Abschlussbericht

Abschlussbericht
Trusted Sensor Node
Der interne Flash ist 64 kByte groß und über einen Flash-Controller an den AMBA-Bus angeschlossen.
Zusätzlich verfügt der TSN über einen externen Flash der neben dem TSN
Mikrocontroller auf dem Printed Circuit Board (PCB) 3 platziert ist. Die Größe des externen
Flashs ist abhängig von den verwendeten Chips und beträgt im aktuellen Design 8 MByte.
Durch die Integration des internen Flashs auf dem Die bietet sich dieser für die Speicherung
von sensitiven Daten an. Eine manuelle Kontaktierung ist nur mit großem technischen
Aufwand und nicht ohne Beschädigung des Chipgehäuses möglich. Damit kann eine Änderung
des Inhaltes des Flashs ohne die Nutzung von TSN Komponenten weitestgehend
ausgeschlossen werden. Zur Sicherung des Flash-Speichers gegen Veränderungen des
Inhalts durch nicht autorisierten Programmtext wird in den TSN das Sicherheitsmodul integriert.
Das Modul befindet sich, wie in Abbildung 6.4 dargestellt, zwischen dem AMBA-Bus
und dem Flash-Controller. Zusätzlich kann das Sicherheitsmodul den Programm Counter
(PC) des LEON2-Kerns auslesen. Dies ermöglicht die Bestimmung der aktuellen Programmstelle
zum Zeitpunkt des Zugriffs. Der PC des LEON2-Kerns enthält die Adresse
des Befehls, der aktuell ausgeführt wird. Da der LEON2-Kern auf der Load/Store-Architektur
des SPARC basiert, kann der Zugriff auf den Flash nur durch eine Load/Store-Operation
erfolgen.
Ein schreibender Zugriff auf den Flash darf nur durch einen autorisierten Programmcode
erfolgen. Dieser muss Bestandteil der TCB sein. Die TCB (der interne Flash) wird beim
TSN immer auf einem festen Bereich des Adressraumes abgebildet. Alle Instruktionen der
TCB müssen sich innerhalb dieses Bereiches befinden. Wird ein schreibender Zugriff auf
dem Flash von einer anderen Speicheradresse ausgeführt, wird dieser Zugriff blockiert
und ein None-Maskable Interrupt (NMI) 4 generiert.
Trusted Boot Chain (TBC)
Ausgehend von der im vorangegangenen Abschnitt beschriebenen TCB und dem K root
lässt sich für den TSN, eine sichere Bootkette TBC, aufbauen. Bei einer TBC stellt, wie in
Abbildung 6.5 dargestellt, jedes Programmmodul sicher, dass das im Folgenden zu ladende
und auszuführende Modul vertrauenswürdig ist. Der Nachweis der Vertrauenswürdigkeit
kann mittels kryptographischer Prüfsummen erfolgen. Dabei ist bei der Verwendung
von internem Flash ein Hashwert ausreichend, bei der Verwendung von externem Flash
muss auf eine Signatur zurückgegriffen werden.
Die TBC wird beim ersten Einbringen der TSN-Software initialisiert. Hierzu wird der Programmtext
in einzelne Module unterteilt und separat eingespielt. Beim Einspielen eines
Moduls wird für das Modul mittels des K root oder eines davon abgeleiteten Schlüssels
eine Signatur erstellt. Die Signatur wird im internen Flash abgelegt und kann somit von außen
nicht verändert werden. Eine genaue Beschreibung hierzu erfolgt im Abschnitt 6.1.2.
Da nicht allgemeingültig vorausgesagt werden kann, in welcher Form die TBC aufgebaut
wird, kann im Rahmen des Projektes nur ein Framework für die TBC erstellt wer-
3 Printed Circuit Board ist die englische Bezeichnung für eine gedruckte Leiterplatte.
4 NMI sind Interrupts, die nicht von der CPU deaktiviert und damit zwingend behandelt werden müssen.
84