Seminar OpenTitan – Darjeeling und integrierte Root of Trust

Darjeeling ist für die Einbettung in ein größeres SoC ausgelegt. Damit verschieben sich die Sicherheitsgrenzen: Host-Prozessoren, gemeinsame Speicher, Resetdomänen, Interconnects und Dienstschnittstellen müssen ausdrücklich in das Root-of-Trust-Modell aufgenommen werden.

Das Seminar führt von der Variantenentscheidung über die Top-Level-Integration bis zu Hostdiensten, Bootmessung und Integrationsverifikation. Besonderes Gewicht liegt auf der sauberen Trennung zwischen sicherer Ausführung, Hostanforderungen und gemeinsam genutzten Ressourcen.

Inhaltsübersicht

• Seminarziel
• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
  • Einsatzmodell und Sicherheitsgrenzen
  • Top-Level-Bausteine und Adressräume
  • Mailbox und Dienstschnittstellen
  • DMA, Speicher und RACL
  • Bootmessung und Attestierung im Hostsystem
  • Integration, Verifikation und Bring-up
• Praxisübungen

Seminarziel

Eine Darjeeling-basierte Root of Trust soll in eine SoC-Architektur eingebettet, mit kontrollierten Dienstschnittstellen versehen und durch ein überprüfbares Reset-, Zugriffsschutz- und Verifikationskonzept abgesichert werden können.

Zielgruppe

SoC-Architekten, RTL-Entwickler, Plattform-Security-Teams, Firmwareentwickler, Interconnect- und Power-Management-Spezialisten, Verifikationsingenieure und technische Projektleiter.

Voraussetzungen

Sichere Kenntnisse zu SoC-Architekturen, Speicherabbildung, Busprotokollen, Reset- und Clockdomänen. OpenTitan-Grundlagen und grundlegende Hardware-Sicherheitskenntnisse werden vorausgesetzt.

Lernziele

• Darjeeling gegenüber einer diskreten Earl-Grey-Lösung abgrenzen
• Host- und Root-of-Trust-Grenzen in einem SoC festlegen
• Mailbox-, DMA- und Zugriffskontrollpfade sicher entwerfen
• Bootmessung, Attestierung und Firmwaredienste in die Plattform integrieren
• Top-Level-Verifikation und Systemtests für Integrationsrisiken planen

Seminarinhalte

Schritt 1: Einsatzmodell und Sicherheitsgrenzen

1. SoC Root of Trust, Platform Root of Trust und chipletbezogene Varianten unterscheiden
2. Vertrauenswürdige und nicht vertrauenswürdige Master, Speicher und Peripherien erfassen
3. Angriffswege über Interconnect, Debug, Reset, DMA und gemeinsam genutzte Ressourcen markieren
4. Sicherheitsdienste und Verantwortlichkeiten zwischen Host und Darjeeling verteilen

Schritt 2: Top-Level-Bausteine und Adressräume

1. Rechenwerk, interne Speicher, Kryptografie und Sicherheitscontroller einordnen
2. Hostseitige und interne Adressräume trennen und Zugriffsregeln definieren
3. Interrupt-, Alert-, Clock- und Resetverbindungen vollständig erfassen
4. Variantenabhängige IP-Blöcke und Integrationsparameter dokumentieren

Schritt 3: Mailbox und Dienstschnittstellen

1. Anfrage-, Antwort- und Zustandsmodelle für eine sichere Mailbox festlegen
2. Nachrichtenlängen, Ownership, Timeouts und Fehlerbehandlung definieren
3. Dienste wie Hashing, Signaturprüfung, Schlüsselableitung und Attestierung abgrenzen
4. Missbrauch durch untrusted Hosts mit Quoten, Zustandsautomaten und Zugriffskontrollen begrenzen

Schritt 4: DMA, Speicher und RACL

1. DMA-Quellen, Ziele und zulässige Transferbereiche festlegen
2. Rollen- und Kontextinformationen im Interconnect für Zugriffskontrollen nutzen
3. Integrität, Vertraulichkeit und Race Conditions bei gemeinsamem Speicher analysieren
4. Fehler, Abbruch, Reset und Wiederanlauf von Transfers sicher behandeln

Schritt 5: Bootmessung und Attestierung im Hostsystem

1. Host-Bootkomponenten, Debugzustand und Konfiguration als Messobjekte festlegen
2. Messreihenfolge und Übergabe der Kontrollverantwortung definieren
3. Attestierungsnachweise mit Plattformzuständen und Richtlinien verbinden
4. Update-, Recovery- und Ownership-Fälle in das Messmodell aufnehmen

Schritt 6: Integration, Verifikation und Bring-up

1. Top-Level-Testplan für Reset, Zugriffe, Mailbox, DMA und Eskalation erstellen
2. Simulation, FPGA und Siliziumtests nach Integrationsrisiko staffeln
3. Fehler-Injektion an Vertrauensgrenzen und Interconnects einplanen
4. Bring-up-Messpunkte, Diagnosezugänge und Freigabekriterien definieren

Praxisübungen

1. Ein SoC-Blockbild mit Darjeeling, Hostprozessoren, Speicher und Sicherheitsgrenzen erstellen
2. Eine Mailbox-Dienstschnittstelle einschließlich Zustands- und Fehlerfällen spezifizieren
3. RACL- und DMA-Regeln für mehrere Hostrollen entwerfen
4. Einen Integrations-Testplan für Reset, Bootmessung und Attestierung aufstellen