Seminar PTXdist Security Engineering und Code Signing

Das Seminar integriert Sicherheitsanforderungen direkt in PTXdist-Konfiguration, Build und Freigabe. Nach Bedrohungs- und Schlüsselmodell werden Signaturrollen, Softwaretoken oder PKCS#11-Zugriffe eingerichtet. Kernelmodule, FIT- und weitere Systemartefakte werden signiert, verifiziert und durch Negativtests abgesichert.

Inhaltsverzeichnis

1. Einordnung und Zielbild
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Thematische Module
   1. Bedrohungsanalyse für Build und Boot
   2. Härtung durch Konfiguration
   3. Schlüsselrollen und Lebenszyklus
   4. Signaturanbieter in PTXdist
   5. PKCS#11 und Softwaretoken
   6. Kernelmodul-Signierung
   7. FIT- und Bootartefakt-Signierung
   8. Weitere Image- und Datenartefakte
   9. Geheimnisse und Buildisolation
   10. CI-Gates und Freigabekette
   11. Rotation, Sperrung und Vorfalltests
6. Praxisarbeiten
7. Qualitätssicherung

Einordnung und Zielbild

Das Seminar integriert Sicherheitsanforderungen direkt in PTXdist-Konfiguration, Build und Freigabe. Nach Bedrohungs- und Schlüsselmodell werden Signaturrollen, Softwaretoken oder PKCS#11-Zugriffe eingerichtet. Kernelmodule, FIT- und weitere Systemartefakte werden signiert, verifiziert und durch Negativtests abgesichert.

Zielgruppe

Embedded-Security-Engineers, BSP-Entwickler, Systemarchitekten, Release-Engineers und Verantwortliche für sichere Boot- und Lieferketten.

Voraussetzungen

Gute PTXdist- und Embedded-Linux-Grundkenntnisse, Verständnis der Bootkette und Grundlagen asymmetrischer Kryptografie.

Lernziele

• Bedrohungen, Vertrauensgrenzen und zu schützende Buildartefakte bestimmen.
• Schlüsselrollen und Signaturanbieter mit minimalen Berechtigungen entwerfen.
• Softwaretoken, PKCS#11 oder HSM-Anbindung in einen Testaufbau integrieren.
• Kernelmodule, FIT- und weitere Systemartefakte signieren und verifizieren.
• Signaturprozesse mit CI-Gates, Rotation und Vorfallverfahren absichern.

Thematische Module

1. Bedrohungsanalyse für Build und Boot

Dieser Baustein behandelt Buildhost, Quellablage, Toolchain, Schlüssel, Images, Zielgerät, Vertrauensgrenzen, Manipulation und Rollback. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Buildhost, Quellablage, Toolchain, Schlüssel, Images, Zielgerät, Vertrauensgrenzen, Manipulation und Rollback festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Buildhost, Quellablage, Toolchain, Schlüssel, Images, Zielgerät, Vertrauensgrenzen, Manipulation und Rollback mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

2. Härtung durch Konfiguration

Dieser Baustein behandelt minimale Pakete, Dienste, Debugschnittstellen, Benutzer, Gruppen, Rechte, Kernel- und Compilerhärtung. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für minimale Pakete, Dienste, Debugschnittstellen, Benutzer, Gruppen, Rechte, Kernel- und Compilerhärtung festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für minimale Pakete, Dienste, Debugschnittstellen, Benutzer, Gruppen, Rechte, Kernel- und Compilerhärtung mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

3. Schlüsselrollen und Lebenszyklus

Dieser Baustein behandelt Entwicklung, Test, Release, Produktion, Erzeugung, Freigabe, Nutzung, Sicherung, Rotation, Sperrung und Vernichtung. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Entwicklung, Test, Release, Produktion, Erzeugung, Freigabe, Nutzung, Sicherung, Rotation, Sperrung und Vernichtung festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Entwicklung, Test, Release, Produktion, Erzeugung, Freigabe, Nutzung, Sicherung, Rotation, Sperrung und Vernichtung mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

4. Signaturanbieter in PTXdist

Dieser Baustein behandelt Rollenreferenz, Dateischlüssel, Softwaretoken, PKCS#11, HSM, Providerparameter, Berechtigungen und Audit. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Rollenreferenz, Dateischlüssel, Softwaretoken, PKCS#11, HSM, Providerparameter, Berechtigungen und Audit festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Rollenreferenz, Dateischlüssel, Softwaretoken, PKCS#11, HSM, Providerparameter, Berechtigungen und Audit mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

