Seminar Trusted Firmware-A – Secure Partition Manager und FF-A

Die Schulung behandelt FF-A als standardisierte Kommunikations- und Lebenszyklusgrundlage für Secure Partitions. TF-A wird als Secure Partition Manager Core beziehungsweise als Bindeglied zu einem SPMC betrachtet. Manifest, Partitionserkennung, Direct Messaging, Shared Memory, Interrupts, Scheduling und Fehlerbehandlung werden in einer durchgehenden Laborumgebung umgesetzt.

Inhaltsübersicht

1. FF-A-Architektur und SPM-Modelle
2. Build- und Bootintegration
3. Partition Manifest
4. Partition Discovery und Versionierung
5. Direct Messaging
6. Shared Memory
7. Notifications und Interrupts
8. Scheduling und Ausführungskontexte
9. Speicher- und Geräteisolation
10. Fehleranalyse und Kompatibilität
11. Gesamtübung

Lernziele

• FF-A-Komponenten, Endpunkte, Versionen und Verantwortungsmodelle sicher unterscheiden.
• Secure-Partition-Manifeste und Bootreihenfolgen korrekt erstellen und validieren.
• Direkte Nachrichten, Shared-Memory-Transaktionen und Notifications implementieren.
• Interrupt-, Scheduling- und Laufzeitverhalten mehrerer Partitionen analysieren.
• FF-A-Systeme mit Isolationstests, Negativfällen und Kompatibilitätsprüfungen absichern.

Seminarinhalte

1. FF-A-Architektur und SPM-Modelle

1. Schritt 1: Normal World, Secure World, SPMC, SPMD und Secure Partitions werden funktional abgegrenzt.
2. Schritt 2: S-EL1- und S-EL2-Varianten werden nach Isolation, Scheduling und Plattformanforderung verglichen.
3. Schritt 3: Der konkrete Aufrufpfad wird für die gewählte Referenzarchitektur festgelegt.

Praxis: Ein Komponenten- und Aufrufdiagramm für zwei SPM-Varianten wird erstellt.

2. Build- und Bootintegration

1. Schritt 1: TF-A-, SPMC- und Secure-Partition-Artefakte werden mit kompatiblen Versionen gebaut.
2. Schritt 2: FIP- und Ladebeziehungen werden so angelegt, dass jedes Image eindeutig adressiert und geprüft wird.
3. Schritt 3: Bootlogs werden pro Komponente markiert und in eine gemeinsame Zeitleiste gebracht.

Praxis: Eine Umgebung mit SPMC und einer ersten Secure Partition wird reproduzierbar gestartet.

3. Partition Manifest

1. Schritt 1: UUID, Execution Contexts, Speicherregionen, Geräte und Interrupts werden deklariert.
2. Schritt 2: Berechtigungen und Abhängigkeiten werden auf das notwendige Minimum begrenzt.
3. Schritt 3: Parser- und Laufzeitvalidierung behandeln fehlende, doppelte und widersprüchliche Angaben.

Praxis: Ein Manifest wird erstellt und mit mehreren absichtlichen Fehlern validiert.

4. Partition Discovery und Versionierung

1. Schritt 1: FF-A-Version und Feature-Fähigkeiten werden zwischen Endpunkten ausgehandelt.
2. Schritt 2: Partition Info und UUID-basierte Suche werden auf Sichtbarkeit und Rechte geprüft.
3. Schritt 3: Nicht unterstützte Features führen zu einem definierten Fallback oder Abbruch.

Praxis: Ein Client entdeckt nur die für ihn sichtbaren Partitionen und prüft deren Fähigkeiten.

5. Direct Messaging

1. Schritt 1: Synchronous Direct Requests und Responses werden mit korrekter Registerbelegung aufgebaut.
2. Schritt 2: Aufrufrichtung, Reentrancy und verschachtelte Kommunikation werden begrenzt.
3. Schritt 3: Fehler, Busy-Zustände und ungültige Endpunkte werden eindeutig zurückgegeben.

Praxis: Zwei Partitionen tauschen direkte Nachrichten aus und behandeln einen Busy-Fall.

6. Shared Memory

1. Schritt 1: Donate, Lend und Share werden nach Ownership und Zugriffsrechten unterschieden.
2. Schritt 2: Descriptoren, Empfängerrechte und Fragmentierung werden vollständig validiert.
3. Schritt 3: Retrieve, Relinquish und Reclaim schließen den Lebenszyklus ohne Restzugriffe ab.

Praxis: Eine fragmentierte Shared-Memory-Transaktion wird durchgeführt und ordnungsgemäß zurückgenommen.

7. Notifications und Interrupts

1. Schritt 1: Notification-Bitmaps, Bindung und Zustellung werden pro Endpunkt konfiguriert.
2. Schritt 2: Virtuelle und physische Interrupts werden ihrer Partition und Priorität zugeordnet.
3. Schritt 3: Verlorene, doppelte oder maskierte Ereignisse werden über definierte Tests erkannt.

Praxis: Eine Partition verarbeitet Notification und Interrupt in kontrollierter Reihenfolge.

8. Scheduling und Ausführungskontexte

1. Schritt 1: Execution Contexts, VCPU-Zuordnung und Run/Wait-Zustände werden verfolgt.
2. Schritt 2: Preemption, Yield und Blockierung werden mit der SPMC-Schedulingstrategie abgestimmt.
3. Schritt 3: Mehrkernbetrieb wird auf Datenrennen und falsche Kontextzuordnung geprüft.

Praxis: Zwei Partitionen werden unter konkurrierender Last beobachtet und stabilisiert.

9. Speicher- und Geräteisolation

1. Schritt 1: Stage-1- und Stage-2-Rechte werden mit dem Manifest abgeglichen.
2. Schritt 2: Gerätezugriff, DMA und gemeinsam genutzte Puffer werden in das Bedrohungsmodell aufgenommen.
3. Schritt 3: Unerlaubte Zugriffe müssen deterministisch blockiert und diagnostizierbar sein.

Praxis: Eine Isolationstestreihe prüft Speicher-, Geräte- und Endpunktgrenzen.

10. Fehleranalyse und Kompatibilität

1. Schritt 1: FF-A-Fehlercodes werden von SPMC- und Partitionfehlern unterschieden.
2. Schritt 2: Versions- und Featurekombinationen werden in einer Kompatibilitätsmatrix getestet.
3. Schritt 3: Logs aus TF-A, SPMC und Partitionen werden über Transaktionskennungen korreliert.

Praxis: Ein fehlerhafter Shared-Memory-Fall wird schichtübergreifend diagnostiziert.

11. Gesamtübung

1. Schritt 1: Eine zweite Partition wird mit eigenem Manifest und eingeschränkten Ressourcen ergänzt.
2. Schritt 2: Discovery, Direct Messaging, Shared Memory und Notification werden in einem Ablauf kombiniert.
3. Schritt 3: Positive und negative Tests bilden eine reproduzierbare Abnahme.

Praxis: Ein vollständiger FF-A-Dienst wird integriert, getestet und dokumentiert.

Zielgruppe

Firmware- und Secure-World-Entwickler, Trusted-OS-Teams, Plattformarchitekten, Security Engineers und Integratoren von Secure Partitions.

Voraussetzungen

Sehr gute TF-A- und AArch64-Kenntnisse, Secure-World-Grundlagen, C-Programmierung, Verständnis von MMU, Interrupts und Multicore-Ausführung.

Praxisumgebung

Linux-Arbeitsplatz mit TF-A, SPMC oder geeignetem Trusted OS, Secure-Partition-Beispielen, AArch64-Toolchain sowie FVP oder kompatibler Hardware.