Seminar fwupd – UEFI Capsule, Secure Boot und dbx

Dieses Seminar behandelt UEFI-Capsule-Updates, ESRT, fwupd-efi, NVRAM- und Bootloaderpfade sowie sichere Aktualisierung von KEK, db und dbx mit Boot- und Recovery-Prüfung. Die fachlichen Grundlagen werden mit nachvollziehbaren Arbeitsabläufen, Demonstrationen und praktischen Übungen verbunden.

Inhaltsübersicht

• Zielgruppe und Voraussetzungen
• Lernziele
• Didaktische Einordnung
• Seminarinhalte mit schrittweisen Arbeitsabläufen
• Praxisarbeiten
• Arbeitsumgebung

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Sicherheitsadministration, Linux-Systemadministration, Plattformverantwortliche, Security Engineering und technische Revision.

Voraussetzungen: Linux-Administrationskenntnisse sowie Grundlagen zu UEFI, Secure Boot, TPM und organisatorischen Sicherheitskontrollen.

Lernziele

• UEFI Capsule Update und Bootkette fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Secure Boot, db, dbx, KEK und Zertifikatswechsel fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• TPM, PCR-Messungen und Plattformzustand fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Recovery, Rollback und sichere Wiederholung fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Protokollierung und reproduzierbare Diagnose fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Bedrohungsmodell für Firmwareaktualisierungen fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.

Didaktische Einordnung

Zwei Tage sind erforderlich, da Capsule-Technik und Vertrauensdatenbanken getrennte Fehler- und Recovery-Szenarien besitzen und beide auf Referenzsystemen kontrolliert geprüft werden. Pro Seminartag sind ungefähr sechs Unterrichtsstunden mit zusätzlichen Pausen vorgesehen. Die Dauer entspricht dem ausgewählten TYPO3-Seminartemplate.

Seminarinhalte

1. UEFI Capsule Update und Bootkette

UEFI-Capsule-Updates erfordern das Verständnis von ESRT, Capsule Delivery, Bootloaderpfad, NVRAM und Neustartphase.

1. Unterstützung durch UEFI, ESRT, Capsule-Plugin und installierte EFI-Komponenten prüfen.
2. Geräte-GUID, Capsule-Flags, Versionsformat und Mindestversion des Systemfirmwaregeräts erfassen.
3. Den Installationsweg über NVRAM oder alternative Capsule-Verfahren dem Systemtyp zuordnen.
4. Neustartphase, Firmwareoberfläche und Rückmeldung an das Betriebssystem kontrolliert beobachten.
5. Fehler in Capsule-Bereitstellung, Bootpfad und Firmwareantwort anhand der Protokolle eingrenzen.

2. Secure Boot, db, dbx, KEK und Zertifikatswechsel

Aktualisierungen der UEFI-Vertrauensdatenbanken werden als sicherheitskritische Eingriffe in die Bootkette geplant.

1. Platform Key, Key Exchange Keys, erlaubte Signaturen in db und gesperrte Signaturen in dbx funktional unterscheiden.
2. Aktuellen Zertifikatsbestand, Secure-Boot-Status und Kompatibilität der eingesetzten Bootmedien erfassen.
3. Reihenfolge und Abhängigkeiten von KEK-, db- und dbx-Aktualisierungen vor der Freigabe prüfen.
4. Pilotgeräte mit Wiederherstellungsmedium und dokumentiertem Rückweg aktualisieren.
5. Bootfähigkeit, Secure-Boot-Status und HSI-Attribute nach jedem Änderungsschritt verifizieren.

3. TPM, PCR-Messungen und Plattformzustand

TPM-bezogene Attribute und PCR-Messungen werden genutzt, um Bootzustand und Änderungen nachvollziehbar zu bewerten.

1. TPM-Version, Bereitstellungsstatus und relevante HSI-Attribute erfassen.
2. PCR-Werte und Ereignisprotokoll als Messkette statt als einzelne Zahlen interpretieren.
3. Geplante Firmware- oder Secure-Boot-Änderungen auf Schlüsselbindung und Festplattenentsperrung prüfen.
4. Vor Wartungsarbeiten Wiederherstellungsschlüssel und organisatorische Freigaben sicherstellen.
5. Nach der Änderung Messzustand, Entsperrverhalten und Abweichungen dokumentieren.

4. Host Security ID und Sicherheitsattribute

Die Host Security ID fasst messbare Plattformattribute zusammen und macht Konfigurations- oder Firmwaredefizite sichtbar.

