Seminar Das U-Boot: Secure Boot, Verified Boot, TPM und Measured Boot

Einordnung

Das Seminar entwickelt eine durchgängige Bootvertrauenskette für U-Boot-basierte Geräte. FIT-Signaturen, Verified Boot, UEFI Secure Boot, TPM, PCRs, Ereignisprotokolle, Measured Boot, Schlüsselprovisionierung, Rollbackschutz, negative Tests und Recovery werden tiefgehend umgesetzt.

Inhaltsübersicht

• Bedrohungsmodell erstellen
• Root of Trust und Schlüsselhierarchie planen
• FIT-Signaturen implementieren
• Verified Boot und VBE gestalten
• UEFI Secure Boot einsetzen
• TPM-Grundlagen und Zugriff einrichten
• Measured Boot und Event Log aufbauen
• Rollback- und Anti-Downgrade-Schutz integrieren
• Provisionierung und Produktionsbetrieb absichern
• Negative Tests und Recovery durchführen
• Praxisübungen
• Lernziele

Zielgruppe und Vorkenntnisse

Zielgruppe: Embedded Security Engineering, BSP- und Plattformentwicklung, Product Security, Firmwarearchitektur, Gerätehersteller und technische Qualitätssicherung.
Vorkenntnisse: Sehr gute U-Boot-, Linux-, Build- und Device-Tree-Kenntnisse sowie solide Grundlagen zu Hashes, asymmetrischer Kryptografie, Zertifikaten und Bedrohungsmodellen.

1. Bedrohungsmodell erstellen

Schutzbedarf, Angreiferfähigkeiten und zulässige Wartungswege werden klar definiert.

1. Schritt 1: Bootartefakte, Schlüssel, Debugschnittstellen und Produktionsdaten inventarisieren.
2. Schritt 2: Manipulation, Austausch, Downgrade und physische Angriffe priorisieren.
3. Schritt 3: Sicherheitsziele und akzeptierte Recoveryrechte dokumentieren.

2. Root of Trust und Schlüsselhierarchie planen

Vertrauensanker, Schlüsselrollen und Lebenszyklen werden auf Produktphasen abgebildet.

1. Schritt 1: Root-, Signier-, Update- und Recoveryrollen trennen.
2. Schritt 2: Öffentliche Schlüssel an geschützte Firmwarestufen binden.
3. Schritt 3: Rotation, Sperrung, Verlust und Entwicklungsübergang planen.

3. FIT-Signaturen implementieren

U-Boot-Images und Konfigurationen werden hostseitig signiert und zielseitig verifiziert.

1. Schritt 1: Hash- und Signaturknoten in der FIT-Beschreibung anlegen.
2. Schritt 2: Schlüsselmaterial und Control-Devicetree reproduzierbar erzeugen.
3. Schritt 3: Gültige, manipulierte und mit falschem Schlüssel signierte Images testen.

4. Verified Boot und VBE gestalten

Die Verifikation wird über mehrere Bootstufen und Imageauswahlregeln fortgeführt.

1. Schritt 1: Verifizierte Artefakte und ihre Abhängigkeiten festlegen.
2. Schritt 2: Auswahl, Metadaten und Versionen gegen Manipulation schützen.
3. Schritt 3: Fehlerreaktion zwischen Fallback, Recovery und endgültiger Sperre abgrenzen.

5. UEFI Secure Boot einsetzen

EFI-Anwendungen und Boot Manager werden in eine kontrollierte Schlüssel- und Datenbankstruktur eingebunden.

1. Schritt 1: Platform Key, Key Exchange Keys und erlaubte beziehungsweise gesperrte Signaturen planen.
2. Schritt 2: Signierte EFI-Anwendung starten und nicht autorisierte Binärdatei ablehnen.
3. Schritt 3: Setup-, User-, Audit- und Recoveryzustände testen.

6. TPM-Grundlagen und Zugriff einrichten

TPM-Gerät, Befehle und Ressourcen werden für den Bootprozess verfügbar gemacht.

1. Schritt 1: TPM-Treiber, Bus und Device-Tree-Bindung prüfen.
2. Schritt 2: Initialisierung, Selbsttest und PCR-Auslese durchführen.
3. Schritt 3: Fehlendes oder nicht reagierendes TPM in den Sicherheitszustand einbeziehen.

7. Measured Boot und Event Log aufbauen

Geladene Artefakte werden in definierte PCRs gemessen und im Ereignisprotokoll nachvollziehbar erfasst.

1. Schritt 1: Messreihenfolge, PCR-Zuordnung und Artefaktgrenzen festlegen.
2. Schritt 2: Messungen für Firmware, Konfiguration und Betriebssystemartefakte ausführen.
3. Schritt 3: Event Log und PCR-Werte nach unverändertem und manipuliertem Start vergleichen.

8. Rollback- und Anti-Downgrade-Schutz integrieren

Authentische, aber veraltete Images werden durch monotone Zustände oder Versionen ausgeschlossen.

1. Schritt 1: Sicherheitsversion und minimale akzeptierte Version definieren.
2. Schritt 2: Speicherort und atomare Aktualisierung des Zählers festlegen.
3. Schritt 3: Update, Recovery und Schlüsselrotation gegen Downgrade testen.

9. Provisionierung und Produktionsbetrieb absichern

Entwicklungs-, Fertigungs- und Feldzustände erhalten getrennte Regeln und Nachweise.

1. Schritt 1: Schlüsselgenerierung, Signierung und Zugriffsrechte dokumentieren.
2. Schritt 2: Debugzugänge, Schreibschutz und Security-State in der Fertigung setzen.
3. Schritt 3: Seriennummer, Schlüsselversion und Freigaben auditierbar erfassen.

10. Negative Tests und Recovery durchführen

Die Sicherheitsarchitektur wird durch bewusste Manipulation und Wiederherstellung validiert.

1. Schritt 1: Signatur-, Hash-, Versions-, TPM- und EFI-Datenbankfehler simulieren.
2. Schritt 2: Informationsabfluss und Fehlermeldungen auf unnötige Details prüfen.
3. Schritt 3: Autorisierte Recovery und Schlüsselwechsel ohne Vertrauensbruch testen.

Praxisübungen

• Aufbau einer signierten FIT-Bootkette mit geschütztem öffentlichen Schlüssel.
• Measured-Boot-Labor mit TPM, PCRs und Ereignisprotokoll.
• Negative Testmatrix für Manipulation, Downgrade, falsche Schlüssel und Recovery.

Lernziele

• Ein belastbares Bedrohungsmodell und eine Schlüsselhierarchie entwickeln.
• FIT-Signaturen, Verified Boot und UEFI Secure Boot implementieren.
• TPM und Measured Boot mit PCRs und Event Log aufbauen.
• Rollback- und Downgradeschutz in Updates integrieren.
• Provisionierung, negative Tests und autorisierte Recovery produktionsreif gestalten.