Seminar STM32 – OEMiRoT und OEMuRoT auf modernen STM32-MCUs

OEMiRoT und OEMuRoT verbinden die offene MCUboot-Architektur mit den Schutzmechanismen moderner STM32-MCUs. Die praktische Herausforderung liegt in der Abstimmung von Bootpfad, Product State, geschützten Speicherbereichen, Schlüssel- und Counter-Provisionierung, Secure- und Nonsecure-Images sowie Update- und Regressionsabläufen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Immutable und updatable Root-of-Trust-Stufen sowie ihre Vertrauensgrenzen korrekt entwerfen
• STM32Cube-Beispiele auf ein eigenes Speicher-, Board- und Anwendungslayout übertragen
• Schutzmaßnahmen, Schlüssel, Counter und Product State kontrolliert provisionieren
• Secure- und Nonsecure-Images erzeugen, aktualisieren, bestätigen und negativ testen

Zielgruppe

Erfahrene STM32-Entwickler, Security- und Systemarchitekten, Bootloader-Teams, technische Consultants und Produktintegratoren.

Voraussetzungen

Sehr gute STM32- und C-Kenntnisse, Erfahrung mit STM32CubeIDE oder vergleichbarer Toolchain, Linkerskripten und STM32CubeProgrammer. Grundkenntnisse in TrustZone und MCUboot sind hilfreich.

Seminarinhalte

1. Schritt 1: Plattformfähigkeiten erfassen

   Boot-ROM, TrustZone, geschützte Domänen, Secure-Storage-Optionen, Write Protection, Product State, Debug Authentication und externe Speicher werden für die konkrete Zielserie ermittelt.

2. Schritt 2: Bootpfad auswählen

   Eine immutable OEMiRoT-Stufe oder eine Kombination aus unveränderlicher erster Stufe und aktualisierbarer OEMuRoT-Stufe wird nach Wartungs- und Zertifizierungsbedarf ausgewählt.

3. Schritt 3: Referenzprojekt reproduzieren

   Unverändertes Bootprojekt, Provisionierungsskripte, Beispielanwendung und Image-Werkzeuge werden zunächst auf der vorgesehenen Evaluierungshardware vollständig gebaut und geprüft.

4. Schritt 4: Schutzprofil verstehen

   Statische Option-Byte-Prüfungen, Laufzeitschutz, geschützte Ausführungsebene, Schlüsselzugriff und Verifikation vor dem Anwendungssprung werden im Bootcode lokalisiert.

5. Schritt 5: Flash- und Datenlayout konfigurieren

   Bootstufen, Code- und Datenimages, Secure- und Nonsecure-Slots, Scratch oder Overwrite-Bereich, Counter, Hashreferenzen und optionale externe Speicher werden dimensioniert.

6. Schritt 6: Schlüssel- und Countermodell festlegen

   Authentifizierungs- und optionale Verschlüsselungsschlüssel, öffentliche Vertrauensanker, nichtflüchtige Anti-Rollback-Counter und sichere Datenbereiche werden auf den Gerätelebenszyklus abgestimmt.

7. Schritt 7: Provisionierung vorbereiten

   Konfigurationsdateien, Schlüsselmaterial, Option Bytes, geschützte Daten und Programmer-Abläufe werden in einer reversiblen Entwicklungsstufe geprüft, bevor dauerhafte Zustände gesetzt werden.

8. Schritt 8: Bootimage erzeugen

   OEMiRoT- oder OEMuRoT-Bootcode wird mit passender Imageanzahl, Updateart, Speichergeometrie und Schutzkonfiguration gebaut und auf Konsistenz geprüft.

9. Schritt 9: Anwendung an den Bootpfad anpassen

   Secure- und Nonsecure-Linkerbereiche, Vektortabellen, Headerreserve, Startadressen, Datenimages und Bestätigungslogik werden in das Produktprojekt übernommen.

10. Schritt 10: Initiale Images erstellen

    Code- und optionale Datenimages werden signiert, verschlüsselt, versioniert und mit Security Countern versehen. Erzeugte Metadaten werden vor dem Flashen validiert.

11. Schritt 11: Board kontrolliert provisionieren

    Bootcode, Trust Anchors, Counter, Option Bytes und Anwendung werden in der vorgesehenen Reihenfolge programmiert, verifiziert und in den gewählten Product State überführt.

12. Schritt 12: Firmware-Update durchführen

    Ein neues Image wird in den Downloadbereich übertragen, geprüft, installiert, testweise gestartet und durch die Anwendung bestätigt oder automatisch verworfen.

13. Schritt 13: OEMuRoT-Aktualisierung bewerten

    Die Aktualisierbarkeit einer zweiten Root-of-Trust-Stufe wird gegen zusätzliche Komplexität, Schlüsseltrennung, Recovery und Abhängigkeit zur ersten Stufe abgewogen.

14. Schritt 14: Regression und Servicezugang planen

    Temporäre Debugöffnung, Regression, Dateninvalidierung, Neu-Provisionierung und Service-Images werden vor dem Schließen des Produkts getestet.

15. Schritt 15: Schutz- und Fehlertests ausführen

    Manipulierte Images, falscher Counter, beschädigte Datenimages, unzulässiger Debugzugriff, Reset während Installation und falsche Option Bytes werden systematisch geprüft.

Praxisübungen

• Aufbau eines OEMiRoT-Bootpfads aus einem STM32Cube-Referenzprojekt
• Anpassung von Imageanzahl, Slotgrößen und Secure/Nonsecure-Speicherlayout
• Erzeugung und Provisionierung signierter Code- und optionaler Datenimages
• Durchführung eines bestätigten Updates und eines erzwungenen Revert-Falls
• Review eines OEMuRoT- und Debug-Authentication-Lifecycle-Konzepts

Methodik

Die Übungen beginnen mit einem unveränderten Referenzprojekt und verändern jeweils nur eine Architekturvariable. Provisionierungs- und Schutzschritte werden mit Checkpoints, Dump-Dateien und Rückfallplan durchgeführt, bevor dauerhafte Gerätezustände aktiviert werden.