Seminar Trusted Firmware-A – Firmware Update und Recovery

Die Schulung behandelt Firmware-Aktualisierung als sicherheitskritischen Zustandsprozess und nicht als bloßen Dateiaustausch. PSA-Firmware-Update, TBBR-Recovery, Image-Banken, Metadaten, Zustandsautomaten, Authentisierung und Wiederanlauf nach Stromausfall werden zu einem robusten Plattformkonzept verbunden. Praktische Szenarien zeigen, wie unvollständige oder manipulierte Updates erkannt und kontrolliert behandelt werden.

Inhaltsübersicht

1. Bedrohungen und Lebenszyklusanforderungen
2. PSA-Firmware-Update und TBBR-Recovery
3. Image-Banken und Metadaten
4. Boot-Stufen und Zustandsautomat
5. Authentisierung und Versionsschutz
6. Stromausfall und Korruption
7. Test, Freigabe und Betrieb

Lernziele

• Update-, Recovery- und Rollback-Anforderungen für eine Plattform trennscharf definieren.
• PSA-FWU- und TBBR-Recovery-Konzepte in TF-A fachlich einordnen.
• Image-Banken, Metadaten und Zustandsübergänge fehlertolerant gestalten.
• Authentisierung, Versionsschutz und Wiederherstellung miteinander verbinden.
• Stromausfall-, Korruptions- und Abbruchtests als Freigabebestandteil etablieren.

Seminarinhalte

1. Bedrohungen und Lebenszyklusanforderungen

1. Schritt 1: Updatequellen, Angreiferfähigkeiten, Ausfallarten und verfügbare Vertrauensanker werden erfasst.
2. Schritt 2: Installation, Aktivierung, Bestätigung, Rückfall und Recovery werden als getrennte Zustände definiert.
3. Schritt 3: Verfügbarkeit und Sicherheit werden mit klaren Prioritäten und Abbruchregeln versehen.

Praxis: Für eine Beispielplattform wird ein Update-Bedrohungsmodell mit Mindestanforderungen erstellt.

2. PSA-Firmware-Update und TBBR-Recovery

1. Schritt 1: Zweck, Umfang und Rollen der beiden Mechanismen werden gegenübergestellt.
2. Schritt 2: Client, Update Agent, Boot-Firmware und Plattformzustand werden voneinander abgegrenzt.
3. Schritt 3: Geeignete Einsatzmuster für reguläres Update und Wiederherstellung werden ausgewählt.

Praxis: Zwei Produktanforderungen werden dem passenden Mechanismus und Verantwortungsmodell zugeordnet.

3. Image-Banken und Metadaten

1. Schritt 1: Aktive, kandidierende und bestätigte Images werden in einem konsistenten Bankmodell abgebildet.
2. Schritt 2: Metadaten erhalten Integritätsschutz, Sequenzierung und atomare Aktualisierungsregeln.
3. Schritt 3: Unvollständige oder widersprüchliche Zustände werden beim Booten eindeutig aufgelöst.

Praxis: Ein Bank- und Metadatenlayout wird entworfen und mit mehreren Fehlerzuständen geprüft.

4. Boot-Stufen und Zustandsautomat

1. Schritt 1: BL1- und BL2-Aufgaben während Recovery und normalem Boot werden festgelegt.
2. Schritt 2: Übergänge werden nur nach erfolgreicher Prüfung und persistenter Zustandsänderung ausgeführt.
3. Schritt 3: Wiederholungen, Zeitouts und begrenzte Startversuche verhindern Endlosschleifen.

Praxis: Ein Update-Zustandsautomat wird in Tabellenform erstellt und gegen Ausfallfälle getestet.

5. Authentisierung und Versionsschutz

1. Schritt 1: Signaturen und Chain of Trust werden für alte, neue und Recovery-Images konsistent angewendet.
2. Schritt 2: Rollback-Schutz und nicht flüchtige Zähler werden mit Produktions- und Serviceprozessen abgestimmt.
3. Schritt 3: Schlüsselwechsel und gesperrte Versionen werden ohne Umgehung des Vertrauensmodells eingeplant.

Praxis: Mehrere Updatepakete werden anhand von Signatur- und Versionsregeln akzeptiert oder verworfen.

6. Stromausfall und Korruption

1. Schritt 1: Kritische Schreibpunkte werden identifiziert und auf atomare beziehungsweise wiederholbare Operationen reduziert.
2. Schritt 2: Unterbrechungen werden an definierten Stellen injiziert und der nächste Bootpfad beobachtet.
3. Schritt 3: Defekte Metadaten, beschädigte Images und fehlende Nutzlasten werden in sichere Zustände überführt.

Praxis: Ein Update wird an mehreren Punkten abgebrochen und anschließend kontrolliert wiederaufgenommen oder zurückgerollt.

7. Test, Freigabe und Betrieb

1. Schritt 1: Positive, negative, Unterbrechungs- und Wiederherstellungstests werden als Matrix beschrieben.
2. Schritt 2: Updateartefakte erhalten Version, Prüfsumme, Kompatibilitätsangaben und Freigabestatus.
3. Schritt 3: Betriebsprotokolle und Serviceverfahren werden so gestaltet, dass kein unsicherer manueller Eingriff nötig ist.

Praxis: Ein vollständiger Abnahmelauf mit Update, Bestätigung, Fehlschlag und Recovery wird durchgeführt.

Zielgruppe

Firmware-Entwickler, Security Engineers, Plattformarchitekten, Release-Teams und Betreiber eingebetteter Arm-Systeme.

Voraussetzungen

TF-A-Boot- und Trusted-Boot-Grundlagen, C-Kenntnisse, Verständnis von Flash-Speichern, Signaturen und robusten Zustandsautomaten.

Praxisumgebung

Linux-Arbeitsplatz mit TF-A-Build, zwei simulierten Firmware-Banken, Signierwerkzeugen und QEMU oder FVP für Abbruchtests.