Seminar SMM & SMRAM Security: Architektur, Angriffsflächen, Risiko-Reduktion

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte und Agenda
• Praxis
• Ergebnisse und Transfer

Abstract

Dieses Seminar liefert ein technisches Sicherheitsmodell für System Management Mode (SMM) und dessen Speicherbereich SMRAM. SMM wird als firmwarekonfigurierter CPU-Modus behandelt, der per SMI ausgelöst wird, Kontext in SMRAM sichert und Ausführung unabhängig vom aktuellen Kernel- oder Userspace-Kontext erzwingt. Dadurch entstehen besondere Privilegien und Angriffsflächen. Der Kurs verbindet Architektur (SMI, Save-State, SMBASE/Relocation) mit typischen Fehlerklassen (untrusted input, BAR-Manipulation, Handler-Fehlannahmen) und leitet daraus konkrete Härtungs- und Teststrategien ab.

Zielgruppe

• Firmware Security Engineering
• BIOS/coreboot/UEFI-Entwicklung
• Incident Response mit Firmware-Bezug

Voraussetzungen

• Grundlagen x86-Architektur (Ring-Modell, Interrupts)
• Basiswissen C/ASM-Lesen hilfreich

Lernziele

• SMM-Auslösung und Ablauf erklären (SMI, Save-State, RSM)
• Rolle von SMRAM und SMBASE/Relocation sicher einordnen
• Typische Angriffspfade und Fehlerklassen in SMI-Handlern ableiten
• Sicherheitsanforderungen für “Ownership Transition” formal definieren (Trust Boundaries, Inputs, Lockdown)

Inhalte und Agenda

Tag 1

• SMM-Mechanik: SMI als Trigger, Kontext-Sicherung in SMRAM, Rückkehr via RSM
• SMRAM-Aufbau, Save-State, SMBASE-Grundlagen und Relocation
• Warum SMM als hochprivilegierter Angriffsraum gilt (“Ring -2” Kontext in der Praxis)

Tag 2

• Angriffsklassen: Untrusted Input, Register/BAR-Manipulationen, Handler-Fehlannahmen
• Härtungsprinzipien: Validierung, Least Privilege, Locking, Fail-Hard, Logging
• Test- und Review-Strategien für SMI-Handler

Praxis

• Threat Model für SMM-Features
  • Asset-Liste erstellen (SMRAM-Inhalt, Flash-Regionen, NVRAM/Variablen, ACPI-Steuerung)
  • Entry Points und Inputs enumerieren (IO-Ports, ACPI/SMI-Mechanismen, Shared Buffers)
  • Trust Boundary markieren: OS-Kernel ist nicht automatisch vertrauenswürdig
  • Mitigations pro Input definieren (Validierung, Range-Checks, Lockdown)
• Review-Checkliste für SMI-Handler
  • Identifizieren aller extern beeinflussbaren Datenpfade
  • Prüfen: Address-Ranges, BAR-Validierung, SMRAM-Overlaps
  • “Fail hard”-Entscheidungen dokumentieren

Ergebnisse und Transfer

• Wiederverwendbares Threat-Model-Template für LinuxBootSMM-Projekte
• Checklisten für Design- und Code-Reviews von SMM/MM-Komponenten