AMD SME

Што вам трэба ведаць

Як гэта працуе

Архітэктура шыфравання памяці ідэнтыфікуе зашыфраваныя супастаўленні праз вызначаны механізм адрасных бітаў і элементы кіравання платформай. АС павінна ўлічваць біт шыфравання і любы яго ўплыў на даступныя біты фізічнага адраса, а таксама апрацоўваць агульную памяць альбо памяць, бачную прыладам, у адпаведнасці з правіламі платформы.

Дзе гэта карысна

АС можа арганізаваць шыфраванне адпаведных старонак памяці пры перадачы даных у знешнюю памяць. Буферы DMA і іншыя агульныя супастаўленні патрабуюць сумяшчальнай апрацоўкі, таму простае ўключэнне біта паасобку не з'яўляецца поўнай працэдурай разгортвання.

Як праверыць падтрымку і актыўнасць

Выкарыстоўвайце інфармацыю CPUID для шыфравання памяці AMD і дакладную дакументацыю па мікрапраграме платформы/АС, каб усталяваць падтрымку і факт уключэння. Праверце актыўную палітыку шыфравання і сумяшчальнасць прылад. Захавайце інструкцыі вытворцы па аднаўленні перад змяненнем налад шыфравання памяці ў мікрапраграме.

Магчымасць, уключэнне і прымяненне павінны правярацца асобна. Працэсар можа падтрымліваць абарону, у той час як АС, праграма або палітыка віртуальнай машыны яе не актывуюць. Поле падтрымкі ў базе даных не з'яўляецца атэстацыяй працуючай сістэмы.

Чаго гэта функцыя не гарантуе

SME не прадугледжвае ізаляцыі асобных гасцявых сістэм, цэласнасці памяці, SEV-SNP або абароны ад любых атак з боку прывілеяванага ПЗ. Празрыстыя палітыкі шыфравання платформы і канфігурацыі SME пад кіраваннем АС не павінны лічыцца ідэнтычнымі толькі на падставе агульнага поля ў апісанні.

Сумяшчальнасць і прадукцыйнасць на практыцы

Падтрымлівайце АС, мікрапраграму і адпаведнае асяроддзе выканання ў актуальным стане. Калі ахоўны механізм выклікае праблему сумяшчальнасці, спачатку скарыстайцеся дыягностыкай вытворцы і падтрымліваемымі абнаўленнямі. Агульнае пераключэнне параметраў абароны можа паўплываць на незвязаныя праграмы і павінна ажыццяўляцца згодна з выразнымі палітыкамі разгортвання і аднаўлення.

Практычны чэк-ліст для праверкі

1. Зафіксуйце дакладную мадэль працэсара або платформы, а таксама задзейнічаныя версіі праграмы, АС і асяроддзя выканання. Захавайце дакладную фармулёўку памылкі або патрабавання.
2. Звярніцеся да дакументацыі вытворцы для гэтай канкрэтнай мадэлі, затым праверце фактычныя магчымасці і ўключаны стан у асяроддзі, дзе выконваецца праграма.
3. Супастаўце кожнае патрабаванне выбранага выканальнага файла або бэкэнда. Аналагічнай назвы функцыі, псеўданіма або агульнай назвы тэхналогіі недастаткова.
4. Пацвердзіце, што праграма выбрала патрэбную рэалізацыю. Выкарыстоўвайце яе задакументаваныя сродкі дыягностыкі і падтрымліваемы запасны варыянт, калі патрабаванні не выконваюцца.
5. Уносьце па адным падтрымліваемым змяненні за раз і паўтарайце тую ж нагрузку. Захоўвайце зыходную канфігурацыю і магчымасць адкату.

Калі функцыя пазначана, але праграмнае забеспячэнне не можа яе выкарыстоўваць

Пачніце з канкрэтнага кампанента, які выклікае збой. Апаратная база даных апісвае зафіксаваныя магчымасці; аперацыйная сістэма або гіпервізар могуць прадастаўляць іншае фактычнае асяроддзе. Памылка недапушчальнай інструкцыі (illegal instruction) таксама патрабуе даследавання канкрэтнай інструкцыі, якая выклікала збой, і зборкі бінарнага файла, паколькі пашкоджанне даных або іншая непадтрымліваемая інструкцыя могуць выклікаць аналагічны сімптом.

Усталюйце версію праграмы, драйвера або асяроддзя выканання, якая падтрымліваецца для дадзенай платформы, і пры неабходнасці выкарыстоўвайце задакументаваную вытворцам базавую або запасную зборку. Абнаўленне ПЗ не можа стварыць інструкцыю, якой няма ў працэсары. Змяненні ў мікрапраграме (firmware) і палітыках бяспекі павінны адпавядаць працэдурам вытворцы сістэмы і плану аднаўлення, а не агульным рэцэптам аптымізацыі.

Звязаныя функцыі і карысныя адрозненні

AMD SEV · IOMMU · Execute Disable (NX)

Крыніцы і межы прымянення гэтага тлумачэння

Рэсурсы для распрацоўшчыкаў AMD Secure Encrypted Virtualization · Ядро Linux: шыфраванне памяці AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Гэтыя даведнікі вызначаюць архітэктурныя паводзіны і патрабаванні да праграмнага забеспячэння. Яны не пацвярджаюць незалежна кожнае значэнне функцыі на звязанай старонцы мадэлі абсталявання. Для праверкі падтрымкі мадэллю выкарыстоўвайце даныя вытворцы на адпаведнай старонцы і правярайце фактычную канфігурацыю сістэмы. Гэты артыкул не змяшчае вынікаў тэсціравання (benchmark), сертыфікацыі або даты незалежнага агляду.

Звязанае

Гэтыя аб'екты звязаны з гэтым артыкулам. Тып пазначаны на кожнай спасылцы.

Крыніцы і праверка

Рэдакцыйная прыналежнасць: Feex. Дата незалежнай праверкі не зафіксавана. Як мы даследуем.

• Рэсурсы для распрацоўшчыкаў AMD Secure Encrypted Virtualization · Праводзіць адрозненне паміж SEV, SEV-ES і SEV-SNP і змяшчае спасылкі на API мікрапраграм, дакументацыю па атэстацыі і шыфраванні памяці. Правярайце бягучыя бюлетэні бяспекі для канкрэтнага разгортвання.
• Ядро Linux: шыфраванне памяці AMD · Уключэнне SME/SEV, адрасны біт шыфравання і скарачэнне фізічнай адрасацыі. Апісвае рэалізацыю ў АС, а не кожную асобную палітыку платформы.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Сістэмнае праграмаванне, SVM і ўкладзеная трансляцыя, рэдакцыя 3.46. Бягучы сродак прагляду дакументацыі патрабуе JavaScript; старыя URL-адрасы дакументаў могуць быць выведзены з ужытку.