Seminar MCUboot Sicherheitsanalyse und Threat Modeling

Das zweitägige Fachseminar vermittelt die systematische Ermittlung von Angriffsflächen, Vertrauensgrenzen und Sicherheitsanforderungen einer MCUboot-basierten Produktarchitektur. Die technischen Zusammenhänge werden nicht nur beschrieben, sondern an einem durchgängigen Beispielsystem bis zu prüfbaren Boot- und Updatezuständen nachvollzogen.

Die Bearbeitung umfasst die Themenfelder Systemmodell, Assets und Bedrohungen, Kontrollen, Restrisiko und Sicherheitsnachweise. Jeder Themenblock beginnt mit einem eigenen Inhaltsverzeichnis, wird anschließend in klaren Arbeitsschritten umgesetzt und endet mit einer praktischen Prüfung einschließlich typischer Fehler- und Grenzfälle.

Inhaltsverzeichnis

• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Tag 1: Systemmodell, Assets und Bedrohungen
• Tag 2: Kontrollen, Restrisiko und Sicherheitsnachweise
• Praxisanteil
• Arbeitsweise

Zielgruppe

Security-Architekten, Firmware-Entwickler, technische Projektleiter, Prüfer und Produktverantwortliche.

Voraussetzungen

Grundlagen sicherer Bootketten, MCUboot-Komponenten und eingebetteter Angriffsmodelle.

Lernziele

• Assets, Angreiferfähigkeiten und Vertrauensgrenzen präzise beschreiben
• Bedrohungen für Build, Schlüssel, Image, Transport, Flash und Bootentscheidung ableiten
• MCUboot-Konfiguration und Plattformkontrollen gegen konkrete Risiken abgleichen
• prüfbare Sicherheitsanforderungen und negative Testfälle aus dem Bedrohungsmodell erzeugen

Seminarinhalte

Die Inhalte werden in aufeinander aufbauenden Kapiteln bearbeitet. Jedes Tageskapitel enthält ein eigenes Inhaltsverzeichnis und einen schrittweisen Praxisablauf.

Tag 1: Systemmodell, Assets und Bedrohungen

Inhaltsverzeichnis des Tageskapitels

• Boot-ROM, MCUboot, Anwendung, Update-Agent, Backend und Fertigungsumgebung
• Signaturschlüssel, Geräteschlüssel, Firmware, Security Counter und Bootstatus als Assets
• physische, lokale, entfernte und Lieferketten-Angreifer
• Vertrauensgrenzen an Buildsystem, Transport, Flash, Debug und Recovery
• Bedrohungskategorien für Manipulation, Rückstufung, Offenlegung und Verfügbarkeit

Schrittweise Bearbeitung

1. Schritt 1: „Boot-ROM, MCUboot, Anwendung, Update-Agent, Backend und Fertigungsumgebung“ wird fachlich eingeordnet; Systemgrenzen, Voraussetzungen und Abhängigkeiten werden festgehalten.
2. Schritt 2: Für „Signaturschlüssel, Geräteschlüssel, Firmware, Security Counter und Bootstatus als Assets“ werden die relevanten Konfigurationswerte, Datenstrukturen und Werkzeuge am Beispielprojekt nachvollzogen.
3. Schritt 3: „physische, lokale, entfernte und Lieferketten-Angreifer“ wird am Beispielprojekt praktisch umgesetzt und mit Bootmeldungen, Speicherinhalten oder Prüfdaten kontrolliert.
4. Schritt 4: Zu „Vertrauensgrenzen an Buildsystem, Transport, Flash, Debug und Recovery“ wird ein Fehler- oder Grenzfall gezielt erzeugt, ausgewertet und mit einer belastbaren Korrektur behoben.
5. Schritt 5: „Bedrohungskategorien für Manipulation, Rückstufung, Offenlegung und Verfügbarkeit“ wird abschließend in einen wiederholbaren Arbeits- und Prüfablauf für Entwicklungs- oder Produktionsprojekte überführt.

Praktische Umsetzung

Für ein vorgegebenes IoT-Gerät wird ein Datenfluss- und Vertrauensgrenzenmodell erstellt; daraus entsteht ein priorisierter Bedrohungskatalog.

Tag 2: Kontrollen, Restrisiko und Sicherheitsnachweise

Inhaltsverzeichnis des Tageskapitels

• Signaturprüfung, Verschlüsselung, Rollback-Schutz und Abhängigkeiten
• Fault-Injection-Hardening, Flashschutz, Debug-Sperre und sichere Fehlerzustände
• Missbrauch von Recovery, Testschlüsseln, Logs und Update-Agenten
• Zuordnung jeder Bedrohung zu Prävention, Erkennung und Wiederherstellung
• negative Tests, Abnahmekriterien und dokumentierte Restrisiken

Schrittweise Bearbeitung

1. Schritt 1: „Signaturprüfung, Verschlüsselung, Rollback-Schutz und Abhängigkeiten“ wird fachlich eingeordnet; Systemgrenzen, Voraussetzungen und Abhängigkeiten werden festgehalten.
2. Schritt 2: Für „Fault-Injection-Hardening, Flashschutz, Debug-Sperre und sichere Fehlerzustände“ werden die relevanten Konfigurationswerte, Datenstrukturen und Werkzeuge am Beispielprojekt nachvollzogen.
3. Schritt 3: „Missbrauch von Recovery, Testschlüsseln, Logs und Update-Agenten“ wird am Beispielprojekt praktisch umgesetzt und mit Bootmeldungen, Speicherinhalten oder Prüfdaten kontrolliert.
4. Schritt 4: Zu „Zuordnung jeder Bedrohung zu Prävention, Erkennung und Wiederherstellung“ wird ein Fehler- oder Grenzfall gezielt erzeugt, ausgewertet und mit einer belastbaren Korrektur behoben.
5. Schritt 5: „negative Tests, Abnahmekriterien und dokumentierte Restrisiken“ wird abschließend in einen wiederholbaren Arbeits- und Prüfablauf für Entwicklungs- oder Produktionsprojekte überführt.

Praktische Umsetzung

Das Bedrohungsmodell wird gegen eine konkrete MCUboot-Konfiguration geprüft; fehlende Kontrollen werden in technische Maßnahmen und ausführbare Tests übersetzt.

Praxisanteil

Der praktische Anteil umfasst für ein vorgegebenes iot-gerät wird ein datenfluss- und vertrauensgrenzenmodell erstellt; daraus entsteht ein priorisierter bedrohungskatalog; das bedrohungsmodell wird gegen eine konkrete mcuboot-konfiguration geprüft; fehlende kontrollen werden in technische maßnahmen und ausführbare tests übersetzt. Die Übungen verwenden signierte Test-Images, kontrollierte Flashzustände und nachvollziehbare Prüfergebnisse.

Arbeitsweise

Kurzvorträge ordnen die Konzepte ein. Demonstrationen zeigen die Wirkung der Konfiguration auf Image, Flash und Bootentscheidung. Die anschließenden Übungen werden schrittweise durchgeführt, durch Negativtests ergänzt und mit einer technischen Prüfliste dokumentiert.