AMD SEV

Was Sie wissen müssen

Wie es funktioniert

SEV verknuepft die Verschluesselung des Gastspeichers mit einer VM-spezifischen Schluesselverwaltung. SEV-ES ergaenzt den Schutz fuer den Registerstatus des Gastes waehrend Exits, waehrend SEV-SNP staerkere Mechanismen fuer die Integritaet und den Besitz des Gastspeichers hinzufuegt. Firmware, Hypervisor, Gastunterstuetzung und Attestierung wirken beim vollstaendigen Confidential-VM-Deployment zusammen.

Wo es nuetzlich ist

Ein Cloud-Deployment kann einen explizit unterstuetzten Confidential-VM-Typ anfordern und dessen Attestierungsnachweise validieren, bevor Geheimnisse freigegeben werden. Die Anwendung benoetigt weiterhin sichere E/A, authentifizierte Gegenstellen und eine Richtlinie fuer die von ihr akzeptierten Plattformmessungen.

So pruefen Sie Unterstuetzung und Aktivierung

Pruefen Sie die AMD-Speicherverschluesselungs-CPUID-Informationen und die genaue SEV-Variante; validieren Sie anschliessend Firmware, Host-/Gastunterstuetzung und Attestierung ueber die dokumentierte Schnittstelle des Anbieters. Ziehen Sie aktuelle AMD-Sicherheitshinweise fuer die eingesetzte Generation und Firmware heran.

Faehigkeit, Aktivierung und Durchsetzung muessen separat geprueft werden. Ein Prozessor kann eine Schutzfunktion unterstuetzen, waehrend Betriebssystem, Anwendung oder VM-Richtlinie diese nicht aktivieren. Ein Support-Feld in einer Datenbank ist keine Attestierung eines laufenden Systems.

Was die Funktion nicht gewaehrleistet

Ein generisches SEV-Feld belegt weder SEV-SNP noch den aktuellen Status der Firmware-Mitigationen oder einen spezifischen Attestierungsdienst. Verschluesselung allein ist nicht gleichbedeutend mit Integritaetsschutz, und Speicherverschluesselung sichert nicht jeden Geraete- oder Netzwerkpfad ab.

Kompatibilitaet und Leistung in der Praxis

Halten Sie Betriebssystem, Firmware und die betroffene Laufzeitumgebung aktuell. Wenn eine Schutzfunktion ein Kompatibilitaetsproblem offenbart, nutzen Sie zunaechst Herstellerdiagnosen und unterstuetzte Updates. Ein pauschales Umschalten von Schutzfunktionen kann nicht verwandte Anwendungen beeintraechtigen und sollte einer expliziten Bereitstellungs- und Wiederherstellungsrichtlinie folgen.

Eine praktische Verifikations-Checkliste

1. Erfassen Sie das genaue Prozessor- oder Plattformmodell sowie die beteiligten Versionen von Anwendung, Betriebssystem und Laufzeitumgebung. Behalten Sie den genauen Wortlaut des tatsaechlichen Fehlers oder der Anforderung bei.
2. Pruefen Sie die Herstellerreferenz fuer dieses genaue Modell und untersuchen Sie anschliessend die effektive Faehigkeit und den Aktivierungsstatus in der Umgebung, in der das Programm ausgefuehrt wird.
3. Gleichen Sie jede Anforderung der ausgewaehlten Binaerdatei oder des Backends ab. Eine aehnlich benannte Funktion, ein Alias oder eine allgemeine Technologiebezeichnung reichen nicht aus.
4. Bestaetigen Sie, dass die Anwendung die vorgesehene Implementierung ausgewaehlt hat. Nutzen Sie deren dokumentierte Diagnosefunktionen und einen unterstuetzten Fallback, wenn Anforderungen nicht erfuellt sind.
5. Nehmen Sie jeweils nur eine unterstuetzte Aenderung vor und wiederholen Sie denselben Workload. Halten Sie die urspruengliche Konfiguration und einen Wiederherstellungspfad verfuegbar.

Wenn die Funktion aufgefuehrt ist, Software sie jedoch nicht nutzen kann

Beginnen Sie mit der exakten fehlschlagenden Komponente. Eine Hardware-Datenbank beschreibt die erfasste Faehigkeit; das Betriebssystem oder der Hypervisor kann eine abweichende effektive Umgebung bereitstellen. Ein Fehler wegen eines ungueltigen Befehls erfordert zudem die Untersuchung des tatsaechlich fehlerhaften Befehls und des Binaer-Builds, da Beschaedigungen oder ein nicht verwandter, nicht unterstuetzter Befehl aehnliche Symptome hervorrufen koennen.

Installieren Sie die fuer die genaue Plattform unterstuetzte Version von Anwendung, Treiber oder Laufzeitumgebung und nutzen Sie bei Bedarf den dokumentierten Baseline- oder Fallback-Build des Herstellers. Ein Software-Update kann keinen Befehl erzeugen, der dem Prozessor fehlt. Aenderungen an Firmware und Sicherheitsrichtlinien sollten dem Verfahren des Systemherstellers und einem Wiederherstellungsplan folgen statt einer generischen Optimierungsanleitung.

Verwandte Funktionen und nuetzliche Unterscheidungen

AMD SME · AMD-V und SVM · NPT und RVI · SGX

Quellen und Umfang dieser Erklaerung

Entwicklerressourcen zu AMD Secure Encrypted Virtualization · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Diese Referenzen definieren das Architekturverhalten und die Softwareanforderungen. Sie verifizieren nicht unabhaengig jeden Funktionswert auf einer verknuepften Hardware-Modellseite. Nutzen Sie fuer die Modellunterstuetzung die Herstellernachweise jener Seite und pruefen Sie die effektive Systemkonfiguration. Dieser Artikel liefert keinen Benchmark, keine Zertifizierung und kein unabhaengiges Pruefdatum.

Verwandt

Diese Entitäten sind mit diesem Artikel verknüpft. Der Typ wird bei jedem Link angezeigt.

Quellen und Verifizierung

Redaktionelle Verantwortung: Feex. Kein Datum einer unabhängigen Prüfung erfasst. Wie wir recherchieren.

• Entwicklerressourcen zu AMD Secure Encrypted Virtualization - Unterscheidet SEV, SEV-ES und SEV-SNP und verlinkt Firmware-APIs, Attestierungs- und Speicherverschluesselungsdokumentation. Pruefen Sie aktuelle Sicherheitshinweise fuer die genaue Bereitstellung.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming - Systemprogrammierung, SVM und verschachtelte Translation, Revision 3.46. Der aktuelle Dokumentenbetrachter erfordert JavaScript; aeltere Dokument-URLs wurden moeglicherweise zurueckgezogen.