Seminar OpenTitan – Sicherheitsarchitektur, Bedrohungsmodell und Zertifizierung

Eine Sicherheitsarchitektur ist nur belastbar, wenn Schutzgüter, Rollen, Bedrohungen, Annahmen und Fehlerreaktionen eindeutig miteinander verknüpft sind. Das Seminar überführt die OpenTitan-Systemstruktur in prüfbare Sicherheitsziele und nachvollziehbare Nachweise.

Zertifizierungs- und Evaluierungsziele werden als planbare Projektanforderungen behandelt. Das Seminar verspricht keine Zertifizierung, sondern zeigt, welche Evidenz, Abgrenzung, Konfigurationskontrolle und Gap-Analyse für eine belastbare Vorbereitung erforderlich sind.

Inhaltsübersicht

• Seminarziel
• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
  • Systemabgrenzung und Schutzgüter
  • Bedrohungsmodell und Angriffsflächen
  • Sicherheitsziele und Anforderungen
  • Architekturmechanismen und Rückverfolgbarkeit
  • Evidenz aus Entwicklung und Verifikation
  • Fertigung, Schlüssel und Lieferkette
  • Abbildung auf Evaluierungs- und Zertifizierungsziele
  • Roadmap, Audit und Restrisiko
• Praxisübungen

Seminarziel

Eine OpenTitan-Sicherheitsarchitektur soll systematisch modelliert, in testbare Anforderungen zerlegt und mit einer Evidenz- sowie Zertifizierungsroadmap verbunden werden können, die offene Punkte und Restrisiken transparent ausweist.

Zielgruppe

Security Architects, Product Security, System- und SoC-Architekten, Assurance- und Compliance-Verantwortliche, Verifikationsleitung, Qualitätsmanagement, Evaluierungs- und Zertifizierungsprojektteams.

Voraussetzungen

Grundkenntnisse der OpenTitan-Architektur, eingebetteter Sicherheit und technischer Risikobewertung. Erfahrung mit Sicherheitsanforderungen, Audits oder Evaluierungsprojekten ist hilfreich.

Lernziele

• Assets, Rollen, Grenzen und Annahmen eines OpenTitan-Produkts festlegen
• Bedrohungen in Sicherheitsziele und prüfbare Anforderungen überführen
• Design-, Verifikations-, Fertigungs- und Betriebsevidenz strukturieren
• Anforderungen möglicher Evaluierungsrahmen auf den Produktumfang abbilden
• Gap- und Zertifizierungsroadmap ohne Erfolgsversprechen erstellen

Seminarinhalte

Schritt 1: Systemabgrenzung und Schutzgüter

1. Produkt, OpenTitan-Komponente, Host, Fertigung und Backend als Systemgrenzen definieren
2. Schlüssel, Identitäten, Firmware, Konfiguration und Verfügbarkeit als Assets erfassen
3. Creator-, Owner-, Hersteller-, Betreiber- und Angreiferrollen zuordnen
4. Vertrauensannahmen und ausgeschlossene Funktionen ausdrücklich dokumentieren

Schritt 2: Bedrohungsmodell und Angriffsflächen

1. Physische, logische, Lieferketten- und Insiderbedrohungen strukturieren
2. Boot-, Debug-, Lifecycle-, Bus-, Speicher-, Schlüssel- und Updatepfade analysieren
3. Missbrauchsszenarien mit Vorbedingung, Angriffsschritt und Auswirkung formulieren
4. Risiko anhand von Eintrittsmöglichkeit, Wirkung und vorhandenen Kontrollen priorisieren

Schritt 3: Sicherheitsziele und Anforderungen

1. Vertraulichkeit, Integrität, Authentizität, Verfügbarkeit und Recovery als Ziele konkretisieren
2. Ziele in hardware-, firmware-, fertigungs- und betriebsbezogene Anforderungen zerlegen
3. Sichere Endzustände, Fehlerreaktion und erlaubte Degradierung festlegen
4. Jede Anforderung mit eindeutiger Kennung und prüfbarem Akzeptanzkriterium versehen

Schritt 4: Architekturmechanismen und Rückverfolgbarkeit

1. Lifecycle, OTP, Key Manager, Secure Boot, Attestierung und Alerts den Anforderungen zuordnen
2. SCA-, Fault-, Bus- und Speicherhärtung als mehrschichtige Kontrollen abbilden
3. Abhängigkeiten und Single Points of Failure in einer Kontrollmatrix markieren
4. Anforderung, Designentscheidung, Implementierung und Test bidirektional verknüpfen

Schritt 5: Evidenz aus Entwicklung und Verifikation

1. Spezifikation, Review, Code, Testplan, Coverage und Befund als Evidenztypen unterscheiden
2. Konfiguration, Toolversion und reproduzierbaren Build als Nachweisbasis sichern
3. Negative Tests, Fault-Kampagnen und bekannte Einschränkungen einbeziehen
4. Änderungen und Abweichungen mit Impactanalyse und erneuter Freigabe verbinden

Schritt 6: Fertigung, Schlüssel und Lieferkette

1. Provisionierung, Lifecycle-Übergänge und Zertifikate als Teil der Sicherheitsgrenze behandeln
2. Rollen- und Zugriffstrennung in Fertigungsstationen dokumentieren
3. Bauteil-, Tool- und Dienstleisterabhängigkeiten auf Manipulationsrisiken prüfen
4. Produktions- und Auditnachweise in die Evidenzstruktur aufnehmen

Schritt 7: Abbildung auf Evaluierungs- und Zertifizierungsziele

1. Produktumfang, Zielkonfiguration und Sicherheitsfunktion vor einer Abbildung festlegen
2. Kryptografische Modul-, Produkt- und Komponentenbewertung voneinander abgrenzen
3. Anforderungsfamilien möglicher Rahmenwerke auf vorhandene Evidenz mappen
4. Nicht passende, fehlende oder zusätzlich notwendige Nachweise als Gap ausweisen

Schritt 8: Roadmap, Audit und Restrisiko

1. Vorbewertung, Gap-Schließung, unabhängige Prüfung und formales Verfahren als Phasen planen
2. Verantwortung, Budget, Zeitpuffer und externe Abhängigkeiten je Phase erfassen
3. Restrisiken, Ausnahmen und Kompensationsmaßnahmen entscheidungsfähig dokumentieren
4. Freigabe- und Änderungsverfahren für den zertifizierungsrelevanten Stand festlegen

Praxisübungen

1. Ein Systemkontextdiagramm mit Assets, Rollen und Vertrauensgrenzen erstellen
2. Bedrohungen für Boot, Lifecycle und Schlüsselpfad in prüfbare Anforderungen überführen
3. Eine Traceability-Matrix von Sicherheitsziel bis Testnachweis aufbauen
4. Eine vereinfachte Gap-Analyse für ein gewähltes Evaluierungsziel durchführen
5. Eine Zertifizierungsroadmap mit offenen Punkten, Verantwortlichkeiten und Restrisiken erstellen