Seminar Trusted Firmware-A – Realm Management Extension und Arm CCA

Die Schulung ordnet die Realm Management Extension in die Arm Confidential Compute Architecture ein und zeigt die Aufgaben von TF-A beim Übergang zwischen Root-, Realm-, Secure- und Non-secure-Welt. Granule-Schutz, GPT, RMM-Handoff, Bootanforderungen, Ressourcenaufteilung und Teststrategien werden schrittweise aufgebaut.

Inhaltsübersicht

1. CCA-Architektur und Sicherheitszustände
2. RME-Fähigkeiten und Plattformvoraussetzungen
3. Granule Protection und GPT
4. RMM-Image und Boot-Handoff
5. Root-World-Laufzeitpfade
6. Interrupts und gemeinsame Ressourcen
7. Integration mit Hypervisor und Realm-Payload
8. Sicherheits- und Isolationstests
9. Abnahme und Betriebsgrenzen

Lernziele

• CCA-Sicherheitszustände und Verantwortungsgrenzen zwischen TF-A, RMM, Hypervisor und Realm verstehen.
• Granule Protection Tables initialisieren und Speicherzustände kontrolliert überführen.
• RMM laden, authentisieren, konfigurieren und mit gültigen Übergabedaten starten.
• Realm-bezogene SMC- und Interruptpfade in die Gesamtarchitektur einordnen.
• RME-Integration mit Positiv-, Negativ- und Isolationsprüfungen validieren.

Seminarinhalte

1. CCA-Architektur und Sicherheitszustände

1. Schritt 1: Root, Realm, Secure und Non-secure werden nach Privileg und Speicherzugriff abgegrenzt.
2. Schritt 2: TF-A, RMM, Hypervisor und Realm-Payload erhalten eindeutige Verantwortlichkeiten.
3. Schritt 3: Boot- und Laufzeitgrenzen werden in einem Vertrauensdiagramm dargestellt.

Praxis: Ein vollständiges CCA-Komponenten- und Vertrauensmodell wird erstellt.

2. RME-Fähigkeiten und Plattformvoraussetzungen

1. Schritt 1: CPU-, GIC-, Speicher- und Modellvoraussetzungen werden gegen die Zielplattform geprüft.
2. Schritt 2: Buildoptionen und Firmwarekomponenten werden als reproduzierbares Profil festgelegt.
3. Schritt 3: Nicht verfügbare Funktionen werden früh erkannt und mit geeigneten Alternativen dokumentiert.

Praxis: Eine RME-Fähigkeitsmatrix wird für Modell und Zielhardware erstellt.

3. Granule Protection und GPT

1. Schritt 1: Physischer Speicher wird in Granules und anfängliche Sicherheitszustände eingeteilt.
2. Schritt 2: GPT-Strukturen werden mit korrekter Größe, Ausrichtung und Abdeckung angelegt.
3. Schritt 3: Übergänge zwischen Zuständen werden nur nach Ownership- und Lebenszyklusprüfung ausgeführt.

Praxis: Ein Speicherbereich wird kontrolliert zwischen Non-secure-, Realm- und Root-Zustand überführt.

4. RMM-Image und Boot-Handoff

1. Schritt 1: RMM-Image, Ladeadresse, Größe und Authentisierungsanforderung werden definiert.
2. Schritt 2: Manifest- oder Übergabedaten werden aus vertrauenswürdiger Plattformkonfiguration erzeugt.
3. Schritt 3: RMM-Einstieg erfolgt erst nach GPT-, GIC- und Speicherinitialisierung in festgelegter Reihenfolge.

Praxis: RMM wird geladen und der erfolgreiche Initialisierungshandoff protokolliert.

5. Root-World-Laufzeitpfade

1. Schritt 1: RMI- und SMC-bezogene Aufrufwege werden zwischen Hypervisor, TF-A und RMM verfolgt.
2. Schritt 2: Registerkontext und Sicherheitszustandswechsel werden auf unerlaubte Datenübernahme geprüft.
3. Schritt 3: Fehlercodes und Abbruchbedingungen bleiben über alle Schichten nachvollziehbar.

Praxis: Ein Realm-Management-Aufruf wird schrittweise durch alle beteiligten Komponenten verfolgt.

6. Interrupts und gemeinsame Ressourcen

1. Schritt 1: Interruptgruppen und Zuständigkeiten werden für Root-, Realm- und Non-secure-Komponenten festgelegt.
2. Schritt 2: Gemeinsame Timer, Konsolen und Debugpfade werden auf Informationsabfluss geprüft.
3. Schritt 3: DMA-fähige Geräte und Speicherzugriffe werden in das Isolationsmodell einbezogen.

Praxis: Eine Ressourcenmatrix zeigt zulässige Zugriffe und notwendige Schutzmaßnahmen.

7. Integration mit Hypervisor und Realm-Payload

1. Schritt 1: Bootreihenfolge und Versionen der beteiligten Komponenten werden auf Kompatibilität geprüft.
2. Schritt 2: Hypervisor und Realm-Payload erhalten nur die vorgesehenen Schnittstellen und Speicherbereiche.
3. Schritt 3: Fehler bei Realm-Erstellung oder -Zerstörung werden bis zur verursachenden Schicht zurückverfolgt.

Praxis: Ein einfacher Realm-Lebenszyklus wird gestartet, geprüft und beendet.

8. Sicherheits- und Isolationstests

1. Schritt 1: Unerlaubte Speicherzugriffe zwischen den vier Zuständen werden als Negativtests definiert.
2. Schritt 2: Fehlerhafte GPT-Zustände, ungültige Manifeste und falsche RMM-Adressen werden injiziert.
3. Schritt 3: Die Plattform muss kontrolliert abbrechen oder einen eindeutigen Fehler melden.

Praxis: Eine Isolationstestreihe weist zulässige und unzulässige Übergänge nach.

9. Abnahme und Betriebsgrenzen

1. Schritt 1: RME-Build, Plattformkonfiguration und Komponentenstände werden gemeinsam versioniert.
2. Schritt 2: Debug- und Diagnosemöglichkeiten werden ohne Aufweichung der Vertraulichkeit festgelegt.
3. Schritt 3: Bekannte Grenzen und Recovery-Pfade werden für Integration und Betrieb dokumentiert.

Praxis: Eine RME-Abnahmecheckliste wird mit Mess- und Lognachweisen ausgefüllt.

Zielgruppe

Firmware- und Virtualisierungsentwickler, Plattformarchitekten, Security Engineers, Hypervisor-Teams und Integratoren vertraulicher Rechenumgebungen.

Voraussetzungen

Sehr gute TF-A- und AArch64-Kenntnisse, Grundlagen zu Virtualisierung, MMU, GIC und Secure Monitor sowie C- und Debugging-Erfahrung.

Praxisumgebung

Linux-Arbeitsplatz mit RME-fähigem FVP oder geeigneter Hardware, TF-A, RMM, Hypervisor- und Realm-Testkomponenten, AArch64-Toolchain und Debugger.