AMD SME

ArkitekturreferenceFeex

AMD Secure Memory Encryption, SME, leverer hukommelseskrypteringsfaciliteter, der administreres af platformen og operativsystemet. Det adskiller sig fra SEV-beskyttelse pr. VM og etablerer ikke i sig selv en fortrolig databehandlingsudrulning.

Hvad du behøver at vide

Sådan virker det

Hukommelseskrypteringsarkitekturen identificerer krypterede tilknytninger via en defineret adressebitmekanisme og platformskontroller. Operativsystemet skal tage højde for krypteringsbitten og enhver effekt på tilgængelige fysiske adressebits samt håndtere delt eller enhedssynlig hukommelse i henhold til platformens regler.

Hvor det er nyttigt

Et operativsystem kan sørge for, at relevante hukommelsessider krypteres, når data flyttes til ekstern hukommelse. DMA-buffere og andre delte tilknytninger kræver en kompatibel behandling, så det at aktivere en bit isoleret er ikke en komplet udrulningsprocedure.

Sådan kontrolleres understøttelse og aktivering

Brug AMD CPUID-oplysningerne om hukommelseskryptering og den nøjagtige platformfirmware-/OS-dokumentation til at fastslå understøttelse og aktivering. Kontroller den aktive krypteringspolitik og enhedskompatibilitet. Bevar leverandørens vejledning om genopretning, før du ændrer firmwareindstillinger for hukommelseskryptering.

Kapacitet, aktivering og håndhævelse skal kontrolleres separat. En processor kan understøtte en beskyttelse, mens operativsystemet, applikationen eller den virtuelle maskines politik ikke aktiverer den. Et databaseunderstøttelsesfelt er ikke en attestering af et kørende system.

Hvad funktionen ikke fastslår

SME indebærer ikke isolering pr. gæst, hukommelsesintegritet, SEV-SNP eller beskyttelse mod ethvert angreb fra privilegeret software. Gennemsigtige platformskrypteringspolitikker og OS-administrerede SME-konfigurationer bør ikke antages at være identiske ud fra et oversigtsfelt.

Kompatibilitet og ydeevne i praksis

Hold operativsystem, firmware og det berørte runtime ajour. Hvis en beskyttelse afslører et kompatibilitetsproblem, skal du bruge leverandørens diagnosticering og understøttede opdateringer først. Et bredt skift af beskyttelse kan påvirke urelaterede programmer og bør følge en eksplicit udrulnings- og genopretningspolitik.

En praktisk tjekliste til verifikation

Registrer den nøjagtige processor- eller platformsmodel samt de involverede applikations-, OS- og runtime-versioner. Bevar formuleringen af den faktiske fejl eller det faktiske krav.
Tjek producentreferencen for den nøjagtige model, og undersøg derefter den effektive kapacitet og aktiverede tilstand i det miljø, hvor programmet kører.
Sammenlign ethvert krav for den valgte binære fil eller backend. En funktion med et lignende navn, et alias eller en bred teknologimærkat er ikke tilstrækkelig.
Bekræft, at applikationen har valgt den tilsigtede implementering. Brug dens dokumenterede diagnosticering og et understøttet fallback, når kravene ikke er opfyldt.
Foretag en enkelt understøttet ændring ad gangen, og gentag den samme arbejdsbelastning. Hold den oprindelige konfiguration og gendannelsessti tilgængelig.

Hvis funktionen er anført, men softwaren ikke kan bruge den

Start med den nøjagtige komponent, der fejler. En hardwaredatabase beskriver registreret kapacitet; operativsystemet eller hypervisoren kan udstille et andet effektivt miljø. En illegal-instruction-fejl kræver også undersøgelse af den faktiske fejlbehæftede instruktion og det binære build, fordi korruption eller en urelateret ikke-understøttet instruktion kan frembringe et lignende symptom.

Installer den applikations-, driver- eller runtime-version, der understøttes til den nøjagtige platform, og brug om nødvendigt leverandørens dokumenterede baseline eller fallback-build. En softwareopdatering kan ikke oprette en instruktion, som processoren mangler. Ændringer i firmware og sikkerhedspolitik bør følge systemproducentens procedure og en genopretningsplan frem for en generisk optimeringsopskrift.

Kilder og denne forklaringens omfang

Udviklerressourcer til AMD Secure Encrypted Virtualization · Linux-kerne: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Disse referencer fastlægger arkitektonisk adfærd og softwarekrav. De verificerer ikke uafhængigt enhver funktionsværdi på en tilknyttet hardwaremodelside. For modelunderstøttelse skal du bruge den pågældende sides producentdokumentation og kontrollere den effektive systemkonfiguration. Denne artikel leverer ikke et benchmark, en certificering eller en uafhængig revisionsdato.

Kilder og verificering

Redaktionelt ejerskab: Feex. Ingen uafhængig revisionsdato er registreret. Sådan undersøger vi.

Udviklerressourcer til AMD Secure Encrypted Virtualization · Skelner mellem SEV, SEV-ES og SEV-SNP og linker til firmware-API'er, attestering og hukommelseskrypteringsdokumentation. Tjek aktuelle sikkerhedsadvarsler for den nøjagtige udrulning.
Linux-kerne: AMD memory encryption · Aktivering af SME/SEV, krypteringsadressebit og reduktion af fysiske adresser. Beskriver en OS-implementering snarere end enhver platformspolitik.
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Systemprogrammering, SVM og indlejret oversættelse, revision 3.46. Den aktuelle dokumentfremviser kræver JavaScript; ældre dokument-URL'er kan være blevet udfaset.

Var denne artikel nyttig?

Et ja eller nej er nok. Vælg en grund, hvis du vil, eller tilføj en kort bemærkning.