Seminar Trusted Firmware-A – Memory Management und XLAT-Tabellen

Das Seminar vermittelt die sichere Planung und Implementierung von Speicherabbildungen in TF-A. Physische und virtuelle Bereiche, Attribute, XLAT-Tables-v2-APIs, MMU-Initialisierung, Cache- und TLB-Pflege sowie Schutz von Code und Daten werden anhand realer Plattformkonfigurationen bearbeitet. Typische Fehler wie Überlappungen, falsche Ausrichtung und inkonsistente Attribute werden praktisch diagnostiziert.

Inhaltsübersicht

1. Adressräume und Speicherattribute
2. Speicherlayout der TF-A-Images
3. XLAT Tables Library v2
4. MMU- und Cache-Initialisierung
5. Schutz von Code und Daten
6. Kohärenter und nicht kohärenter Speicher
7. Fehleranalyse und Validierung

Lernziele

• Speicherbereiche und Attribute für TF-A-Boot-Stufen korrekt planen.
• XLAT-Tables-v2-APIs für statische und dynamische Mappings einsetzen.
• MMU-, Cache- und TLB-Initialisierung in der richtigen Reihenfolge ausführen.
• Code, Read-only-Daten, Geräte und gemeinsam genutzten Speicher sicher trennen.
• Adressierungs- und Attributfehler mit Map-Datei, Seitentabellen und Exception-Daten beheben.

Seminarinhalte

1. Adressräume und Speicherattribute

1. Schritt 1: Physische, virtuelle und gegebenenfalls Root- und Realm-Adressräume werden unterschieden.
2. Schritt 2: Normal Memory, Device Memory, Secure, Non-secure, ausführbar und read-only werden als orthogonale Eigenschaften erfasst.
3. Schritt 3: Granularität, Ausrichtung und Übersetzungsstufen werden aus Zielarchitektur und VA-Größe abgeleitet.

Praxis: Ein Plattformadressraum wird in eine vollständige Regionstabelle überführt.

2. Speicherlayout der TF-A-Images

1. Schritt 1: Code, rodata, Daten, BSS, Stacks, Heap und Plattformbereiche werden aus Linker-Symbolen ermittelt.
2. Schritt 2: Lade- und Laufzeitadressen werden gegen reservierte DRAM- und SRAM-Bereiche geprüft.
3. Schritt 3: Überlappungen und zu kleine Grenzwerte werden bereits im Build sichtbar gemacht.

Praxis: Eine fehlerhafte BL31-Speichergrenze wird anhand der Map-Datei korrigiert.

3. XLAT Tables Library v2

1. Schritt 1: Kontext, Regionendefinitionen und Initialisierung der Bibliothek werden im Quellcode nachvollzogen.
2. Schritt 2: Statische Regionen werden in konsistenter Reihenfolge registriert.
3. Schritt 3: Dynamische Regionen werden mit Lebensdauer, Sperrung und Fehlerbehandlung verwaltet.

Praxis: Ein zusätzlicher Gerätebereich wird sicher in die Seitentabellen aufgenommen.

4. MMU- und Cache-Initialisierung

1. Schritt 1: MAIR, TCR, TTBR und SCTLR werden aus der gewählten Konfiguration abgeleitet.
2. Schritt 2: Barrieren, Cache-Wartung und TLB-Invalidierung werden an den korrekten Stellen ausgeführt.
3. Schritt 3: Übergaben zwischen Stufen berücksichtigen vorhandene Cache- und MMU-Zustände.

Praxis: MMU-Aktivierung und ein kontrollierter Zugriff werden mit Registerprüfung nachvollzogen.

5. Schutz von Code und Daten

1. Schritt 1: Ausführbarer Code, nicht ausführbare Daten und read-only Bereiche werden getrennt gemappt.
2. Schritt 2: Nicht mehr benötigte Initialisierungsbereiche werden nach Möglichkeit freigegeben oder unzugänglich gemacht.
3. Schritt 3: Gemeinsam genutzte Puffer erhalten minimale Attribute und klare Eigentumswechsel.

Praxis: Ein übermäßig permissives Mapping wird auf minimale Rechte reduziert.

6. Kohärenter und nicht kohärenter Speicher

1. Schritt 1: Verwendung gemeinsam genutzter Datenstrukturen wird mit Cache-Kohärenz und Sperrkonzept abgestimmt.
2. Schritt 2: Plattformen ohne kohärenten Interconnect erhalten explizite Wartungsoperationen.
3. Schritt 3: Power-Management-Pfade sichern, dass Daten vor Abschalten oder Wiederanlauf sichtbar sind.

Praxis: Ein Mehrkern-Datenpfad wird auf fehlende Cache-Wartung untersucht.

7. Fehleranalyse und Validierung

1. Schritt 1: Translation Fault, Permission Fault und Alignment Fault werden über ESR und FAR unterschieden.
2. Schritt 2: Seitentabellen, Regionendefinitionen und tatsächliche Zugriffe werden gegeneinander geprüft.
3. Schritt 3: Ein Regressionstest stellt korrekte Attribute und unerlaubte Zugriffe sicher.

Praxis: Mehrere Speicherfehler werden diagnostiziert und mit gezielten Negativtests abgesichert.

Zielgruppe

Firmware-Entwickler, BSP-Entwickler, SoC-Integratoren und Security Engineers mit Verantwortung für Speicherisolation.

Voraussetzungen

Gute C- und Arm-A-Kenntnisse, Verständnis von MMU, Caches und virtueller Adressierung sowie TF-A-Architekturgrundlagen.

Praxisumgebung

Linux-Arbeitsplatz mit TF-A-Quellbaum, AArch64-Toolchain, Binutils, Debugger sowie QEMU oder FVP.