Seminar PTXdist Intensivseminar – Security, Updates und Lifecycle

Das Intensivseminar verbindet Produkthärtung, Schlüsselmanagement, Code Signing, sichere Bootkette, RAUC-Updates und langfristige Wartung. Sicherheitsmechanismen werden von der Bedrohungsanalyse bis zum Updatebetrieb in den PTXdist-Build- und Freigabeprozess eingebettet.

Inhaltsverzeichnis

1. Einordnung und Zielbild
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Thematische Module
   1. Bedrohungsmodell und Schutzobjekte
   2. Härtung der PTXdist-Plattform
   3. Schlüsselrollen und Signaturanbieter
   4. Signieren von Kernelmodulen und Systemartefakten
   5. FIT und sichere Bootkette
   6. RAUC-Systemdesign und Slotmodell
   7. Bundle-Erzeugung und Signatur
   8. Installation, Bootbestätigung und Rollback
   9. CI-Gates und Lieferkettenschutz
   10. Betrieb, Schlüsselrotation und Vorfälle
   11. Migration und langfristige Wartung
   12. Durchgängiges Security- und Updatelabor
6. Praxisarbeiten
7. Qualitätssicherung

Einordnung und Zielbild

Das Intensivseminar verbindet Produkthärtung, Schlüsselmanagement, Code Signing, sichere Bootkette, RAUC-Updates und langfristige Wartung. Sicherheitsmechanismen werden von der Bedrohungsanalyse bis zum Updatebetrieb in den PTXdist-Build- und Freigabeprozess eingebettet.

Zielgruppe

Security-Engineers, BSP-Entwickler, Update- und Release-Verantwortliche, Embedded-Linux-Architekten sowie Betreiber vernetzter Geräteflotten.

Voraussetzungen

Gute PTXdist- und Embedded-Linux-Grundkenntnisse, Verständnis von Bootloader, Kernel, Images und Public-Key-Kryptografie; Linux-Administration wird vorausgesetzt.

Lernziele

• Schutzbedarf und Vertrauensgrenzen eines Embedded-Linux-Produkts bestimmen.
• Schlüsselrollen, Signaturanbieter und sichere Buildzugriffe entwerfen.
• Kernelmodule, FIT- und weitere Systemartefakte signieren und verifizieren.
• RAUC-basierte A/B-Updates mit Signatur, Bootstatus und Rollback integrieren.
• Security- und Updateprozesse über Release, Rotation, Betrieb und Migration pflegen.

Thematische Module

1. Bedrohungsmodell und Schutzobjekte

Dieser Baustein behandelt Bootkette, Buildsystem, Updatekanal, Schlüssel, Gerätedaten, Angreiferfähigkeiten, Manipulation und Rollback. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Bootkette, Buildsystem, Updatekanal, Schlüssel, Gerätedaten, Angreiferfähigkeiten, Manipulation und Rollback festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Bootkette, Buildsystem, Updatekanal, Schlüssel, Gerätedaten, Angreiferfähigkeiten, Manipulation und Rollback mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

2. Härtung der PTXdist-Plattform

Dieser Baustein behandelt minimale Paketauswahl, Dienste, Debugfunktionen, Benutzer, Rechte, Kerneloptionen und Compilerhärtung. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für minimale Paketauswahl, Dienste, Debugfunktionen, Benutzer, Rechte, Kerneloptionen und Compilerhärtung festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für minimale Paketauswahl, Dienste, Debugfunktionen, Benutzer, Rechte, Kerneloptionen und Compilerhärtung mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

3. Schlüsselrollen und Signaturanbieter

Dieser Baustein behandelt Entwicklung, Test, Release, Update, Produktion, Dateischlüssel, Softwaretoken, PKCS#11 und HSM. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Entwicklung, Test, Release, Update, Produktion, Dateischlüssel, Softwaretoken, PKCS#11 und HSM festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Entwicklung, Test, Release, Update, Produktion, Dateischlüssel, Softwaretoken, PKCS#11 und HSM mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

