Enhancing Transparency and Trust in Remote Attestation for Secure IT and OT Systems

The evolution of modern information technology (IT) and operational technology (OT) systems has increasingly led to modular, distributed, and heterogeneous architectures, introducing new security challenges. Trusted Computing technologies, such as the Trusted Platform Module (TPM) and remote attestation, provide mechanisms for verifying software integrity and fostering trust in systems. However, traditional remote attestation primarily focuses on monolithic systems, overlooking critical components such as virtual machines (VMs), software containers, microkernel-based systems, application-level VMs, interpreters, and the integrity of hardware. Moreover, the growing complexity of supply chains demands innovative approaches to ensure the trustworthiness of hardware and software throughout their entire lifecycle.

This thesis extends the principles and applications of TPM-based remote attestation to address these challenges. It introduces novel approaches to remote attestation in modular systems, including VMs, containers, microkernel-based partitions, and interpreters. Furthermore, attestation capabilities are enhanced through mechanisms for selective disclosure and hardware integrity measurement. Another key contribution is the development of a framework that improves the trustworthiness of secure supply chains by ensuring the authenticity and integrity of devices and processes through remote attestation.

The research includes the development of proofs of concept (PoCs) that demonstrate the practicality of these approaches, even in production-relevant systems. In addition, this work has significantly contributed to standardization efforts, including specifications for the Trusted Computing Group (TCG) and Internet Engineering Task Force (IETF). Open-source implementations, such as the CHARRA project, further highlight the practical applicability of this research.

Through rigorous evaluation and practical application, this dissertation addresses critical gaps in the field of remote attestation and paves the way for more robust and trustworthy computing systems in safety-critical domains and supply chain security.

Die Entwicklung moderner IT- und OT-Systeme hat zunehmend zu modularen, verteilten und heterogenen Architekturen geführt, die neue Sicherheitsherausforderungen mit sich bringen. Trusted-Computing-Technologien, wie das Trusted Platform Module (TPM) und „Remote Attestation“, bieten Mechanismen zur Verifizierung der Software-Integrität und zur Vertrauensbildung in Systeme. Traditionelle Remote Attestation konzentriert sich jedoch primär auf monolithische Systeme und vernachlässigt dabei wesentliche Komponenten wie virtuelle Maschinen (VMs), Software-Container, Mikrokernel-basierte Systeme, VMs auf Anwendungsebene, Interpreter sowie die Integrität von Hardware. Zudem erfordert die steigende Komplexität von Lieferketten neue Ansätze, um die Vertrauenswürdigkeit von Hard- und Software über deren gesamten Lebenszyklus sicherzustellen.

Diese Dissertation erweitert die Prinzipien und Anwendungen der TPM-basierten Remote Attestation, um diese Herausforderungen zu adressieren. Es werden neue Ansätze für die Remote Attestation in modularen Systemen wie VMs, Containern, Mikrokernel-basierten Partitionen und Interpretern entwickelt. Zudem wird die Attestierungsfähigkeit durch Mechanismen zur selektiven Offenlegung und zur Messung der Hardware-Integrität erweitert. Ein weiterer Beitrag ist die Entwicklung eines Frameworks, das die Vertrauenswürdigkeit in sicheren Lieferketten verbessert, indem die Authentizität und Integrität von Geräten und Prozessen durch Remote Attestation sichergestellt werden.

Die Forschung umfasst die Entwicklung von Machbarkeitsnachweisen („Proofs of Concept“), die die Praktikabilität dieser Ansätze auch auf produktionsrelevanten Systemen demonstrieren. Darüber hinaus hat die Arbeit zu bedeutenden Beiträgen in der Standardisierung geführt, einschließlich Spezifikationen für die Trusted Computing Group (TCG) und die Internet Engineering Task Force (IETF). Open-Source-Implementierungen, wie das Projekt CHARRA, unterstreichen die praktische Anwendbarkeit dieser Forschung.

Durch gründliche Evaluierung und praktische Anwendung schließt diese Dissertation wesentliche Lücken im Bereich der Remote Attestation und ermöglicht robustere und vertrauenswürdigere Computersysteme in sicherheitskritischen Bereichen und Lieferketten.