Seminar CHIPSEC – IOMMU, DMA-Schutz und Geräteisolierung

Das zweitägige Seminar untersucht IOMMU-Konfiguration, DMA-Schutz und Gerätezuordnung über Firmware, Hardware und Betriebssystem hinweg. Zwei Tage sind erforderlich, weil Tabellen, Register, Remapping-Einheiten, Gerätepfade, Hot-Plug-Szenarien und Schutzwirkung gemeinsam geprüft werden müssen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• DMA-Angriffsflächen und IOMMU-Vertrauensgrenzen modellieren.
• DMAR- beziehungsweise IVRS-Informationen und Remapping-Einheiten erfassen.
• Geräte, Domains, Adressräume und Interrupt-Remapping nachvollziehen.
• Firmware-, Hardware- und Betriebssystemschutz auf Konsistenz prüfen.
• Fehlkonfigurationen, ungeschützte Geräte und Retest-Kriterien dokumentieren.

Schrittweise Seminarinhalte

1. DMA-Bedrohungsmodell und Gerätekategorien

Schwerpunkt: interne und externe Geräte, PCIe, Thunderbolt beziehungsweise Hot-Plug, Bus Mastering, Pre-Boot- und Runtime-Zugriffe, Vertrauenszonen und Schutzbedarf.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „DMA-Bedrohungsmodell und Gerätekategorien“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von interne und externe Geräte, PCIe, Thunderbolt beziehungsweise Hot-Plug, Bus Mastering, Pre-Boot- und Runtime-Zugriffe, Vertrauenszonen und Schutzbedarf erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein risikobasiertes DMA-Modell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. Firmwaretabellen und IOMMU-Inventar

Schwerpunkt: DMAR oder IVRS, Einheiten, Segmente, Reserved Memory, Device Scopes, Fehlerzustände und Abgleich mit Hardwareinventar.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Firmwaretabellen und IOMMU-Inventar“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von DMAR oder IVRS, Einheiten, Segmente, Reserved Memory, Device Scopes, Fehlerzustände und Abgleich mit Hardwareinventar erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine validierte IOMMU-Inventarliste erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

3. Register, Capabilities und Lock-Zustände

Schwerpunkt: Remapping-Register, Fähigkeiten, Extended Capabilities, Aktivierung, Fault Logs, Lock- beziehungsweise Schutzmechanismen und Plattformvarianten.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Register, Capabilities und Lock-Zustände“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Remapping-Register, Fähigkeiten, Extended Capabilities, Aktivierung, Fault Logs, Lock- beziehungsweise Schutzmechanismen und Plattformvarianten erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen IOMMU-Konfigurationsbefund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. Domains, Gerätezuordnung und Interrupts

Schwerpunkt: Requester IDs, Domains, Page Tables, Translation, Pass-through, Interrupt Remapping, Ausnahmen und unbekannte Geräte.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Domains, Gerätezuordnung und Interrupts“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Requester IDs, Domains, Page Tables, Translation, Pass-through, Interrupt Remapping, Ausnahmen und unbekannte Geräte erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine nachvollziehbare Geräteisolationsmatrix erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. Betriebssystemschutz und Szenariotests

Schwerpunkt: Kernel- beziehungsweise VBS-Kontext, Kernel DMA Protection, Treiberpfade, Docking, Resume, Hot-Plug und kontrollierte Negativfälle.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Betriebssystemschutz und Szenariotests“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Kernel- beziehungsweise VBS-Kontext, Kernel DMA Protection, Treiberpfade, Docking, Resume, Hot-Plug und kontrollierte Negativfälle erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen Ende-zu-Ende-DMA-Schutztest erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

6. Findings, Maßnahmen und Retest

Schwerpunkt: ungeschützte Pfade, Firmwareupdate, BIOS-Richtlinien, Betriebssystemkonfiguration, Gerätebeschränkung, Kompensation und erneute Prüfung.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Findings, Maßnahmen und Retest“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von ungeschützte Pfade, Firmwareupdate, BIOS-Richtlinien, Betriebssystemkonfiguration, Gerätebeschränkung, Kompensation und erneute Prüfung in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein DMA-Härtungs- und Retest-Runbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erstellung eines DMA-Bedrohungsmodells für eine mobile Unternehmensplattform.
• Auswertung einer DMAR- oder IVRS-Struktur und Zuordnung der Gerätepfade.
• Prüfung von IOMMU-Capabilities, Aktivierung und Fault-Informationen.
• Aufbau einer Maßnahmen- und Retestmatrix für ungeschützte Geräteklassen.

Zielgruppe und Voraussetzungen

Zielgruppe: Plattform-Security, Endpoint Engineering, Hardware Security, Betriebssystemhärtung, Virtualisierung und technische Revision.

Voraussetzungen: Grundkenntnisse in PCIe, Speicheradressierung, Firmwaretabellen und Betriebssystemvirtualisierung; CHIPSEC-Grundbedienung.

Didaktik und Arbeitsweise

Firmwaretabellen, Registersicht und Betriebssystemzustand werden konsequent korreliert. Übungen bleiben auf sichere Beobachtung und kontrollierte Szenarien beschränkt; reale DMA-Angriffe auf produktive Geräte sind ausgeschlossen.