4. Signieren von Kernelmodulen und Systemartefakten

Dieser Baustein behandelt Signaturrolle, Buildschritt, Zertifikat, Artefakt, Verifikationsstelle, Positiv- und Negativtest. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Hardware- und Bootanforderungen für Signaturrolle, Buildschritt, Zertifikat, Artefakt, Verifikationsstelle, Positiv- und Negativtest aus Boardunterlagen, Konfiguration und Referenzstand erfassen.
2. Wirksame PTXdist-Regel, Quellversion, Konfiguration, Patchserie und erzeugte Bootartefakte eindeutig zuordnen.
3. Die kleinste notwendige Änderung an Bootloader, Kernelkonfiguration, Patch oder Hardwarebeschreibung implementieren.
4. Nur die betroffenen Komponenten neu bauen und Version, Größe, Ladeadresse sowie Inhalt der Artefakte kontrollieren.
5. Serielle Ausgabe, Kernelmeldungen, laufenden Device Tree und Treiberzustand auf dem Zielsystem prüfen.
6. Den Kontrollpunkt für Signaturrolle, Buildschritt, Zertifikat, Artefakt, Verifikationsstelle, Positiv- und Negativtest mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

5. FIT und sichere Bootkette

Dieser Baustein behandelt Kernel, Device Trees, Ramdisk, Hashes, Signaturknoten, Vertrauensanker, Manipulations- und Fallbacktest. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Hardware- und Bootanforderungen für Kernel, Device Trees, Ramdisk, Hashes, Signaturknoten, Vertrauensanker, Manipulations- und Fallbacktest aus Boardunterlagen, Konfiguration und Referenzstand erfassen.
2. Wirksame PTXdist-Regel, Quellversion, Konfiguration, Patchserie und erzeugte Bootartefakte eindeutig zuordnen.
3. Die kleinste notwendige Änderung an Bootloader, Kernelkonfiguration, Patch oder Hardwarebeschreibung implementieren.
4. Nur die betroffenen Komponenten neu bauen und Version, Größe, Ladeadresse sowie Inhalt der Artefakte kontrollieren.
5. Serielle Ausgabe, Kernelmeldungen, laufenden Device Tree und Treiberzustand auf dem Zielsystem prüfen.
6. Den Kontrollpunkt für Kernel, Device Trees, Ramdisk, Hashes, Signaturknoten, Vertrauensanker, Manipulations- und Fallbacktest mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

6. RAUC-Systemdesign und Slotmodell

Dieser Baustein behandelt System-, Boot- und Datenbereiche, Kompatibilitätsklasse, Bootstatus, Versuche, Markierung und Stromausfall. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für System-, Boot- und Datenbereiche, Kompatibilitätsklasse, Bootstatus, Versuche, Markierung und Stromausfall festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für System-, Boot- und Datenbereiche, Kompatibilitätsklasse, Bootstatus, Versuche, Markierung und Stromausfall mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

7. Bundle-Erzeugung und Signatur

Dieser Baustein behandelt Manifest, PTXdist-Images, Version, Kompatibilität, Zielslots, Release-Rolle, Zertifikat und Prüfsummen. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Manifest, PTXdist-Images, Version, Kompatibilität, Zielslots, Release-Rolle, Zertifikat und Prüfsummen festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Manifest, PTXdist-Images, Version, Kompatibilität, Zielslots, Release-Rolle, Zertifikat und Prüfsummen mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

8. Installation, Bootbestätigung und Rollback

Dieser Baustein behandelt inaktiver Slot, Bootloaderstatus, Gesundheitsprüfung, good-Markierung, Fehlerstart und Rückfall. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Eingaben und erwarteten Zielinhalt für inaktiver Slot, Bootloaderstatus, Gesundheitsprüfung, good-Markierung, Fehlerstart und Rückfall festlegen.
2. Paketregel, Kconfig-Symbol, Quellenstand, Prüfsumme, Lizenz und deklarierte Abhängigkeiten zuordnen.
3. Betroffene Paketstufe isoliert ausführen und Quell-, Build-, Installations- sowie Target-Verzeichnis untersuchen.
4. Regel, Patch oder Konfiguration minimal ändern und nur den erforderlichen Paketstatus verwerfen.
5. Buildlog, installierte Dateien, Rechte, Architektur und dynamische Abhängigkeiten gegen den Sollzustand prüfen.
6. Den Kontrollpunkt für inaktiver Slot, Bootloaderstatus, Gesundheitsprüfung, good-Markierung, Fehlerstart und Rückfall mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

