Seminar CHIPSEC – UEFI, Secure Boot und NVRAM prüfen

Das zweitägige Seminar behandelt UEFI-Variablen, NVRAM-Speicher, Secure-Boot-Schlüssel und Schutzattribute. Zwei Tage sind erforderlich, um Live-System und Firmwareabbild zu vergleichen, Schlüsselketten zu dekodieren, Attribut- und Berechtigungsfehler zu bewerten und sichere Retests durchzuführen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• UEFI-Variable Stores, Namespaces, GUIDs und Attribute einordnen.
• PK, KEK, db und dbx sowie ihren Vertrauensfluss nachvollziehen.
• Secure-Boot-Zustand, Schlüsselmaterial und Variablenschutz prüfen.
• Live-NVRAM und NVRAM im SPI-Abbild vergleichen.
• Fehlkonfigurationen, sensible Inhalte und Retestregeln dokumentieren.

Schrittweise Seminarinhalte

1. UEFI-Variablen und NVRAM-Architektur

Schwerpunkt: Variable Stores, Name, Vendor GUID, Daten, Attribute, Authentisierung, Laufzeit- und Bootzugriff sowie Speichergrenzen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „UEFI-Variablen und NVRAM-Architektur“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Variable Stores, Name, Vendor GUID, Daten, Attribute, Authentisierung, Laufzeit- und Bootzugriff sowie Speichergrenzen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein vollständiges UEFI-Variablenmodell erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. Sichere Variablenerfassung

Schwerpunkt: Live-Liste, gezielte Suche, Export, NVRAM aus Firmwareabbildern, Metadaten, Hashwerte, Datenschutz und Vergleichbarkeit.

1. Untersuchungsauftrag, Originalquelle, Schutzbedarf und Beweissicherungsregeln für „Sichere Variablenerfassung“ festlegen.
2. Artefakte anhand von Live-Liste, gezielte Suche, Export, NVRAM aus Firmwareabbildern, Metadaten, Hashwerte, Datenschutz und Vergleichbarkeit read-only erfassen, hashen, beschriften und getrennt vom Arbeitsmaterial ablegen.
3. Strukturen und Inhalte schrittweise dekodieren; Parserfehler und nicht interpretierbare Bereiche gesondert kennzeichnen.
4. Auffälligkeiten durch Vergleich, Zweiterfassung und Kontextdaten verifizieren; Fehlalarme nachvollziehbar ausschließen.
5. Als Arbeitsergebnis einen reproduzierbaren NVRAM-Erfassungsprozess mit Evidenzkette, Bewertung und Retestempfehlung erstellen.

3. Secure-Boot-Vertrauenskette

Schwerpunkt: Setup Mode, User Mode, PK, KEK, db, dbx, Signaturdatenbanken, Schlüsselwechsel, Deaktivierung und Wiederherstellung.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Secure-Boot-Vertrauenskette“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Setup Mode, User Mode, PK, KEK, db, dbx, Signaturdatenbanken, Schlüsselwechsel, Deaktivierung und Wiederherstellung erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine nachvollziehbare Secure-Boot-Vertrauenskette erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. Attribute und Zugriffsschutz

Schwerpunkt: NV, BS, RT, Authenticated Write, zeitbasierte Authentisierung, UEFI-Spezifikationskonformität, ungeschützte Variablen und Wiederanlage.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Attribute und Zugriffsschutz“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von NV, BS, RT, Authenticated Write, zeitbasierte Authentisierung, UEFI-Spezifikationskonformität, ungeschützte Variablen und Wiederanlage erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen priorisierten Variablenschutzbefund erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. Schlüssel- und Inhaltsanalyse

Schwerpunkt: Zertifikate, Hashes, Signaturlisten, unbekannte Einträge, gesperrte Images, sensible Daten, Duplikate und Plattformvergleich.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Schlüssel- und Inhaltsanalyse“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Zertifikate, Hashes, Signaturlisten, unbekannte Einträge, gesperrte Images, sensible Daten, Duplikate und Plattformvergleich erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine validierte Schlüssel- und Inhaltsanalyse erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

6. Negativtests, Recovery und Retest

Schwerpunkt: fehlende Attribute, unerwartete Schreibbarkeit, NVRAM-Erschöpfung, fehlerhafte Daten, Laborgrenzen, Recovery, Firmwareupdate und erneute Prüfung.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Negativtests, Recovery und Retest“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von fehlende Attribute, unerwartete Schreibbarkeit, NVRAM-Erschöpfung, fehlerhafte Daten, Laborgrenzen, Recovery, Firmwareupdate und erneute Prüfung in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein sicheres UEFI- und Secure-Boot-Runbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erfassung und Filterung von UEFI-Variablen auf einem Laborsystem.
• Dekodierung und Zuordnung von PK, KEK, db und dbx.
• Vergleich von Live-NVRAM und einem vorbereiteten Firmwareabbild.
• Bewertung von Attributfehlern und Erstellung eines Recovery- und Retestplans.

Zielgruppe und Voraussetzungen

Zielgruppe: Firmware Security, Secure-Boot-Verantwortliche, Endpoint Security, Incident Response, PKI und technische Revision.

Voraussetzungen: Grundverständnis von UEFI, Zertifikaten und digitaler Signatur; sichere CHIPSEC-Grundbedienung.

Didaktik und Arbeitsweise

Der erste Tag konzentriert sich auf Erfassung, Variablenmodell und Vertrauenskette; der zweite Tag auf Schutzbewertung, Imagevergleich und sichere Negativfälle. Schreiboperationen erfolgen nur an vorbereiteten Dateien oder ausdrücklich vorgesehenen Laborzielen.