Seminar CHIPSEC – BIOS-Schreibschutz, SPI-Flash und Firmware-Descriptor

Das zweitägige Seminar untersucht den Schutz der persistenten Firmware vom SPI-Controller bis zu den einzelnen Flash-Regionen. Der erste Tag dient dem sicheren Lesen, Dekodieren und Bewerten; der zweite Tag verbindet Lock-Prüfungen, Protected Ranges, Descriptor-Rechte und Recovery-Planung. Schreib- und Löschfunktionen bleiben auf ausdrücklich freigegebene Laborobjekte beschränkt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• SPI-Controller, Flash-Descriptor, Regionen und Zugriffsrechte technisch einordnen.
• BIOS-Schreibschutz, SMM-basierte Schutzmechanismen und Protected Ranges bewerten.
• Firmwareabbilder sicher erfassen, segmentieren und auf Konsistenz prüfen.
• Fehlkonfigurationen wie offene Descriptor-Rechte, fehlende Locks oder unvollständige Abdeckung erkennen.
• Einen risikoarmen Prüf- und Wiederherstellungsprozess für Firmware-Assessments aufbauen.

Schrittweise Seminarinhalte

1. SPI-Architektur und Firmwarelayout

Schwerpunkt: SPI-Controller, Descriptor, BIOS-, Management-, GbE- und weitere Regionen, Master-Rechte, Protected Ranges und Lock-Zustände.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „SPI-Architektur und Firmwarelayout“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von SPI-Controller, Descriptor, BIOS-, Management-, GbE- und weitere Regionen, Master-Rechte, Protected Ranges und Lock-Zustände erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein vollständiges SPI- und Regionsmodell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. Sichere Erfassung des Flash-Inhalts

Schwerpunkt: Read-only-Vorprüfung, Plattformfreigabe, Dump-Strategie, Dateigröße, Prüfsummen, Mehrfachaufnahme und sichere Ablage.

1. Untersuchungsauftrag, Originalquelle, Schutzbedarf und Beweissicherungsregeln für „Sichere Erfassung des Flash-Inhalts“ festlegen.
2. Artefakte anhand von Read-only-Vorprüfung, Plattformfreigabe, Dump-Strategie, Dateigröße, Prüfsummen, Mehrfachaufnahme und sichere Ablage read-only erfassen, hashen, beschriften und getrennt vom Arbeitsmaterial ablegen.
3. Strukturen und Inhalte schrittweise dekodieren; Parserfehler und nicht interpretierbare Bereiche gesondert kennzeichnen.
4. Auffälligkeiten durch Vergleich, Zweiterfassung und Kontextdaten verifizieren; Fehlalarme nachvollziehbar ausschließen.
5. Als Arbeitsergebnis einen verifizierten Firmware-Dump-Prozess mit Evidenzkette, Bewertung und Retestempfehlung erstellen.

3. Descriptor und Regionsrechte auswerten

Schwerpunkt: Regionstabellen, Lese- und Schreibrechte, Security Override, Master-Zuordnung, ungenutzte Regionen und Abweichungen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Descriptor und Regionsrechte auswerten“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Regionstabellen, Lese- und Schreibrechte, Security Override, Master-Zuordnung, ungenutzte Regionen und Abweichungen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine nachvollziehbare Descriptor-Berechtigungsanalyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. BIOS-Schreibschutz und Controller-Locks

Schwerpunkt: BIOSWE, BLE, SMM_BWP, EISS, Controller Lock, Top Swap, BIOS Interface Lockdown und plattformspezifische Kontrollen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „BIOS-Schreibschutz und Controller-Locks“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von BIOSWE, BLE, SMM_BWP, EISS, Controller Lock, Top Swap, BIOS Interface Lockdown und plattformspezifische Kontrollen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen belastbaren Schreibschutzbefund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. Protected Ranges und Abdeckung

Schwerpunkt: Start- und Endgrenzen, Überlappungen, Lücken, BIOS-Region, Updatepfade und Schutz während der Laufzeit.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Protected Ranges und Abdeckung“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Start- und Endgrenzen, Überlappungen, Lücken, BIOS-Region, Updatepfade und Schutz während der Laufzeit erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine grafische Abdeckungs- und Lückenanalyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

6. Recovery, Retest und Betriebsfreigabe

Schwerpunkt: Golden Image, externe Programmierung, Wiederanlauf, Firmwareupdate, Retest, Evidenz und Eskalation bei instabilen Plattformen.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Recovery, Retest und Betriebsfreigabe“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von Golden Image, externe Programmierung, Wiederanlauf, Firmwareupdate, Retest, Evidenz und Eskalation bei instabilen Plattformen in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein sicheres SPI-Prüf- und Recovery-Runbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erfassung und Prüfsummenvergleich eines SPI-Abbilds im Read-only-Verfahren.
• Dekodierung eines vorbereiteten Flash-Descriptors und Bewertung der Regionsrechte.
• Analyse von BIOS-Schreibschutz, Controller-Locks und Protected Ranges.
• Erstellung eines Recovery- und Retestplans für eine fehlerhaft geschützte Plattform.

Zielgruppe und Voraussetzungen

Zielgruppe: Firmware Security, BIOS Engineering, Hardware Security, Incident Response, Plattformbetrieb und technische Revision.

Voraussetzungen: Grundkenntnisse in UEFI-Firmware, x86-Chipsatzarchitektur und sicherem Arbeiten mit privilegierten Hardwarezugriffen.

Didaktik und Arbeitsweise

Alle Übungen beginnen mit einer Read-only-Vorprüfung und einem dokumentierten Recovery-Punkt. Erst nach erfolgreicher Analyse werden kontrollierte Fehlkonfigurationen an Abbildern oder dafür vorgesehenen Laborplattformen untersucht; produktive Hardware bleibt ausgeschlossen.