9. CI-Gates und Lieferkettenschutz

Dieser Baustein behandelt sauberer Build, Manifest, SBOM, Lizenzdaten, Security-Bewertung, geschützter Signierjob und Archivierung. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Eingaben, Varianten, Abhängigkeiten und Freigabekriterien für sauberer Build, Manifest, SBOM, Lizenzdaten, Security-Bewertung, geschützter Signierjob und Archivierung eindeutig definieren.
2. Runner, Arbeitsverzeichnisse, Toolchain, Downloads, Caches und Ausgaben voneinander isolieren und versionieren.
3. Build- und Teststufen mit klaren Ein- und Ausgaben sowie nicht umgehbaren Fehlerbedingungen aufbauen.
4. Logs, Prüfsummen, Metadaten und Artefakte je Quellstand und Konfigurationskombination erfassen.
5. Pipeline in frischer Umgebung wiederholen, Cacheeinflüsse prüfen und einen absichtlichen Fehler bis zur Ursache verfolgen.
6. Den Kontrollpunkt für sauberer Build, Manifest, SBOM, Lizenzdaten, Security-Bewertung, geschützter Signierjob und Archivierung mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

10. Betrieb, Schlüsselrotation und Vorfälle

Dieser Baustein behandelt Gültigkeitszeiträume, Überlappung, Pilotgruppe, Sperrung, Ersatzpfad, Auditdaten und Ursachenanalyse. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Gültigkeitszeiträume, Überlappung, Pilotgruppe, Sperrung, Ersatzpfad, Auditdaten und Ursachenanalyse festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Gültigkeitszeiträume, Überlappung, Pilotgruppe, Sperrung, Ersatzpfad, Auditdaten und Ursachenanalyse mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

11. Migration und langfristige Wartung

Dieser Baustein behandelt PTXdist-, Kernel-, Toolchain- und Kryptografieversion, Testumgebung, Kompatibilität, Rollout und Wartungszweig. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Ausgangsstand, lokale Abweichungen, Abhängigkeiten und Freigabekriterien für PTXdist-, Kernel-, Toolchain- und Kryptografieversion, Testumgebung, Kompatibilität, Rollout und Wartungszweig vollständig inventarisieren.
2. Zielstand, Zwischenstände, Rückfallpunkt und Reihenfolge der zu migrierenden Komponenten festlegen.
3. Konfigurationen, Regeln und Patches einzeln anpassen und jede Änderung mit einem isolierten Build prüfen.
4. Gesamtprojekt aus sauberer Umgebung bauen und Images, ABI, Dateisystembelegung sowie Laufzeit gegen die Baseline vergleichen.
5. Releasekandidat, Prüfsummen, Metadaten, Regressionstests, Rollbackweg und Wartungszuständigkeit dokumentieren.
6. Den Kontrollpunkt für PTXdist-, Kernel-, Toolchain- und Kryptografieversion, Testumgebung, Kompatibilität, Rollout und Wartungszweig mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

12. Durchgängiges Security- und Updatelabor

Dieser Baustein behandelt Bedrohungsmodell, Schlüsselmodell, Signatur, A/B-Bundle, Installation, Manipulation, Stromausfall, Rollback und Rotation. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Bedrohungsmodell, Schlüsselmodell, Signatur, A/B-Bundle, Installation, Manipulation, Stromausfall, Rollback und Rotation festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Bedrohungsmodell, Schlüsselmodell, Signatur, A/B-Bundle, Installation, Manipulation, Stromausfall, Rollback und Rotation mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

Praxisarbeiten

• Erstellung eines Schutz- und Schlüsselrollenmodells.
• Konfiguration eines PKCS#11-Testtokens.
• Signatur und Negativprüfung eines Boot- oder Kernelartefakts.
• Aufbau eines A/B-Slotlayouts und eines signierten RAUC-Bundles.
• Simulation von Stromunterbrechung und Rollback.
• Planung und Test einer Schlüsselrotation.

Qualitätssicherung

Die Bearbeitung wird anhand eindeutiger Eingaben, nachvollziehbarer Konfigurationsänderungen, gezielter Builds, geprüfter Artefakte, dokumentierter Tests und eines sauberen Wiederholungsbuilds bewertet.