1. Sicherheitsattribute des Systems erfassen und nach Plattform, Firmware, Kernel und Laufzeit einordnen.
2. Bestandene, fehlgeschlagene, nicht unterstützte und zur Laufzeit beeinträchtigte Prüfungen unterscheiden.
3. Die HSI-Stufe nicht isoliert, sondern zusammen mit Gerätemodell, Firmwarestand und Einsatzprofil bewerten.
4. Abweichungen auf konkrete BIOS-, UEFI-, TPM-, DMA- oder Kernelmaßnahmen zurückführen.
5. Eine wiederholbare HSI-Prüfung vor und nach Änderungen in den Härtungsprozess integrieren.

5. Recovery, Rollback und sichere Wiederholung

Wiederherstellung wird vor dem Update geplant und berücksichtigt, dass nicht jedes Gerät ein Firmware-Rollback unterstützt.

1. Recovery-Fähigkeiten, Mindestversion, erlaubte Downgrades und herstellerspezifische Notfallwege vorab prüfen.
2. Stromversorgung, alternative Eingabegeräte, Wiederherstellungsmedium und Zugriff auf Schlüssel sicherstellen.
3. Nach einem Fehlschlag zunächst Gerätezustand und Historie sichern, bevor weitere Schreibversuche erfolgen.
4. Nur dokumentierte Wiederholungs-, Aktivierungs- oder Recovery-Schritte in festgelegter Reihenfolge anwenden.
5. Nach erfolgreicher Wiederherstellung Firmwarestand, Funktion, Sicherheitsattribute und erneute Freigabe kontrollieren.

6. Protokollierung und reproduzierbare Diagnose

Fehler werden anhand eines festen Diagnoseablaufs untersucht, damit Geräte-, Plugin-, Metadaten- und Systemprobleme getrennt werden können.

1. Zeitpunkt, Gerät, Zielversion, ausgeführten Befehl und beobachtetes Verhalten präzise festhalten.
2. Daemonstatus, Journal, fwupd-Ausgabe und relevante Kernelmeldungen im gleichen Zeitfenster sichern.
3. Gerätebaum, Pluginzuordnung, Flags, Probleme, GUIDs und Remotes erneut erfassen.
4. Fehler mit minimalen Änderungen auf Referenzhardware oder in einer Emulationsumgebung reproduzieren.
5. Befund, wahrscheinliche Ursache, Gegenprobe und verbleibende Unsicherheit getrennt dokumentieren.

7. Bedrohungsmodell für Firmwareaktualisierungen

Firmwareversorgung wird als Lieferkette betrachtet, in der Manipulation, Fehlzuordnung, Rollback und Betriebsunterbrechung beherrscht werden müssen.

1. Schutzobjekte wie Firmwarepayload, Metadaten, Signaturschlüssel, Geräteidentität und Freigabestatus bestimmen.
2. Angriffsflächen von Erstellung, Upload, Verteilung, Installation und Rückmeldung erfassen.
3. Kontrollen für Signaturprüfung, Versionsgrenzen, Rollen, Vier-Augen-Freigabe und Protokollierung zuordnen.
4. Fehlerszenarien einschließlich falscher GUID, fehlerhafter Metadaten und unterbrochener Aktualisierung bewerten.
5. Restrisiken, Notfallmaßnahmen und Verantwortlichkeiten in einem Firmware-Sicherheitskonzept festhalten.

Praxisarbeiten

1. Praxisfall „UEFI Capsule Update und Bootkette“ bearbeiten und als Ergebnis fehler in Capsule-Bereitstellung, Bootpfad und Firmwareantwort anhand der Protokolle eingrenzen.
2. Praxisfall „TPM, PCR-Messungen und Plattformzustand“ bearbeiten und als Ergebnis nach der Änderung Messzustand, Entsperrverhalten und Abweichungen dokumentieren.
3. Praxisfall „Host Security ID und Sicherheitsattribute“ bearbeiten und als Ergebnis eine wiederholbare HSI-Prüfung vor und nach Änderungen in den Härtungsprozess integrieren.
4. Praxisfall „Recovery, Rollback und sichere Wiederholung“ bearbeiten und als Ergebnis nach erfolgreicher Wiederherstellung Firmwarestand, Funktion, Sicherheitsattribute und erneute Freigabe kontrollieren.
5. Praxisfall „Bedrohungsmodell für Firmwareaktualisierungen“ bearbeiten und als Ergebnis restrisiken, Notfallmaßnahmen und Verantwortlichkeiten in einem Firmware-Sicherheitskonzept festhalten.

Arbeitsumgebung

UEFI-fähige Referenzsysteme mit dokumentiertem Wiederherstellungsweg; keine produktive Hardware für Erstversuche. Alle Übungen werden mit dokumentiertem Ausgangszustand, eindeutigen Prüfkriterien und einer abschließenden technischen Kontrolle durchgeführt.