Přejít k obsahu

AMD SME

Referenční příručka k architektuřeFeex

AMD Secure Memory Encryption (SME) poskytuje prostředky pro šifrování paměti spravované platformou a operačním systémem. Liší se od ochrany SEV izolované pro jednotlivé virtuální počítače a samo o sobě nevytváří prostředí pro důvěrné výpočty (confidential computing).

Co potřebujete vědět

AMD Secure Memory Encryption (SME) poskytuje prostředky pro šifrování paměti spravované platformou a operačním systémem. Liší se od ochrany SEV izolované pro jednotlivé virtuální počítače a samo o sobě nevytváří prostředí pro důvěrné výpočty (confidential computing).

Jak to funguje

Architektura šifrování paměti identifikuje šifrovaná mapování pomocí definovaného mechanismu adresních bitů a řídicích prvků platformy. Operační systém musí vzít v úvahu šifrovací bit i jakýkoli dopad na dostupné bity fyzické adresy a zacházet se sdílenou pamětí nebo pamětí přístupnou zařízením podle pravidel platformy.

Kde je funkce užitečná

Operační systém může zajistit šifrování příslušných paměťových stránek při přenosu dat do externí paměti. Vyrovnávací paměti DMA a další sdílená mapování vyžadují kompatibilní zpracování, takže pouhá aktivace jednoho bitu nepředstavuje kompletní postup nasazení.

Jak ověřit podporu a aktivaci

K ověření podpory a aktivace použijte informace CPUID o šifrování paměti AMD a přesnou dokumentaci k firmwaru platformy a operačnímu systému. Zkontrolujte aktivní zásady šifrování a kompatibilitu zařízení. Před změnou nastavení šifrování paměti ve firmwaru si zajistěte postupy obnovy od výrobce.

Dostupnost, aktivaci a vynucování je nutné kontrolovat samostatně. Procesor může ochranu podporovat, zatímco operační systém, aplikace nebo zásady virtuálního počítače ji neaktivují. Pole podpory v databázi není atestací běžícího systému.

Co tato funkce nezajišťuje

SME neimplikuje izolaci jednotlivých hostů, integritu paměti, SEV-SNP ani ochranu před všemi útoky prováděnými privilegovaným softwarem. Z pouhého souhrnného pole nelze předpokládat, že transparentní zásady šifrování platformy a konfigurace SME řízené operačním systémem jsou totožné.

Kompatibilita a výkon v praxi

Udržujte operační systém, firmware a dotčené běhové prostředí aktuální. Pokud ochrana odhalí problém s kompatibilitou, použijte nejprve diagnostiku výrobce a podporované aktualizace. Plošné přepnutí ochrany může ovlivnit nesouvisející aplikace a mělo by se řídit explicitními pravidly pro nasazení a obnovu.

Praktický kontrolní seznam pro ověření

  1. Zaznamenejte přesný model procesoru nebo platformy a použité verze aplikace, operačního systému a běhového prostředí. Uchovejte přesné znění chybové zprávy nebo požadavku.
  2. Zkontrolujte dokumentaci výrobce pro daný konkrétní model a poté prověřte skutečně dostupnou kapacitu a stav aktivace v prostředí, kde program běží.
  3. Porovnejte veškeré požadavky vybraného binárního souboru nebo backendu. Podobně pojmenovaná funkce, alias nebo obecné technologické označení nestačí.
  4. Ověřte, že aplikace vybrala zamýšlenou implementaci. Pokud nejsou požadavky splněny, použijte její zdokumentovanou diagnostiku a podporované náhradní řešení.
  5. Provádějte vždy jen jednu podporovanou změnu a zopakujte identickou zátěž. Původní konfiguraci a postup obnovy mějte neustále k dispozici.

Pokud je funkce uvedena, ale software ji nemůže použít

Začněte u přesné komponenty, u níž dochází k selhání. Databáze hardwaru popisuje zaznamenané schopnosti; operační systém nebo hypervizor však může vystavit odlišné efektivní prostředí. Chyba neplatné instrukce vyžaduje také prozkoumání skutečné chybující instrukce a sestavení binárního souboru, protože poškození dat nebo nesouvisející nepodporovaná instrukce mohou vyvolat podobný projev.

Nainstalujte verzi aplikace, ovladače nebo běhového prostředí podporovanou pro danou platformu a v případě potřeby použijte výrobcem zdokumentované základní nebo náhradní sestavení. Aktualizace softwaru nemůže vytvořit instrukci, kterou procesor fyzicky postrádá. Změny firmwaru a zásad zabezpečení by se měly řídit postupem výrobce systému a plánem obnovy, nikoli obecným návodem na optimalizaci.

Zdroje a rozsah tohoto vysvětlení

Vývojářské zdroje pro AMD Secure Encrypted Virtualization · Jádro Linuxu: šifrování paměti AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Tyto referenční dokumenty stanovují architektonické chování a softwarové požadavky. Neověřují nezávisle každou hodnotu funkce na odkazované stránce hardwarového modelu. Informace o podpoře konkrétního modelu čerpejte z podkladů výrobce na příslušné stránce a zkontrolujte platnou konfiguraci systému. Tento článek neposkytuje benchmark, certifikaci ani datum nezávislého přezkumu.

Zdroje a ověření

Redakční vlastnictví: Feex. Není zaznamenáno žádné datum nezávislého přezkoumání. Jak provádíme výzkum.

Byl tento článek užitečný?

Stačí ano nebo ne. Pokud chcete, vyberte důvod nebo přidejte krátkou poznámku.

Byl tento článek užitečný?