Seminar NitroPad Tamper Detection und Evil-Maid-Schutz

Evil-Maid-Angriffe nutzen unbeaufsichtigten physischen Zugriff, um Firmware, Bootpfad oder Hardware zu verändern. Das NitroPad kombiniert physische Kontrollen mit Measured Boot und kryptografischen Signalen, benötigt aber klare Prüfroutinen und konsequente Reaktion auf Abweichungen.

Das Seminar entwickelt ein mehrschichtiges Schutzkonzept für Arbeitsplatz, Transport, Hotel, Veranstaltung und Rückkehr und übt die Behandlung verdächtiger Zustände.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

Evil-Maid-Angriffe nutzen unbeaufsichtigten physischen Zugriff, um Firmware, Bootpfad oder Hardware zu verändern. Das NitroPad kombiniert physische Kontrollen mit Measured Boot und kryptografischen Signalen, benötigt aber klare Prüfroutinen und konsequente Reaktion auf Abweichungen. Das Seminar entwickelt ein mehrschichtiges Schutzkonzept für Arbeitsplatz, Transport, Hotel, Veranstaltung und Rückkehr und übt die Behandlung verdächtiger Zustände.

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Sicherheitsbetrieb, reisende Hochschutzrollen, Incident Response, Endgeräteverantwortung und technische Revision.

Voraussetzungen: Grundverständnis von Heads, Nitrokey, TPM und sicherem Endgerätebetrieb.

Lernziele

• Physische und firmwarebezogene Manipulationspfade erkennen.
• Siegel, Sichtprüfung und Verwahrung sinnvoll kombinieren.
• Heads- und Nitrokey-Signale korrekt bewerten.
• Reise- und Rückkehrchecklisten anwenden.
• Verdachtsfälle sichern und in Incident Response überführen.

Seminarinhalte

1. Angriffsmodell und Schutzschichten

Der Angriff wird in Vorbereitung, Manipulation und spätere Ausnutzung zerlegt.

1. Schritt 1: Mögliche Zugriffe auf Gerät, Netzteil, Datenträger und USB-Ports erfassen.
2. Schritt 2: Firmware-, Bootloader-, Kernel- und Hardwaremanipulation unterscheiden.
3. Schritt 3: Detektive, präventive und reaktive Maßnahmen zuordnen.
4. Schritt 4: Schutzprofil nach Reisedauer, Datenklasse und Gegnerfähigkeit festlegen.

2. Physische Kontrolle und Verwahrung

Sichtbare Maßnahmen ergänzen die kryptografische Prüfung.

1. Schritt 1: Gehäuse, Schrauben, Anschlüsse und Siegelpositionen dokumentieren.
2. Schritt 2: Manipulationsanzeigende Siegel korrekt anbringen und Referenzbilder sichern.
3. Schritt 3: Gerät vollständig ausschalten und sichere Transportform wählen.
4. Schritt 4: Unbeaufsichtigte Lagerung minimieren und Zugriffskette dokumentieren.

3. Measured Boot und Nitrokey-Signal

Das Startsignal wird als Hinweis mit technischen Voraussetzungen verstanden.

1. Schritt 1: Unveränderten Startzustand und erwartete Anzeige erfassen.
2. Schritt 2: Nitrokey nur nach vorheriger Sichtprüfung verbinden.
3. Schritt 3: Abweichendes Signal, TOTP-/TPM-Warnung oder Hash-Mismatch nicht bestätigen.
4. Schritt 4: Meldung, Zeitpunkt und sichtbare Geräteabweichungen gemeinsam dokumentieren.

4. Reise- und Rückkehrprozess

Wiederholbare Checklisten reduzieren Gewöhnung und Auslassungen.

1. Schritt 1: Vor Abreise Backup, Firmwarestand und Baseline prüfen.
2. Schritt 2: Während der Reise Verwahrung und ungewöhnliche Ereignisse protokollieren.
3. Schritt 3: Vor dem ersten Start nach unbeaufsichtigtem Zugriff Sichtkontrolle durchführen.
4. Schritt 4: Heads-/Nitrokey-Signal prüfen und erst danach Betriebssystem entsperren.
5. Schritt 5: Rückkehrprüfung mit vollständigem Änderungsabgleich abschließen.

5. Verdachtsfall und Eskalation

Ein verdächtiges Gerät wird nicht durch neue Signaturen normalisiert.

1. Schritt 1: Gerät isolieren und unbekannte Änderungen nicht autorisieren.
2. Schritt 2: Physische Spuren und Heads-Meldungen sichern.
3. Schritt 3: Firmware-, Boot- und Betriebssystemanalyse durch zuständige Rollen veranlassen.
4. Schritt 4: Recovery, Re-Ownership oder Austausch nach Beweislage auswählen.
5. Schritt 5: Zugangsdaten und Nitrokey-Registrierungen bei möglicher Kompromittierung sperren.

Praxisübungen

• Aufbau einer Reisecheckliste und Siegeldokumentation.
• Kontrollierte Abweichung des Bootzustands mit korrekter Reaktion.
• Simulierter Verdachtsfall vom Erstfund bis zur Eskalationsentscheidung.

Methodik

Das Seminar kombiniert Bedrohungsmodell, physische Übungen und Heads-Simulation. Der Schwerpunkt liegt auf konsistenter Erkennung und darauf, verdächtige Zustände nicht durch Routinebestätigung zu legitimieren.