Seminar Trusted Firmware-A – Trusted Board Boot und Chain of Trust

Die Schulung führt von der Root of Trust über Zertifikate und Schlüssel bis zur authentisierten TF-A-Bootkette. Vertrauensanker, CoT-Beschreibung, Image-Zertifikate, FIP-Integration, Rollback-Schutz, Schlüsselrotation, Entwicklungs- und Produktionsprofile sowie absichtliche Prüfungsfehler werden in einer vollständigen Laborstrecke umgesetzt.

Inhaltsübersicht

1. Vertrauensmodell und Root of Trust
2. Schlüssel- und Zertifikatsstruktur
3. CoT-Beschreibung in TF-A
4. Zertifikats- und FIP-Erzeugung
5. Bootseitige Authentisierung
6. Rollback-Schutz
7. Schlüsselrotation und Widerruf
8. Entwicklungs-, Fertigungs- und Produktionsprofile
9. Negativtests und Abnahme

Lernziele

• Root of Trust, Zertifikatskette und Imageauthentisierung als Gesamtprozess planen.
• TF-A Chain-of-Trust-Beschreibung und Zertifikatswerkzeuge korrekt konfigurieren.
• Schlüssel und Zertifikate sicher erzeugen, einbinden, rotieren und widerrufen.
• Rollback-Schutz und Versionsrichtlinien in Boot und Update integrieren.
• Positive und negative Bootfälle bis zur kontrollierten Freigabe testen.

Seminarinhalte

1. Vertrauensmodell und Root of Trust

1. Schritt 1: Boot-ROM, unveränderlicher Schlüsselhash und erste verifizierte Stufe werden eindeutig festgelegt.
2. Schritt 2: Angreifer gegen Bootmedium, Images und Konfiguration werden getrennt betrachtet.
3. Schritt 3: Vertrauensanker und Änderungsprozesse erhalten technische und organisatorische Eigentümer.

Praxis: Eine Chain-of-Trust-Grafik mit allen Vertrauensankern wird erstellt.

2. Schlüssel- und Zertifikatsstruktur

1. Schritt 1: Root-, Plattform- und Image-Schlüssel werden nach Zweck und Lebensdauer getrennt.
2. Schritt 2: Zertifikate binden Hashes, Schlüssel und sicherheitsrelevante Parameter aneinander.
3. Schritt 3: Test- und Produktionsschlüssel werden in getrennten Umgebungen und Pfaden geführt.

Praxis: Ein vollständiger Schlüsselsatz mit dokumentierter Rollenverteilung wird erzeugt.

3. CoT-Beschreibung in TF-A

1. Schritt 1: Authentisierungsobjekte und Abhängigkeiten werden den Boot-Images zugeordnet.
2. Schritt 2: Hash-, Signatur- und Public-Key-Methoden werden korrekt kombiniert.
3. Schritt 3: Fehlende oder zyklische Beziehungen werden durch Validierung früh erkannt.

Praxis: Ein zusätzliches Plattformimage wird in die Vertrauenskette aufgenommen.

4. Zertifikats- und FIP-Erzeugung

1. Schritt 1: Buildparameter, Zertifikatswerkzeug und FIP-Erzeugung werden in reproduzierbarer Reihenfolge ausgeführt.
2. Schritt 2: Zertifikate und Images werden auf Zuordnung, Algorithmus und erwarteten Digest geprüft.
3. Schritt 3: Das resultierende Paket wird unabhängig vom Buildprozess inspiziert.

Praxis: Ein authentisiertes FIP-Paket wird gebaut und vollständig inventarisiert.

5. Bootseitige Authentisierung

1. Schritt 1: Image wird vor Nutzung geladen, authentisiert und erst danach an die nächste Stufe übergeben.
2. Schritt 2: Authentisierungsmetadaten werden gegen Puffergrenzen und erwartete Image-ID geprüft.
3. Schritt 3: Fehler führen zu einem kontrollierten Abbruch ohne Ausführung teilweise geprüfter Daten.

Praxis: Ein erfolgreicher und ein absichtlich fehlgeschlagener Boot werden bis zum Prüfentscheid verfolgt.

6. Rollback-Schutz

1. Schritt 1: Sicherheitsversion und Softwareversion werden nach ihrer Aufgabe getrennt.
2. Schritt 2: Nicht flüchtige Zähler oder Plattformdienste werden in die Authentisierungsentscheidung eingebunden.
3. Schritt 3: Update, Recovery und Fertigung beachten dieselbe Mindestversionsrichtlinie.

Praxis: Ein älteres, korrekt signiertes Image wird durch eine Rollback-Richtlinie abgewiesen.

7. Schlüsselrotation und Widerruf

1. Schritt 1: Geplante Rotation wird von kompromissbedingtem Widerruf unterschieden.
2. Schritt 2: Übergangsphasen unterstützen alte und neue Vertrauensanker nur innerhalb klarer Grenzen.
3. Schritt 3: Recovery bleibt möglich, ohne einen widerrufenen Schlüssel wieder zu akzeptieren.

Praxis: Ein Rotationsszenario wird mit zwei Releasegenerationen durchgespielt.

8. Entwicklungs-, Fertigungs- und Produktionsprofile

1. Schritt 1: Schlüsselquellen, Debugoptionen und Zertifikatserzeugung werden pro Lebenszykluszustand festgelegt.
2. Schritt 2: Unsichere Entwicklungsvereinfachungen dürfen nicht still in Produktionsbuilds gelangen.
3. Schritt 3: Build- und Provisionierungsgates prüfen den vorgesehenen Produktzustand.

Praxis: Ein Produktionsprofil wird gegen typische Fehlkonfigurationen abgesichert.

9. Negativtests und Abnahme

1. Schritt 1: Manipuliertes Image, falsches Zertifikat, unbekannter Schlüssel und Rollback werden einzeln getestet.
2. Schritt 2: Fehlerausgabe bleibt eindeutig, ohne vertrauliche Schlüssel- oder Speicherinformationen offenzulegen.
3. Schritt 3: Freigabenachweise verbinden Buildmanifest, Zertifikatsinventar und Testergebnis.

Praxis: Eine vollständige Chain-of-Trust-Abnahme wird mit mehreren Negativfällen durchgeführt.

Zielgruppe

Firmware- und Security-Entwickler, PKI- und Provisionierungsteams, Plattformarchitekten, SoC-Integratoren und Verantwortliche für Secure-Boot-Freigaben.

Voraussetzungen

TF-A-Boot- und Buildkenntnisse, Kryptografie- und PKI-Grundlagen, sichere Linux-Shell-Nutzung und Verständnis von Schlüsselmanagement.

Praxisumgebung

Linux-Arbeitsplatz mit TF-A, OpenSSL-kompatiblen Werkzeugen, TF-A-Zertifikats- und FIP-Tools, AArch64-Toolchain sowie QEMU oder FVP.