OTA-Updates: Software aus der Ferne aktualisieren #120
Worüber gesprochen wird
Für diese Episode wurden keine Namen gefunden, die sie von den anderen unterscheiden.
Beschreibung der Episode
Wie hört die deutschsprachige Tech-Community Podcasts? Das will die erste große Tech-Podcast-Umfrage herausfinden, gestartet vom Engineering Kiosk, und wir sind dabei. Macht bis zum 24. Dezember mit, es dauert nur ein paar Minuten: https://engineeringkiosk.github.io/german-tech-podcast-survey/
-----
Ein Over-the-Air-Update ist eine verteilte Transaktion auf Hardware, vor der gerade niemand steht. Der USB-Stick des Servicetechnikers funktioniert bei einem Gerät, aber nicht bei einer Roboterflotte, und er hinterlässt keinen Audit-Trail. Geprägt hat das Verfahren die Automobilindustrie. Mit dem Cyber Resilience Act wird es für jeden Hersteller zum Thema: Schwachstellen müssen gemeldet und über den Supportzeitraum mit Sicherheitsupdates behoben werden.
Aktualisieren lässt sich auf mehreren Ebenen, vom Bootloader und der Firmware über Betriebssystem und Container bis zu Apps, Agenten und reinen Konfigurationsdateien. Je tiefer die Ebene, desto teurer der Fehler, im schlimmsten Fall bleibt ein Hard Brick. Ein komplettes Image ist einfach und unabhängig vom Zustand des Zielsystems, ein Delta spart Bandbreite, setzt aber voraus, dass Ihr den Stand jedes Geräts exakt kennt. Weil Geräte im geschützten Netz von außen nicht erreichbar sind, läuft die Verteilung meist hybrid: Über eine ausgehende MQTT- oder WebSocket-Verbindung kommt nur der Anstoß, das Paket holt sich ein Agent auf dem Gerät selbst per HTTPS.
Damit ein fehlgeschlagenes Update kein Gerät lahmlegt, landet die neue Version bei A/B-Partitionen neben der laufenden, wird geprüft und erst dann aktiviert. Besteht sie den Health Check nicht, folgt der Rollback. Für das Vertrauen sorgen zwei getrennte Mechanismen: die Signatur des Pakets, deren Public Key auf dem Gerät hinterlegt ist, und das TLS-Zertifikat des Update-Servers, das in einer eigenen PKI wechseln können muss, ohne die Flotte auszusperren. Wer weitergehen will, schützt sich gegen manipulierte Rollbacks und verankert die Kette per Secure Boot in der Hardware, über einmalig gebrannte eFuses oder ein TPM.
Wie groß der Blast Radius werden kann, hat CrowdStrike im Juli 2024 gezeigt: Eine fehlerhafte Konfigurationsdatei war 78 Minuten im Umlauf und legte 8,5 Millionen Windows-Systeme lahm, weil sie an alle gleichzeitig ging. Gestaffelte Rollouts und Canary Releases begrenzen genau das. Zum Schluss geht es darum, wie die Heisenware-Agenten aktualisiert werden: komplettes Image, Push über MQTT, signiertes Manifest und ein A/B-Verfahren, das automatisch zurückrollt, wenn nach 60 Sekunden keine Broker-Verbindung steht oder der Agent mehrfach hintereinander abstürzt.
Links zur Folge:
Tech-Podcast-Umfrage: https://engineeringkiosk.github.io/german-tech-podcast-survey/
CrowdStrike Post Incident Review: https://www.crowdstrike.com/en-us/blog/falcon-content-update-preliminary-post-incident-report/
Cyber Resilience Act: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
-----
Einfach Komplex ist ein Podcast von Heisenware.
Heisenware kennenlernen: https://heisenware.com/einfach-komplex
Kontakt: podcast@heisenware.com