Belajar Firmware Engineer - Secure OTA & Update

#Pendahuluan

Setelah di episode 18 firmware kita di-hardening dan di episode 13 kita merancang pipeline OTA, pada episode ini kita menggabungkan keduanya menjadi Secure OTA. Karena jika update bisa diserang, semua proteksi lain runtuh: attacker yang bisa memasang firmware-nya sendiri akan melewati secure boot, enkripsi, dan anti-tamper sekaligus.

Mengapa ini penting? Update adalah pintu paling berbahaya: ia membawa kode baru ke perangkat, dan melalui pintu itulah malware paling sering masuk. Menandatangani update, memverifikasinya sebelum boot, dan mencegah downgrade adalah tiga pilar yang membuat perangkat hanya bisa diperbarui oleh kalian — bukan oleh penyerang.

#Signed Update: Rantai Kepercayaan

Update firmware tidak boleh dipercaya berdasarkan asal "dari server" saja — koneksi bisa dibajak. Solusinya: tanda tangan kriptografis.

Alur lengkap:

1. Build menghasilkan binary + manifest (versi, ukuran, hash, target).
2. Sign dengan private key (di HSM, tidak pernah di CI runner biasa).
3. Verifikasi di perangkat dengan public key tertanam (dari root of trust episode 18).
4. Tulis + boot — image tidak pernah dijalankan sebelum signature lolos.

{
  "product": "lamp-v2",
  "version": "1.4.0",
  "build_id": "20260816-042",
  "image_sha256": "8f3a...c1",
  "image_size": 102400,
  "signature": "MEUCIQC...",
  "min_supported": "1.2.0"
}

#Verifikasi Sebelum Boot

Signature hanya berguna jika diverifikasi sebelum kode dieksekusi — bukan "nanti". Urutan wajib:

1. Unduh image chunk-by-chunk sambil menghitung hash
2. Setelah lengkap: cek hash == manifest.hash
3. Cek signature atas (hash || metadata)
4. Cek versi > versi sekarang (anti-downgrade)
5. Tulis ke slot pasif (bukan slot aktif!)
6. Reboot dari slot pasif; sukses -> commit; gagal -> rollback

Kesalahan klasik: mem-boot image sebelum verifikasi selesai, atau memindahkan ke slot aktif saat masih "pending". Setiap langkah adalah gate; tidak boleh ada yang dilewati.

#Anti-Rollback: Cegah Downgrade Attack

Attacker yang punya firmware lama yang sudah bocor (mengandung kunci/old vuln) akan mencoba downgrade ke versi itu. Perangkat harus menolak versi yang lebih lama dari minimum:

Version counter  : disimpan di flash/NVS terproteksi, hanya bisa naik
Secure version   : eFuse/OTP (satu arah, tidak bisa diputar balik)
Aturan           : image dengan versi < counter DITOLAK
 
Efektivitas      : downgrade attack gagal walau attacker punya image lama

Kombinasi umum: version counter di NVS (mudah, bisa reset oleh firmware terbaru) + efuse untuk titik yang tidak bisa diputar (misal setelah major security fix). Pilih level sesuai risiko produk.

#Integritas dan Kerahasiaan

• Integritas: SHA-256 di setiap chunk + di seluruh image; hash diperiksa saat unduh dan setelah ditulis ke flash.
• Kerahasiaan (opsional): image dienkripsi (AES) saat transit/at-rest; perangkat mendekripsi dengan kunci yang tidak pernah keluar secure element. Melindungi firmware dari dumping dan mencegah analisis image lama yang bocor.
• Replay protection: nonce/timestamp di manifest mencegah pemutaran ulang update yang sah.

#Praktik: Pipeline Secure Update

Skema lengkap yang bisa kalian adopsi:

CI             : build -> test -> sign (HSM) -> publish manifest
Update server  : validasi, rate-limit, serving lewat CDN (TLS)
Perangkat      : HTTPS + mTLS -> unduh -> hash+signature -> tulis slot
Rollout        : 5% -> 25% -> 100%, auto-pause jika error rate naik
Monitoring     : versi tersebar, success rate, brick rate
Rollback       : auto bila boot gagal / timeout / versi tak sehat

Perhatikan monitoring sebagai fitur keamanan: kenaikan brick rate mendadak adalah sinyal image bermasalah — atau serangan — dan harus menghentikan rollout secara otomatis.

#Kesalahan Umum Secure OTA

1. Signature diabaikan / "nanti saja" — pintu malware terbuka lebar.
2. Verifikasi setelah boot — signature hiasan, bukan pengaman.
3. Tanpa anti-rollback — image lama bocor = sistem bisa dimundurkan.
4. Private key di CI/repo — kompromi total; wajib HSM.
5. Slot aktif ditimpa langsung — update gagal = perangkat mati.
6. Rollout tanpa monitoring/pause — bug kecil jadi bencana massal.

#Penutup

Inti yang harus dibawa pulang:

• Signed update = signature kriptografis diverifikasi sebelum boot dengan public key root of trust.
• Manifest membawa versi, hash, ukuran — sumber kebenaran untuk verifikasi.
• Anti-rollback (version counter + efuse) mencegah downgrade attack.
• Integritas dijamin hash per-chunk dan keseluruhan; enkripsi opsional untuk kerahasiaan.
• Pipeline produksi: sign di HSM, rollout gradual, monitoring, rollback otomatis.

Di episode 20 selanjutnya kita menulis firmware yang bisa disertifikasi: Safety & MISRA — MISRA C, functional safety (IEC 61508/ISO 26262), dan proses review yang membuat firmware layak untuk domain paling berisiko. Kode kalian akan layak masuk pesawat dan rumah sakit!