Mode-Based Execute Control
Mode-Based Execute Control és una capacitat EPT d'Intel que permet a un hipervisor distingir els permisos d'execució d'instruccions en mode d'usuari i mode de supervisor del convidat. És un control de virtualització, no una instrucció d'aplicació ordinària.
El que cal saber
Mode-Based Execute Control és una capacitat EPT d'Intel que permet a un hipervisor distingir els permisos d'execució d'instruccions en mode d'usuari i mode de supervisor del convidat. És un control de virtualització, no una instrucció d'aplicació ordinària.
Com funciona
Amb el control d'execució de VM corresponent habilitat, la semàntica de permisos EPT distingeix els modes d'execució del convidat. Això permet que un hipervisor implementi polítiques que tractin l'execució d'usuari i de nucli de manera diferent a la segona etapa de traducció. L'hipervisor ha d'enumerar i configurar els controls correctament.
On és útil
Un disseny de protecció basat en virtualització pot utilitzar permisos d'execució diferenciats com a bloc de construcció. El SO convidat i la política de l'amfitrió continuen determinant què es protegeix i com es gestionen els errors; la característica per si sola no activa cap producte de seguretat.
Com comprovar el suport i l'habilitació
Inspeccioneu els controls de capacitat VMX documentats a l'SDM i la interfície de capacitat/estat admesa de l'hipervisor. Comproveu la configuració d'EPT i de la plataforma per separat. La llista de característiques CPUID d'una aplicació normal no pot descriure completament la política activa de l'hipervisor.
Un desplegament virtualitzat té diverses capes: capacitat física, permís del microprogramari, l'hipervisor amfitrió actiu, capacitats exposades al convidat i suport del SO convidat. Comproveu la capa on s'executa realment l'operació, inclosa la virtualització niada quan sigui pertinent.
El que la característica no estableix
La funció no és el mateix que NX o SMEP, i una etiqueta genèrica importada no estableix el comportament exacte d'un equivalent d'AMD. No demostra que la seguretat basada en virtualització estigui habilitada o que una màquina compleixi tots els requisits d'una funció específica del SO.
Compatibilitat i rendiment a la pràctica
L'execució de la CPU, la traducció de la memòria del convidat i la reassignació de DMA de dispositius són funcionalitats separades. No inferiu el pas directe o l'aïllament a partir d'un sol camp de virtualització. Utilitzeu els diagnòstics admesos de l'hipervisor i els requisits exactes de la plataforma/dispositiu.
Una llista de verificació pràctica
- Enregistreu el model exacte de processador o de plataforma i les versions d'aplicació, SO i entorn d'execució implicades. Conserveu la redacció de l'error o del requisit real.
- Comproveu la referència del fabricant per a aquest model exacte, i després inspeccioneu la capacitat efectiva i l'estat habilitat en l'entorn on s'executa el programa.
- Compareu cada requisit del binari o dorsal seleccionat. Una característica amb un nom similar, un àlies o una etiqueta de tecnologia àmplia no és suficient.
- Confirmeu que l'aplicació ha seleccionat la implementació prevista. Utilitzeu els seus diagnòstics documentats i una alternativa compatible quan no es compleixin els requisits.
- Feu un únic canvi admès a la vegada i repetiu la mateixa càrrega de treball. Manteniu disponibles la configuració original i la via de recuperació.
Si la característica apareix a la llista però el programari no la pot utilitzar
Comenceu pel component exacte que falla. Una base de dades de maquinari descriu la capacitat registrada; el sistema operatiu o l'hipervisor poden exposar un entorn efectiu diferent. Un error d'instrucció il·legal també requereix investigar la instrucció defectuosa real i la compilació del binari, perquè una corrupció o una instrucció no admesa no relacionada poden produir un símptoma similar.
Instal·leu la versió d'aplicació, controlador o entorn d'execució admesa per a la plataforma exacta, i utilitzeu la compilació base o alternativa documentada pel fabricant si cal. Una actualització de programari no pot crear una instrucció que li manqui al processador. Els canvis de microprogramari i de polítiques de seguretat han de seguir el procediment del fabricant del sistema i un pla de recuperació en lloc d'una recepta genèrica d'optimització.
Fonts i abast d'aquesta explicació
Intel 64 and IA-32 Architectures Software Developer's Manual
Aquestes referències estableixen el comportament arquitectònic i els requisits de programari. No verifiquen de manera independent cada valor de característica en una pàgina de model de maquinari enllaçada. Per al suport de models, utilitzeu l'evidència del fabricant d'aquesta pàgina i comproveu la configuració efectiva del sistema. Aquest article no proporciona cap data de prova de referència, certificació o revisió independent.
Fonts i verificació
Propietat editorial: Feex. No s'ha registrat cap data de revisió independent. Com investiguem.
- Intel 64 and IA-32 Architectures Software Developer's Manual · Els volums 1 i 2 descriuen les famílies d'instruccions anomenades i CPUID; el volum 3 descriu l'estat, la paginació, VMX i els controls de protecció. La documentació d'arquitectura no estableix el suport per a un model en particular.
Ha estat útil aquest article?
Un sí o un no és suficient. Trieu un motiu si voleu, o afegiu una breu nota.
Gràcies. Això ens ajuda a millorar aquesta pàgina.