5. PKCS#11 und Softwaretoken

Dieser Baustein behandelt Tokeninitialisierung, Slot, Schlüsselobjekt, Kennung, Modul, Provider, PIN-Fehler und fehlende Rolle. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für Tokeninitialisierung, Slot, Schlüsselobjekt, Kennung, Modul, Provider, PIN-Fehler und fehlende Rolle festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für Tokeninitialisierung, Slot, Schlüsselobjekt, Kennung, Modul, Provider, PIN-Fehler und fehlende Rolle mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

6. Kernelmodul-Signierung

Dieser Baustein behandelt Kerneloptionen, Zertifikat, Modulbuild, Signaturinformationen, gültiges, manipuliertes und unsigniertes Modul. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Hardware- und Bootanforderungen für Kerneloptionen, Zertifikat, Modulbuild, Signaturinformationen, gültiges, manipuliertes und unsigniertes Modul aus Boardunterlagen, Konfiguration und Referenzstand erfassen.
2. Wirksame PTXdist-Regel, Quellversion, Konfiguration, Patchserie und erzeugte Bootartefakte eindeutig zuordnen.
3. Die kleinste notwendige Änderung an Bootloader, Kernelkonfiguration, Patch oder Hardwarebeschreibung implementieren.
4. Nur die betroffenen Komponenten neu bauen und Version, Größe, Ladeadresse sowie Inhalt der Artefakte kontrollieren.
5. Serielle Ausgabe, Kernelmeldungen, laufenden Device Tree und Treiberzustand auf dem Zielsystem prüfen.
6. Den Kontrollpunkt für Kerneloptionen, Zertifikat, Modulbuild, Signaturinformationen, gültiges, manipuliertes und unsigniertes Modul mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

7. FIT- und Bootartefakt-Signierung

Dieser Baustein behandelt Kernel, DTBs, Ramdisk, Hashknoten, Signaturknoten, Vertrauensanker, Bootloader und Manipulationstest. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Hardware- und Bootanforderungen für Kernel, DTBs, Ramdisk, Hashknoten, Signaturknoten, Vertrauensanker, Bootloader und Manipulationstest aus Boardunterlagen, Konfiguration und Referenzstand erfassen.
2. Wirksame PTXdist-Regel, Quellversion, Konfiguration, Patchserie und erzeugte Bootartefakte eindeutig zuordnen.
3. Die kleinste notwendige Änderung an Bootloader, Kernelkonfiguration, Patch oder Hardwarebeschreibung implementieren.
4. Nur die betroffenen Komponenten neu bauen und Version, Größe, Ladeadresse sowie Inhalt der Artefakte kontrollieren.
5. Serielle Ausgabe, Kernelmeldungen, laufenden Device Tree und Treiberzustand auf dem Zielsystem prüfen.
6. Den Kontrollpunkt für Kernel, DTBs, Ramdisk, Hashknoten, Signaturknoten, Vertrauensanker, Bootloader und Manipulationstest mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

8. Weitere Image- und Datenartefakte

Dieser Baustein behandelt Dateisystem, Firmwareblob, Manifest, Verifikationszeitpunkt, Signaturformat, Installer und Systemdienst. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Bootmedium, Größen-, Persistenz-, Update- und Fertigungsanforderungen für Dateisystem, Firmwareblob, Manifest, Verifikationszeitpunkt, Signaturformat, Installer und Systemdienst erfassen.
2. Root-Dateisystem, Dateimetadaten, Imagebeschreibung und Herkunft jeder einzubindenden Komponente zuordnen.
3. Partitionen, Dateisystemoptionen, Ausrichtung, Reserven und Bootartefakte deklarativ konfigurieren.
4. Image aus sauberem Ausgangsstand erzeugen und Struktur, Grenzen, Rechte, Inhalt und Prüfsummen maschinell prüfen.
5. Ein leeres Zielmedium beschreiben und Boot-, Schreib-, Recovery- oder Variantenverhalten praktisch testen.
6. Den Kontrollpunkt für Dateisystem, Firmwareblob, Manifest, Verifikationszeitpunkt, Signaturformat, Installer und Systemdienst mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

