel definieren.
2. Schritt 2: Bootcount, Bootlimit und Erfolgsmeldung mit Slot-Auswahl verbinden.
3. Schritt 3: Stromausfall, beschädigtes Image und unvollständige Metadaten testen.

7. Android- und Geräteupdates einbinden

Android-Boot-Images und generische Gerätestrategien werden mit Verifikation und A/B-Logik verbunden.

1. Schritt 1: Boot-, Vendor-Boot- und Recoveryartefakte den Slots zuordnen.
2. Schritt 2: Android-Bootflow und allgemeine Bootflow-Methoden kontrolliert priorisieren.
3. Schritt 3: Updateerfolg, Recovery und Factory-Reset voneinander abgrenzen.

8. Provisionierung und Schlüsselbetrieb planen

Entwicklungsschlüssel werden von Produktionsschlüsseln, Rollen und Auditnachweisen getrennt.

1. Schritt 1: Schlüsselrollen, Lebenszyklen und Zugriffsrechte definieren.
2. Schritt 2: Signierprozess und optionale Hardware-Sicherheitsmodule hostseitig integrieren.
3. Schritt 3: Sperrung, Rotation und Verlustfall mit dokumentierten Verfahren testen.

9. Security-Freigabe und Recovery testen

Negative Tests, Fehlerreaktionen und Serviceprozesse schließen die Sicherheitsarchitektur ab.

1. Schritt 1: Manipulation, Downgrade, Slotfehler und ungültige EFI-Anwendung simulieren.
2. Schritt 2: Logs und Fehlermeldungen auf Informationsabfluss prüfen.
3. Schritt 3: Freigabematrix mit Wiederherstellung, Schlüsselwechsel und Produktionszustand abnehmen.

Praxisübungen

• Aufbau einer signierten FIT-Bootkette mit negativen Signaturtests.
• Entwurf und Test eines A/B-Updatezustandsmodells mit Rollbackschutz.
• Measured-Boot-Labor mit PCR- und Ereignisprotokollvergleich.

Lernziele

• Eine durchgängige U-Boot-Vertrauenskette entwerfen und prüfen.
• FIT-Verifikation, Verified Boot und UEFI Secure Boot korrekt einordnen.
• TPM-Messungen und Ereignisprotokolle für Attestierung vorbereiten.
• A/B-Updates mit Rollback- und Stromausfallschutz umsetzen.
• Provisionierung, Schlüsselbetrieb, Recovery und Securitytests verbinden.