Seminar OpenTitan – Secure Boot, ROM_EXT und Firmware-Update

Die OpenTitan-Bootkette verbindet unveränderliches ROM, aktualisierbares ROM_EXT und Owner-Firmware mit OTP-Schlüsseln, Manifesten, Messwerten und Versionsregeln. Jede Stufe muss ihre Eingaben vollständig prüfen, bevor Kontrolle oder vertrauliche Zustände weitergegeben werden.

Das Seminar behandelt den Normalpfad ebenso wie Fehler, unterbrochene Updates, ungültige Images und Wiederherstellung. Die Übungen führen von einem Manifestmodell über Verifikationslogik bis zu einer atomaren Update- und Rollbackstrategie.

Inhaltsübersicht

• Seminarziel
• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
  • Vertrauensanker und Bootrollen
  • ROM-Initialisierung und frühe Prüfungen
  • ROM_EXT-Manifest und Imagegrenzen
  • Authentizität, Messung und Schlüsselpolitik
  • Versionierung und Rollbackschutz
  • Owner-Boot und Übergabe
  • Update, Recovery und Bootstrap
  • Boot- und Updateverifikation
• Praxisübungen

Seminarziel

Eine OpenTitan-Boot- und Updatekette soll mit klaren Vertrauensankern, vollständiger Manifestprüfung, sicheren Versionsregeln, messbaren Fehlerreaktionen und kontrollierten Recoverypfaden entworfen und getestet werden können.

Zielgruppe

Firmware- und Bootloaderentwickler, Security Engineers, Embedded-Architekten, Verifikationsingenieure, Produktintegratoren und Verantwortliche für sichere Updates.

Voraussetzungen

Sichere C-Grundkenntnisse, Verständnis von Flash, ROM, digitalen Signaturen, Hashfunktionen und Embedded-Bootprozessen. OpenTitan-Architekturgrundlagen werden vorausgesetzt.

Lernziele

• ROM, ROM_EXT und Owner-Bootstufen nach Verantwortung trennen
• Manifest, Signatur, Schlüssel und Messwert als Prüfkette modellieren
• Versions- und Rollbackpolitik konsistent umsetzen
• Fehler-, Recovery- und Bootstrapwege sicher begrenzen
• Update- und Boottests einschließlich Unterbrechungsfällen planen

Seminarinhalte

Schritt 1: Vertrauensanker und Bootrollen

1. Unveränderliches ROM, aktualisierbares ROM_EXT und Owner-Code funktional trennen
2. Creator- und Owner-Schlüssel sowie zugehörige Policies zuordnen
3. Hardwarezustand, Lifecycle und OTP als Bootvoraussetzungen erfassen
4. Übergabedaten und zulässige Privilegien je Bootstufe dokumentieren

Schritt 2: ROM-Initialisierung und frühe Prüfungen

1. Resetursache, Clocking, Speicher und notwendige Sicherheitscontroller in Startreihenfolge bringen
2. Lifecycle-, OTP- und Hardwarefehler vor Codeübergabe prüfen
3. Minimale Angriffsfläche und deterministische Fehlerreaktion für das ROM festlegen
4. Bootstatus und Diagnoseinformationen ohne Geheimnisoffenlegung bereitstellen

Schritt 3: ROM_EXT-Manifest und Imagegrenzen

1. Kennung, Länge, Adressen, Version, Schlüsselbezug und Einstiegspunkt als Manifestfelder prüfen
2. Überläufe, Überlappungen und unzulässige Speicherbereiche sicher ablehnen
3. Signierten Bereich und nicht vertrauenswürdige Metadaten sauber trennen
4. Parsing- und Grenztests für fehlerhafte Manifeste definieren

Schritt 4: Authentizität, Messung und Schlüsselpolitik

1. Hashbildung, Signaturverifikation und Schlüsselwahl in eine feste Reihenfolge bringen
2. Erlaubte Schlüssel, Widerruf und Lifecycle-Abhängigkeiten prüfen
3. Bootmesswerte für nachfolgende Schlüsselableitung und Attestierung bereitstellen
4. Verifikationsfehler ohne Fallback auf ungeprüften Code behandeln

Schritt 5: Versionierung und Rollbackschutz

1. Sicherheitsversion, funktionale Version und Buildidentität unterscheiden
2. Mindestversion und zulässige Upgradepfade aus vertrauenswürdigen Daten ableiten
3. A/B- oder Mehrfachslot-Strategien mit Versionsstatus verbinden
4. Downgrade-, Replay- und Versionssprungtests in die Freigabe aufnehmen

Schritt 6: Owner-Boot und Übergabe

1. Owner-Manifest, Owner-Schlüssel und Owner-Policy von Creator-Prüfungen trennen
2. Speicher, Interrupts, Debug und Peripherie vor der Übergabe in definierten Zustand bringen
3. Messwerte und Bootparameter authentisch an die Owner-Stufe übergeben
4. Fehlende oder ungültige Owner-Firmware in einen kontrollierten Zustand führen

Schritt 7: Update, Recovery und Bootstrap

1. Updatepaket, Autorisierung, Zielslot und Aktivierungszeitpunkt festlegen
2. Schreiben, Verifizieren und Umschalten so ordnen, dass Stromausfall beherrscht bleibt
3. Recovery- oder Bootstrapzugang nach Lifecycle und physischer Autorisierung begrenzen
4. Abbruch, Wiederaufnahme und Rückkehr zum letzten gültigen Image testen

Schritt 8: Boot- und Updateverifikation

1. Bekannte gute Images, Signaturfehler, Grenzfehler und Versionsverstöße als Testgruppen bilden
2. Fault-Szenarien gegen Prüfung, Status und Kontrollfluss ergänzen
3. Bootlog, Alertstatus, Resetursache und ausgewähltes Image gemeinsam auswerten
4. Freigabekriterien für Normalbetrieb, Update und Recovery dokumentieren

Praxisübungen

1. Ein ROM_EXT-Manifest mit gültigen und ungültigen Grenzwerten analysieren
2. Eine vollständige Verifikations- und Übergabereihenfolge als Ablaufdiagramm erstellen
3. Versions- und Rollbackregeln für zwei Imageslots modellieren
4. Ein Update mit Stromunterbrechung, Signaturfehler und Recoverypfad durchspielen
5. Eine Boot- und Update-Testmatrix mit erwarteten Alerts und Endzuständen erstellen