AMD SEV

Што вам трэба ведаць

Як гэта працуе

SEV звязвае шыфраванне памяці госця з кіраваннем ключамі для канкрэтнай ВМ. SEV-ES дадае абарону стану рэгістраў госця падчас выхадаў з рэжыму ВМ, а SEV-SNP дадае больш надзейныя механізмы кантролю цэласнасці памяці госця і валодання ёю. Мікрапраграма, гіпервізар, падтрымка з боку госця і атэстацыя бяруць удзел у поўным разгортванні канфідэнцыйнай ВМ.

Дзе гэта карысна

Хмарная інфраструктура можа запытаць тып канфідэнцыйнай ВМ з відавочнай падтрымкай і праверыць даныя яе атэстацыі перад выдачай сакрэтаў. Праграме ўсё яшчэ патрэбны бяспечны ўвод-вывад, аўтэнтыфікаваныя вузлы і палітыка ў дачыненні да прымальных вымярэнняў платформы.

Як праверыць падтрымку і актыўнасць

Праверце інфармацыю CPUID ад AMD для шыфравання памяці і дакладны варыянт SEV, затым пацвердзіце падтрымку мікрапраграмы, хоста/госця і атэстацыю праз задакументаваны інтэрфейс пастаўшчыка. Звярніцеся да актуальных інструкцый па бяспецы AMD для разгорнутага пакалення і мікрапраграмы.

Магчымасць, уключэнне і прымяненне павінны правярацца асобна. Працэсар можа падтрымліваць абарону, у той час як АС, праграма або палітыка віртуальнай машыны яе не актывуюць. Поле падтрымкі ў базе даных не з'яўляецца атэстацыяй працуючай сістэмы.

Чаго гэта функцыя не гарантуе

Агульнае поле SEV не даказвае наяўнасці SEV-SNP, актуальнага стану выпраўленняў у мікрапраграме або канкрэтнай службы атэстацыі. Шыфраванне само па сабе не тое ж самае, што абарона цэласнасці, і шыфраванне памяці не абараняе кожную прыладу ці сеткавы шлях.

Сумяшчальнасць і прадукцыйнасць на практыцы

Падтрымлівайце АС, мікрапраграму і адпаведнае асяроддзе выканання ў актуальным стане. Калі ахоўны механізм выклікае праблему сумяшчальнасці, спачатку скарыстайцеся дыягностыкай вытворцы і падтрымліваемымі абнаўленнямі. Агульнае пераключэнне параметраў абароны можа паўплываць на незвязаныя праграмы і павінна ажыццяўляцца згодна з выразнымі палітыкамі разгортвання і аднаўлення.

Практычны чэк-ліст для праверкі

1. Зафіксуйце дакладную мадэль працэсара або платформы, а таксама задзейнічаныя версіі праграмы, АС і асяроддзя выканання. Захавайце дакладную фармулёўку памылкі або патрабавання.
2. Звярніцеся да дакументацыі вытворцы для гэтай канкрэтнай мадэлі, затым праверце фактычныя магчымасці і ўключаны стан у асяроддзі, дзе выконваецца праграма.
3. Супастаўце кожнае патрабаванне выбранага выканальнага файла або бэкэнда. Аналагічнай назвы функцыі, псеўданіма або агульнай назвы тэхналогіі недастаткова.
4. Пацвердзіце, што праграма выбрала патрэбную рэалізацыю. Выкарыстоўвайце яе задакументаваныя сродкі дыягностыкі і падтрымліваемы запасны варыянт, калі патрабаванні не выконваюцца.
5. Уносьце па адным падтрымліваемым змяненні за раз і паўтарайце тую ж нагрузку. Захоўвайце зыходную канфігурацыю і магчымасць адкату.

Калі функцыя пазначана, але праграмнае забеспячэнне не можа яе выкарыстоўваць

Пачніце з канкрэтнага кампанента, які выклікае збой. Апаратная база даных апісвае зафіксаваныя магчымасці; аперацыйная сістэма або гіпервізар могуць прадастаўляць іншае фактычнае асяроддзе. Памылка недапушчальнай інструкцыі (illegal instruction) таксама патрабуе даследавання канкрэтнай інструкцыі, якая выклікала збой, і зборкі бінарнага файла, паколькі пашкоджанне даных або іншая непадтрымліваемая інструкцыя могуць выклікаць аналагічны сімптом.

Усталюйце версію праграмы, драйвера або асяроддзя выканання, якая падтрымліваецца для дадзенай платформы, і пры неабходнасці выкарыстоўвайце задакументаваную вытворцам базавую або запасную зборку. Абнаўленне ПЗ не можа стварыць інструкцыю, якой няма ў працэсары. Змяненні ў мікрапраграме (firmware) і палітыках бяспекі павінны адпавядаць працэдурам вытворцы сістэмы і плану аднаўлення, а не агульным рэцэптам аптымізацыі.

Звязаныя функцыі і карысныя адрозненні

AMD SME · AMD-V і SVM · NPT і RVI · SGX

Крыніцы і межы прымянення гэтага тлумачэння

Рэсурсы для распрацоўшчыкаў AMD Secure Encrypted Virtualization · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Гэтыя даведнікі вызначаюць архітэктурныя паводзіны і патрабаванні да праграмнага забеспячэння. Яны не пацвярджаюць незалежна кожнае значэнне функцыі на звязанай старонцы мадэлі абсталявання. Для праверкі падтрымкі мадэллю выкарыстоўвайце даныя вытворцы на адпаведнай старонцы і правярайце фактычную канфігурацыю сістэмы. Гэты артыкул не змяшчае вынікаў тэсціравання (benchmark), сертыфікацыі або даты незалежнага агляду.

Звязанае

Гэтыя аб'екты звязаны з гэтым артыкулам. Тып пазначаны на кожнай спасылцы.

Крыніцы і праверка

Рэдакцыйная прыналежнасць: Feex. Дата незалежнай праверкі не зафіксавана. Як мы даследуем.

• Рэсурсы для распрацоўшчыкаў AMD Secure Encrypted Virtualization · Праводзіць адрозненне паміж SEV, SEV-ES і SEV-SNP і змяшчае спасылкі на API мікрапраграм, дакументацыю па атэстацыі і шыфраванні памяці. Правярайце бягучыя бюлетэні бяспекі для канкрэтнага разгортвання.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Сістэмнае праграмаванне, SVM і ўкладзеная трансляцыя, рэдакцыя 3.46. Бягучы сродак прагляду дакументацыі патрабуе JavaScript; старыя URL-адрасы дакументаў могуць быць выведзены з ужытку.