Seminar Keylime – Push-Modell für Edge, IoT und NAT

Überblick

Das Seminar behandelt agenteninitiierte Attestation für eingeschränkte Netze und zeitweise verbundene Geräte. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Zwei Tage sind erforderlich, da Grundlagen und Konfiguration zunächst belastbar aufgebaut und anschließend mit Vertiefung, negativen Prüffällen, Fehleranalyse und Betriebsübergabe abgesichert werden. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. Edge- und Netzanforderungen erfassen
2. Push- und Pull-Architektur vergleichen
3. Push-Modus komponentenweise konfigurieren
4. Sitzung und Besitznachweis aufbauen
5. Attestierungsdaten aktiv übertragen
6. Offline- und Wiederverbindungsverhalten testen
7. Reconnect-Wellen und Skalierung planen
8. Sicherheits- und Reifeprüfung durchführen
9. Migration vom Pull-Modell gestalten
10. Rückfall und Betrieb dokumentieren

Lernziele

• Agenteninitiierte attestation für eingeschränkte netze und zeitweise verbundene geräte fachlich einordnen und für ein konkretes Einsatzszenario planen.
• Edge- und Netzanforderungen erfassen.
• Push- und Pull-Architektur vergleichen.
• Push-Modus komponentenweise konfigurieren.
• Sitzung und Besitznachweis aufbauen.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: Edge- und Netzanforderungen erfassen

NAT, Firewallregeln, Verbindungsrichtung, Bandbreite, Offlinezeiten und Gerätelebenszyklus werden als technische Entscheidungskriterien dokumentiert. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Push- und Pull-Architektur vergleichen

Offene Ports, Verifier-Endpunkte, mTLS, Sitzungsdaten, Identitäten und neue Angriffsflächen werden gegenübergestellt. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: Push-Modus komponentenweise konfigurieren

Verifier und Agent erhalten passende Modi, Zieladressen, Zertifikate und Zeitparameter; widersprüchliche Mischkonfigurationen werden ausgeschlossen. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Sitzung und Besitznachweis aufbauen

Der Agent initiiert eine authentifizierte Sitzung und bindet kurzlebige Berechtigungen an den vorgesehenen kryptografischen Schlüssel. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Attestierungsdaten aktiv übertragen

Quote, PCR- und gegebenenfalls Messdaten werden an die vorgesehene API gesendet und einer gültigen Sitzung sowie Policy zugeordnet. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Offline- und Wiederverbindungsverhalten testen

Netzunterbrechung, Timeout, Tokenablauf und Verifier-Neustart werden mit begrenztem Backoff und konsistentem Zustandsübergang simuliert. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Reconnect-Wellen und Skalierung planen

Jitter, Ratenbegrenzung, Sessionkapazität, Verifier-Durchsatz und Datenbanklast werden für gleichzeitig startende Geräte dimensioniert. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Sicherheits- und Reifeprüfung durchführen

API-Fähigkeiten, Einschränkungen, Updatepfad, Monitoring und Rückfall werden gegen verbindliche Pilot- und Produktionskriterien geprüft. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 9: Migration vom Pull-Modell gestalten

Gerätegruppen werden schrittweise umgestellt, ohne Identität, Policy-Bezug oder eindeutigen Zustandsbesitz zu verlieren. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 10: Rückfall und Betrieb dokumentieren

Für Agentenfehler, API-Inkompatibilität und unerwartete Last steht ein getesteter Rückweg mit Monitoring und Runbooks bereit. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Praxisübungen

• Netz- und Vertrauensdiagramm für ein NAT- oder Edge-Szenario erstellen.
• Push-Modus konfigurieren und eine authentifizierte Sitzung aufbauen.
• Offlinephase, Tokenablauf und Reconnect-Welle simulieren.
• Freigabematrix und Migrationsplan vom Pull- zum Push-Modell erstellen.

Einordnung in den Lernpfad

Nach Pull-Modell, Authentifizierung und REST-API. Für produktive Einführung zusätzlich Betrieb, Skalierung und Sicherheitsarchitektur einplanen.