عدي للمحتوى

AMD SEV

مرجع المعماريةFeex

تقنية AMD Secure Encrypted Virtualization، اللى هى SEV، بتشفر ذاكرة الأجهزة الافتراضية فى إطار نموذج تهديد محدد للمنصة. تقنيات SEV و SEV-ES و SEV-SNP بتقدم إمكانيات مختلفة ومينفعش تتعامل كإنها متطابقة.

اللي محتاج تعرفه

تقنية AMD Secure Encrypted Virtualization، اللى هى SEV، بتشفر ذاكرة الأجهزة الافتراضية فى إطار نموذج تهديد محدد للمنصة. تقنيات SEV و SEV-ES و SEV-SNP بتقدم إمكانيات مختلفة ومينفعش تتعامل كإنها متطابقة.

بيشتغل إزاي

SEV بتربط تشفير ذاكرة النظام الوهمى بإدارة مفاتيح مخصصة لكل جهاز افتراضى. SEV-ES بتضيف حماية لحالة سجلات النظام الوهمى وقت عمليات الخروج (exits)، بينما SEV-SNP بتضيف آليات أقوى حوالين نزاهة ذاكرة النظام الوهمى وملكيته. الـ Firmware والـ hypervisor ودعم النظام الوهمى وعمليات إثبات الهوية (attestation) كلهم بيشتركوا فى النشر الكامل للأجهزة الافتراضية السرية.

المجالات المفيدة فيها

النشر السحابى يقدر يطلب نوع جهاز افتراضى سرى مدعوم صراحةً ويتحقق من أدلة إثبات الهوية قبل تسليم الأسرار التشفيرية. التطبيق هيفضل محتاج إدخال/إخراج آمن، وأطراف مصدق عليها، وسياسة للقياسات المقبولة للمنصة.

طريقة فحص الدعم والتمكين

افحص معلومات CPUID الخاصة بتشفير الذاكرة فى AMD ونوع SEV الدقيق، وبعدين تحقق من دعم الـ firmware، والمضيف/الضيف، وإثبات الهوية من خلال واجهة المزود الموثقة. ارجع لإرشادات أمان AMD الحالية للجيل والـ firmware المنشورين.

الإمكانية، والتمكين، وفرض السياسة لازم يتفحصوا بشكل منفصل. المعالج ممكن يدعم حماية فى حين ان نظام التشغيل، او التطبيق، او سياسة الجهاز الافتراضى مش مفعلينها. حقل الدعم فى قاعدة البيانات مش إثبات على نظام شغال.

اللى الميزة مش بتثبته

حقل SEV العام مش بيثبت وجود SEV-SNP، ولا حالة التخفيفات فى الـ firmware الحالى، ولا خدمة إثبات هوية معينة. التشفير لوحده مش زى حماية النزاهة، وتشفير الذاكرة مش بيأمن كل مسار جهاز او شبكة.

التوافق والأداء فى الممارسة العملية

حافظ على تحديث نظام التشغيل والـ firmware وبيئة التشغيل المتأثرة. لو حماية معينة كشفت مشكلة توافق، استخدم أولاً أدوات تشخيص وتحديثات الشركة المصنعة المدعومة. تفعيل او قفل حماية واسعة النطاق ممكن يأثر على تطبيقات تانية مش مرتبطة، ولازم يتبع سياسة نشر واسترجاع صريحة.

قائمة تحقق عملية للتأكد

  1. سجل الموديل الدقيق للمعالج او المنصة وإصدارات التطبيق ونظام التشغيل وبيئة التشغيل المشاركة. احتفظ بنص الخطأ او المتطلب الفعلى زى ما هو.
  2. راجع مرجع الشركة المصنعة للموديل الدقيق ده، وبعدين افحص الإمكانية الفعلية وحالة التمكين فى البيئة اللى شغال فيها البرنامج.
  3. قارن كل متطلب للملف الثنائى (binary) او الواجهة الخلفية (backend) المختارة. وجود ميزة باسم شبه كده او اسم مستعار او تصنيف تقنى عام مش كفاية.
  4. اتأكد ان التطبيق اختار التنفيذ المطلوب. استخدم أدوات التشخيص الموثقة والبديل الاحتياطى المدعوم لما المتطلبات متتحققش.
  5. اعمل تغيير واحد مدعوم فى المرة الواحدة وكرر نفس عبء العمل. احتفظ بالإعداد الأصلى ومسار الاسترجاع متاحين.

لو الميزة مدرجة بس البرمجيات مش قادرة تستخدمها

ابدأ بالمكون اللى فشل بالتحديد. قاعدة بيانات العتاد بتوصف الإمكانية المسجلة؛ لكن نظام التشغيل او الـ hypervisor ممكن يعرضوا بيئة فعلية تانية. خطأ التعليمة غير الصالحة (illegal-instruction) بيحتاج برضه فحص للتعليمة الفعلية اللى سببت العطل والنسخة المبنية من الثنائى، علشان التلف او وجود تعليمة تانية غير مدعومة ممكن ينتج عنهم نفس العرض.

ثبت إصدار التطبيق او برنامج التشغيل او بيئة التشغيل المدعومة للمنصة بالتحديد، واستخدم بنية الأساس (baseline) او البنية الاحتياطية الموثقة من الشركة المصنعة لو لزم الأمر. تحديث البرامج مش هيخلق تعليمة المعالج نفسه بيفتقدها. تغييرات الـ Firmware وسياسات الأمان لازم تتبع إجراءات الشركة المصنعة للنظام وخطة استرجاع بدل اتباع وصفة تحسين عامة.

المصادر ونطاق الشرح ده

مصادر مطورى AMD Secure Encrypted Virtualization · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

المراجع دى بتحدد السلوك المعمارى ومتطلبات البرمجيات. هى مش بتتحقق بشكل مستقل من كل قيمة ميزة فى صفحة موديل العتاد المربوطة. لدعم الموديل، استخدم أدلة الشركة المصنعة فى الصفحة دى وافحص إعدادات النظام الفعلية. المقال ده مش بيقدم تقييم أداء، او شهادة اعتماد، او تاريخ مراجعة مستقلة.

المصادر والتحقق

حقوق التحرير: Feex. مفيش تاريخ مراجعة مستقل متسجل. إزاي بنعمل أبحاثنا.

  • مصادر مطورى AMD Secure Encrypted Virtualization · بيميز بين SEV و SEV-ES و SEV-SNP وبيربط بين واجهات برمجة الـ firmware وإثبات الهوية ووثائق تشفير الذاكرة. راجع التحذيرات الأمنية الحالية للنشر المعنى بالتحديد.
  • AMD64 Architecture Programmer's Manual, Volume 2: System Programming · برمجة النظام، و SVM، والترجمة المتداخلة (nested translation)، المراجعة 3.46. عارض الوثائق الحالى بيطلب تشغيل JavaScript؛ الروابط للوثائق الأقدم ممكن تكون اتوقفت.

هل المقالة دي كانت مفيدة؟

مجرد نعم أو لأ كفاية. اختار سبب لو تحب، أو اكتب ملاحظة سريعة.

هل المقالة دي كانت مفيدة؟