9. Geheimnisse und Buildisolation

Dieser Baustein behandelt getrennter Signierjob, minimaler Zugriff, temporäre Dateien, PIN, Sitzungen, Logs und Artefaktzustände. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Schutzobjekte, Vertrauensgrenzen, Angreiferfähigkeiten und geforderte Nachweise für getrennter Signierjob, minimaler Zugriff, temporäre Dateien, PIN, Sitzungen, Logs und Artefaktzustände festlegen.
2. Rollen, Berechtigungen, Schlüsselquelle, Verifikationsstelle und zulässige Buildphase eindeutig zuordnen.
3. Konfiguration oder Signaturschritt mit minimalem Schlüsselzugriff und getrennten Entwicklungs- sowie Produktionszuständen implementieren.
4. Artefakt, Signatur, Zertifikat, Hash und Auditinformationen unabhängig vom erzeugenden Buildschritt prüfen.
5. Gültigen, fehlenden, falschen, manipulierten und gesperrten Zustand als getrennte Negativtests ausführen.
6. Den Kontrollpunkt für getrennter Signierjob, minimaler Zugriff, temporäre Dateien, PIN, Sitzungen, Logs und Artefaktzustände mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

10. CI-Gates und Freigabekette

Dieser Baustein behandelt Quellstand, Rebuild, Tests, Metadaten, geschützter Runner, Signaturprotokoll, Prüfsummen und Unveränderlichkeit. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Eingaben, Varianten, Abhängigkeiten und Freigabekriterien für Quellstand, Rebuild, Tests, Metadaten, geschützter Runner, Signaturprotokoll, Prüfsummen und Unveränderlichkeit eindeutig definieren.
2. Runner, Arbeitsverzeichnisse, Toolchain, Downloads, Caches und Ausgaben voneinander isolieren und versionieren.
3. Build- und Teststufen mit klaren Ein- und Ausgaben sowie nicht umgehbaren Fehlerbedingungen aufbauen.
4. Logs, Prüfsummen, Metadaten und Artefakte je Quellstand und Konfigurationskombination erfassen.
5. Pipeline in frischer Umgebung wiederholen, Cacheeinflüsse prüfen und einen absichtlichen Fehler bis zur Ursache verfolgen.
6. Den Kontrollpunkt für Quellstand, Rebuild, Tests, Metadaten, geschützter Runner, Signaturprotokoll, Prüfsummen und Unveränderlichkeit mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

11. Rotation, Sperrung und Vorfalltests

Dieser Baustein behandelt neuer Vertrauensanker, Überlappung, Gerätekompatibilität, Kompromittierung, Sperrung, Ersatz und Auditdaten. Die Bearbeitung folgt einer festen Reihenfolge aus Bestandsaufnahme, deklarativer Änderung, gezieltem Build, Artefaktprüfung und reproduzierbarer Verifikation.

1. Eingaben, Varianten, Abhängigkeiten und Freigabekriterien für neuer Vertrauensanker, Überlappung, Gerätekompatibilität, Kompromittierung, Sperrung, Ersatz und Auditdaten eindeutig definieren.
2. Runner, Arbeitsverzeichnisse, Toolchain, Downloads, Caches und Ausgaben voneinander isolieren und versionieren.
3. Build- und Teststufen mit klaren Ein- und Ausgaben sowie nicht umgehbaren Fehlerbedingungen aufbauen.
4. Logs, Prüfsummen, Metadaten und Artefakte je Quellstand und Konfigurationskombination erfassen.
5. Pipeline in frischer Umgebung wiederholen, Cacheeinflüsse prüfen und einen absichtlichen Fehler bis zur Ursache verfolgen.
6. Den Kontrollpunkt für neuer Vertrauensanker, Überlappung, Gerätekompatibilität, Kompromittierung, Sperrung, Ersatz und Auditdaten mit einem klaren Sollzustand und einem reproduzierbaren Test festlegen.
7. Die verwendeten Eingaben, Konfigurationsstände, Kommandos und erzeugten Artefakte für Review und Wiederholung dokumentieren.

Praxisarbeiten

• Erstellung eines Bedrohungs- und Schlüsselrollenmodells.
• Einrichtung eines PKCS#11-Softwaretokens.
• Signierung und Verifikation eines Kernelmoduls.
• Erzeugung einer signierten FIT-Konfiguration.
• Negativtests mit manipuliertem oder unsigniertem Artefakt.
• Entwurf eines geschützten CI-Signierjobs und einer Schlüsselrotation.

Qualitätssicherung

Die Bearbeitung wird anhand eindeutiger Eingaben, nachvollziehbarer Konfigurationsänderungen, gezielter Builds, geprüfter Artefakte, dokumentierter Tests und eines sauberen Wiederholungsbuilds bewertet.