Seminar SEGGER emBoot-Secure / emSecure-Boot – Bedrohungsmodell und Sicherheitsarchitektur

Das Seminar überführt allgemeine Sicherheitsziele in eine konkrete Architektur für emBoot-Secure und emSecure-Boot. Ausgehend von Assets, Angreifern und Vertrauensgrenzen entstehen nachvollziehbare Sicherheitsentscheidungen, Zustandsmodelle und Testanforderungen für Entwicklung, Produktion und Feldbetrieb.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Assets, Angreifer, Angriffspfade und Vertrauensgrenzen vollständig erfassen.
• Root of Trust, Schlüsselhierarchie und Signaturprüfung konsistent entwerfen.
• Boot-, Update-, Recovery- und Fehlerzustände als sichere Zustandsmaschine modellieren.
• Anti-Hacking- und Anti-Cloning-Maßnahmen auf konkrete Risiken abbilden.
• Sicherheitsanforderungen in prüfbare Positiv-, Negativ- und Manipulationstests übersetzen.

Schrittweise Seminarinhalte

1. Systemkontext, Assets und Schutzbedarf

Schwerpunkt: Firmware, Bootloader, Schlüssel, Geräteidentitäten, Produktionsdaten, Updatepakete, Recovery-Images und Betriebsfähigkeit.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Systemkontext, Assets und Schutzbedarf“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Firmware, Bootloader, Schlüssel, Geräteidentitäten, Produktionsdaten, Updatepakete, Recovery-Images und Betriebsfähigkeit modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Asset- und Schutzbedarfsregister dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Angreifermodelle und Angriffsoberflächen

Schwerpunkt: physischer Zugriff, Debug-Schnittstellen, Speicherersatz, manipulierte Pakete, kompromittierte Build-Systeme und unkontrollierte Fertigung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Angreifermodelle und Angriffsoberflächen“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von physischer Zugriff, Debug-Schnittstellen, Speicherersatz, manipulierte Pakete, kompromittierte Build-Systeme und unkontrollierte Fertigung modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis einen priorisierten Angriffskatalog mit realistischen Fähigkeiten dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Trust Boundaries und Root of Trust

Schwerpunkt: Boot-ROM, OTP, öffentlicher Schlüssel, Signature Server, Build-Zone, Fertigung, Service und Feldgerät.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Trust Boundaries und Root of Trust“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Boot-ROM, OTP, öffentlicher Schlüssel, Signature Server, Build-Zone, Fertigung, Service und Feldgerät modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis ein Sicherheitszonen- und Vertrauensgrenzenmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Schlüssel- und Signaturarchitektur

Schwerpunkt: Schlüsselzwecke, Produktschlüssel, Geräteschlüssel, Algorithmusauswahl, Zugriff, Backup, Rotation und Sperrung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Schlüssel- und Signaturarchitektur“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Schlüsselzwecke, Produktschlüssel, Geräteschlüssel, Algorithmusauswahl, Zugriff, Backup, Rotation und Sperrung modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis eine belastbare Schlüsselhierarchie mit Verantwortlichkeiten dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Sichere Boot- und Update-Zustandsmaschine

Schwerpunkt: Paket vorhanden oder nicht vorhanden, Signaturprüfung, Versionsprüfung, Installation, Start, Wiederanlauf und sichere Fehlerzustände.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Sichere Boot- und Update-Zustandsmaschine“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Paket vorhanden oder nicht vorhanden, Signaturprüfung, Versionsprüfung, Installation, Start, Wiederanlauf und sichere Fehlerzustände modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis eine deterministische Zustandsmaschine mit Abbruchkriterien dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. Recovery, Verfügbarkeit und unerwünschte Rückstufungen

Schwerpunkt: Recovery-Image, Stromausfall, unvollständige Installation, beschädigte Firmware, Versionspolitik und kontrollierte Wiederherstellung.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Recovery, Verfügbarkeit und unerwünschte Rückstufungen“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Recovery-Image, Stromausfall, unvollständige Installation, beschädigte Firmware, Versionspolitik und kontrollierte Wiederherstellung modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Verfügbarkeits- und Recovery-Konzept dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Sicherheitsanforderungen und Abnahmetests

Schwerpunkt: Missbrauchsfälle, Negativtests, Manipulationsversuche, Fault Injection, Auditnachweise und Freigabekriterien.

1. Ausgangslage, Schutzbedarf und Zielkriterien für den Themenblock „Sicherheitsanforderungen und Abnahmetests“ erfassen.
2. Relevante Komponenten, Daten, Rollen und Abhängigkeiten anhand von Missbrauchsfälle, Negativtests, Manipulationsversuche, Fault Injection, Auditnachweise und Freigabekriterien modellieren.
3. Die erforderliche Konfiguration, Implementierung oder Prozessfolge am Laborsystem beziehungsweise am Architekturmodell schrittweise umsetzen.
4. Funktion, Sicherheitsgrenzen, Fehlerverhalten und Nachvollziehbarkeit mit definierten Positiv-, Negativ- und Manipulationsfällen prüfen.
5. Als Arbeitsergebnis einen rückverfolgbaren Sicherheits- und Testkatalog dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Durchführung eines strukturierten Threat-Modeling-Workshops für eine Beispielplattform.
• Entwurf einer Root-of-Trust- und Schlüsselarchitektur für mehrere Produktvarianten.
• Modellierung sicherer Fehlerzustände bei ungültigem Paket, Stromausfall und beschädigter Firmware.
• Erstellung eines Security-Testkatalogs mit Positiv-, Negativ- und Manipulationsfällen.

Zielgruppe und Voraussetzungen

Zielgruppe: Product Security, Embedded- und Systemarchitektur, Bootloader-Entwicklung, Security Engineering, Qualitätssicherung und technische Projektleitung.

Voraussetzungen: Grundlagen in Embedded-Architekturen, Bootloadern und Software-Lifecycle; Kenntnisse asymmetrischer Kryptografie sind hilfreich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Architekturarbeit, Demonstrationen, strukturierte Implementierungsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte, Negativfälle und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Entwicklungs-, Produktions- oder Betriebsstandard wiederholbar bleiben.