AMD SME

Архитектурна справкаFeex

AMD Secure Memory Encryption, SME, осигурява възможности за криптиране на паметта, управлявани от платформата и операционната система. То се различава от защитата SEV за отделна виртуална машина и само по себе си не създава внедряване за поверителни изчисления.

Какво трябва да знаете

Как работи

Архитектурата за криптиране на паметта идентифицира криптираните съответствия чрез дефиниран механизъм за адресни битове и контроли на платформата. Операционната система трябва да отчита бита за криптиране и всяко влияние върху наличните битове за физически адреси, както и да обработва споделената или видимата за устройства памет според правилата на платформата.

Къде е полезно

Операционната система може да организира криптирането на съответните страници от паметта при преноса на данни към външна памет. Буферите за DMA и други споделени съответствия изискват съвместима обработка, така че изолираното активиране на даден бит не представлява пълна процедура по внедряване.

Как се проверява поддръжката и активирането

Използвайте информацията от CPUID на AMD за криптиране на паметта и точната документация за фърмуера на платформата/ОС, за да установите поддръжката и активирането. Проверете активната политика за криптиране и съвместимостта с устройствата. Запазете указанията на производителя за възстановяване, преди да променяте настройките за криптиране на паметта във фърмуера.

Възможността, активирането и прилагането трябва да се проверяват отделно. Процесорът може да поддържа дадена защита, докато операционната система, приложението или политиката на виртуалната машина не я активират. Полето за поддръжка в база данни не представлява атестация на работеща система.

Какво не гарантира тази функция

SME не предполага изолация на ниво гост, цялост на паметта, SEV-SNP или защита срещу всяка атака от привилегирован софтуер. Не бива да се приема, че прозрачните политики за криптиране на платформата и управляваните от ОС конфигурации на SME са идентични въз основа на обобщено поле.

Съвместимост и производителност на практика

Поддържайте операционната система, фърмуера и засегнатата среда за изпълнение актуални. Ако дадена защита разкрие проблем със съвместимостта, първо използвайте диагностиката на производителя и поддържаните актуализации. Глобалното превключване на защити може да засегне несвързани приложения и трябва да следва ясна политика за внедряване и възстановяване.

Практически контролен списък за проверка

Запишете точния модел на процесора или платформата, както и използваните версии на приложението, операционната система и средата за изпълнение. Запазете точния текст на действителната грешка или изискване.
Проверете документацията от производителя за този точен модел, след което инспектирайте действителните възможности и активираното състояние в средата, където работи програмата.
Сравнете всяко изискване на избрания двоичен файл или бекенд. Подобно наименувана функция, псевдоним или общ технологичен етикет не са достатъчни.
Потвърдете, че приложението е избрало планираната реализация. Използвайте неговата документирана диагностика и поддържан резервен вариант, когато изискванията не са изпълнени.
Правете по една поддържана промяна наведнъж и повтаряйте същото работно натоварване. Запазете достъпни оригиналната конфигурация и плана за възстановяване.

Ако функцията е посочена, но софтуерът не може да я използва

Започнете с точния компонент, който дава грешка. Хардуерната база данни описва записаните възможности; операционната система или хипервайзорът могат да предоставят различна ефективна среда. Грешка за невалидна инструкция (illegal-instruction) също изисква разследване на действителната сриваща се инструкция и компилацията на двоичния файл, тъй като повреда или несвързана неподдържана инструкция може да предизвика подобен симптом.

Инсталирайте версията на приложението, драйвера или средата за изпълнение, която се поддържа за точната платформа, и използвайте документираната от производителя базова или резервна компилация, ако е необходимо. Софтуерна актуализация не може да създаде инструкция, която липсва в процесора. Промените във фърмуера и политиките за сигурност трябва да следват процедурата на производителя на системата и план за възстановяване, а не общи съвети за оптимизация.

Източници и обхват на това обяснение

Ресурси за разработчици за AMD Secure Encrypted Virtualization · Linux ядро: криптиране на паметта при AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Тези източници установяват архитектурното поведение и софтуерните изисквания. Те не проверяват независимо всяка стойност на параметър на свързана страница за хардуерен модел. За поддръжка на даден модел използвайте данните от производителя на съответната страница и проверете ефективната системна конфигурация. Тази статия не предоставя бенчмарк, сертификация или дата на независим преглед.

Източници и проверка

Редакционна собственост: Feex. Не е записана дата на независим преглед. Как проучваме.

Ресурси за разработчици за AMD Secure Encrypted Virtualization · Разграничава SEV, SEV-ES и SEV-SNP и съдържа връзки към документация за API на фърмуера, атестация и криптиране на паметта. Проверете актуалните бюлетини за сигурност за конкретното внедряване.
Linux ядро: криптиране на паметта при AMD · Активиране на SME/SEV, адресен бит за криптиране и редукция на физическия адрес. Описва реализация в операционна система, а не всяка политика на платформата.
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Системно програмиране, SVM и вложено транслиране, ревизия 3.46. Текущият преглед на документацията изисква JavaScript; по-стари адреси на документи може да са изведени от употреба.

Беше ли полезна тази статия?

Достатъчно е "да" или "не". Изберете причина, ако желаете, или добавете кратка бележка.