AMD SME

El que cal saber

Com funciona

L'arquitectura de xifratge de memòria identifica els mapatges xifrats mitjançant un mecanisme definit de bits d'adreça i controls de plataforma. El SO ha de tenir en compte el bit de xifratge i qualsevol efecte sobre els bits d'adreça física disponibles, i gestionar la memòria compartida o visible pels dispositius segons les regles de la plataforma.

On és útil

Un SO pot organitzar que les pàgines de memòria adequades es xifrin a mesura que les dades viatgen cap a la memòria externa. Els búfers DMA i altres mapatges compartits necessiten un tractament compatible, de manera que habilitar un bit de manera aïllada no és un procediment de desplegament complet.

Com comprovar el suport i l'habilitació

Utilitzeu la informació de CPUID de xifratge de memòria d'AMD i la documentació exacta del microprogramari de la plataforma/SO per establir el suport i l'habilitació. Comproveu la política de xifratge activa i la compatibilitat dels dispositius. Conserveu la guia de recuperació del fabricant abans de canviar la configuració de xifratge de memòria del microprogramari.

La capacitat, l'habilitació i l'aplicació s'han de comprovar per separat. Un processador pot admetre una protecció mentre que la política del SO, de l'aplicació o de la màquina virtual no l'activa. Un camp de suport en una base de dades no és una atestació d'un sistema en execució.

El que la característica no estableix

SME no implica aïllament per convidat, integritat de memòria, SEV-SNP ni protecció contra tots els atacs de programari privilegiat. Les polítiques de xifratge transparent de la plataforma i les configuracions de SME gestionades pel SO no s'han de suposar idèntiques a partir d'un camp de resum.

Compatibilitat i rendiment a la pràctica

Manteniu actualitzats el SO, el microprogramari i l'entorn d'execució afectat. Si una protecció exposa un problema de compatibilitat, utilitzeu primer els diagnòstics del fabricant i les actualitzacions admeses. Una activació àmplia de protecció pot afectar aplicacions no relacionades i hauria de seguir una política explícita de desplegament i recuperació.

Una llista de verificació pràctica

1. Enregistreu el model exacte de processador o de plataforma i les versions d'aplicació, SO i entorn d'execució implicades. Conserveu la redacció de l'error o del requisit real.
2. Comproveu la referència del fabricant per a aquest model exacte, i després inspeccioneu la capacitat efectiva i l'estat habilitat en l'entorn on s'executa el programa.
3. Compareu cada requisit del binari o dorsal seleccionat. Una característica amb un nom similar, un àlies o una etiqueta de tecnologia àmplia no és suficient.
4. Confirmeu que l'aplicació ha seleccionat la implementació prevista. Utilitzeu els seus diagnòstics documentats i una alternativa compatible quan no es compleixin els requisits.
5. Feu un únic canvi admès a la vegada i repetiu la mateixa càrrega de treball. Manteniu disponibles la configuració original i la via de recuperació.

Si la característica apareix a la llista però el programari no la pot utilitzar

Comenceu pel component exacte que falla. Una base de dades de maquinari descriu la capacitat registrada; el sistema operatiu o l'hipervisor poden exposar un entorn efectiu diferent. Un error d'instrucció il·legal també requereix investigar la instrucció defectuosa real i la compilació del binari, perquè una corrupció o una instrucció no admesa no relacionada poden produir un símptoma similar.

Instal·leu la versió d'aplicació, controlador o entorn d'execució admesa per a la plataforma exacta, i utilitzeu la compilació base o alternativa documentada pel fabricant si cal. Una actualització de programari no pot crear una instrucció que li manqui al processador. Els canvis de microprogramari i de polítiques de seguretat han de seguir el procediment del fabricant del sistema i un pla de recuperació en lloc d'una recepta genèrica d'optimització.

Característiques relacionades i distincions útils

AMD SEV · IOMMU · Execute Disable (NX)

Fonts i abast d'aquesta explicació

Recursos per a desenvolupadors d'AMD Secure Encrypted Virtualization · Linux kernel: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Aquestes referències estableixen el comportament arquitectònic i els requisits de programari. No verifiquen de manera independent cada valor de característica en una pàgina de model de maquinari enllaçada. Per al suport de models, utilitzeu l'evidència del fabricant d'aquesta pàgina i comproveu la configuració efectiva del sistema. Aquest article no proporciona cap data de prova de referència, certificació o revisió independent.

Relacionat

Aquestes entitats enllacen amb aquest article. El tipus es mostra a cada enllaç.

Fonts i verificació

Propietat editorial: Feex. No s'ha registrat cap data de revisió independent. Com investiguem.

• Recursos per a desenvolupadors d'AMD Secure Encrypted Virtualization · Distingeix SEV, SEV-ES i SEV-SNP i enllaça les API de microprogramari, l'atestació i la documentació de xifratge de memòria. Comproveu els avisos de seguretat actuals per al desplegament exacte.
• Linux kernel: AMD memory encryption · Habilitació de SME/SEV, bit d'adreça de xifratge i reducció d'adreces físiques. Descriu una implementació del SO en lloc de totes les polítiques de la plataforma.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Programació del sistema, SVM i traducció niada, revisió 3.46. El visualitzador de documentació actual requereix JavaScript; els URL de documents més antics poden haver estat retirats.