Seminar RAUC Security, PKI und Produktionsfreigabe

Das Seminar behandelt die Sicherheitsarchitektur von RAUC mit Signaturen, Zertifikaten, Keyrings, Freigabewegen und produktionsnahen Prüfprozessen.

Inhaltsverzeichnis

• Einordnung des Themas
• Zielgruppe und Voraussetzungen
• Schrittweise Seminarinhalte
• Praktische Übungen
• Typische Einsatzszenarien

Einordnung des Themas

Im Fokus stehen X.509-basierte Signierung, Vertrauenskette, Schlüsseltrennung, Entwicklungs- und Produktionszertifikate, Widerrufs- und Rotationsszenarien sowie organisatorische Kontrollen. Sicherheit wird nicht als nachträglicher Lack verstanden, sondern als Bestandteil der Updatekette. Ein signiertes Chaos bleibt Chaos; nur eben unterschrieben.

Zielgruppe und Voraussetzungen

Security-Verantwortliche, Embedded-Entwickler, Release Manager, Qualitätsmanagement

Grundkenntnisse zu RAUC, Zertifikaten und Linux-Systemen sind erforderlich.

Schrittweise Seminarinhalte

1. Schritt 1: Sicherheitsziele von RAUC-Updates und Angriffsflächen einordnen.
2. Schritt 2: Zertifikate, Keyrings und Signaturprüfung schrittweise nachvollziehen.
3. Schritt 3: Entwicklungs-, Test- und Produktionsschlüssel sauber trennen.
4. Schritt 4: Signierprozesse in Build- und Release-Freigaben integrieren.
5. Schritt 5: Schlüsselrotation, Ablaufdaten und Widerrufsszenarien bewerten.
6. Schritt 6: Produktionsfreigaben, Vier-Augen-Prinzip und Auditfähigkeit strukturieren.

Praktische Übungen

• Aufbau einer einfachen Test-PKI für Bundle-Signaturen.
• Prüfung eines Bundles gegen passenden und unpassenden Keyring.
• Entwurf eines Schlüssel- und Freigabemodells für mehrere Umgebungen.
• Analyse typischer Fehlkonfigurationen in Signier- und Verifikationsketten.

Typische Einsatzszenarien

Sinnvoll für Produkte mit regulatorischen Anforderungen, langlebigen Feldgeräten, Lieferkettenkontrolle oder strikter Trennung zwischen Entwicklung und Release.