AMD SME

Αναφορά αρχιτεκτονικήςFeex

Το AMD Secure Memory Encryption (SME) παρέχει δυνατότητες κρυπτογράφησης μνήμης που διαχειρίζονται η πλατφόρμα και το λειτουργικό σύστημα. Διαφέρει από την προστασία SEV ανά VM και δεν δημιουργεί από μόνο του μια ανάπτυξη εμπιστευτικής υπολογιστικής (confidential-computing).

Τι πρέπει να γνωρίζετε

Πώς λειτουργεί

Η αρχιτεκτονική κρυπτογράφησης μνήμης προσδιορίζει κρυπτογραφημένες αντιστοιχίσεις μέσω ενός καθορισμένου μηχανισμού bit διεύθυνσης και στοιχείων ελέγχου πλατφόρμας. Το λειτουργικό σύστημα πρέπει να λαμβάνει υπόψη το bit κρυπτογράφησης και οποιαδήποτε επίδραση στα διαθέσιμα bit φυσικής διεύθυνσης, και να χειρίζεται την κοινόχρηστη ή ορατή από συσκευές μνήμη σύμφωνα με τους κανόνες της πλατφόρμας.

Πού είναι χρήσιμο

Ένα λειτουργικό σύστημα μπορεί να ρυθμίσει τις κατάλληλες σελίδες μνήμης ώστε να κρυπτογραφούνται καθώς τα δεδομένα μεταφέρονται στην εξωτερική μνήμη. Οι ενδιάμεσες μνήμες DMA και άλλες κοινόχρηστες αντιστοιχίσεις χρειάζονται συμβατή αντιμετώπιση, επομένως η ενεργοποίηση ενός bit μεμονωμένα δεν αποτελεί πλήρη διαδικασία ανάπτυξης.

Πώς να ελέγξετε την υποστήριξη και την ενεργοποίηση

Χρησιμοποιήστε τις πληροφορίες CPUID κρυπτογράφησης μνήμης της AMD και την ακριβή τεκμηρίωση υλικολογισμικού πλατφόρμας/λειτουργικού συστήματος για να διαπιστώσετε την υποστήριξη και την ενεργοποίηση. Ελέγξτε την ενεργή πολιτική κρυπτογράφησης και τη συμβατότητα συσκευών. Διατηρήστε τις οδηγίες επαναφοράς του κατασκευαστή πριν αλλάξετε τις ρυθμίσεις κρυπτογράφησης μνήμης στο υλικολογισμικό.

Η δυνατότητα, η ενεργοποίηση και η επιβολή πρέπει να ελέγχονται ξεχωριστά. Ένας επεξεργαστής μπορεί να υποστηρίζει μια προστασία ενώ το λειτουργικό σύστημα, η εφαρμογή ή η πολιτική της εικονικής μηχανής δεν την ενεργοποιεί. Ένα πεδίο υποστήριξης σε βάση δεδομένων δεν αποτελεί πιστοποίηση γνησιότητας ενός συστήματος που εκτελείται.

Τι δεν καθορίζει η δυνατότητα

Το SME δεν συνεπάγεται απομόνωση ανά guest, ακεραιότητα μνήμης, SEV-SNP ή προστασία έναντι κάθε επίθεσης από προνομιούχο λογισμικό. Οι διαφανείς πολιτικές κρυπτογράφησης πλατφόρμας και οι διαμορφώσεις SME που διαχειρίζεται το λειτουργικό σύστημα δεν πρέπει να θεωρούνται πανομοιότυπες βάσει ενός συνοπτικού πεδίου.

Συμβατότητα και απόδοση στην πράξη

Διατηρείτε ενημερωμένο το λειτουργικό σύστημα, το υλικολογισμικό και το επηρεαζόμενο περιβάλλον εκτέλεσης. Εάν μια προστασία εμφανίσει πρόβλημα συμβατότητας, χρησιμοποιήστε πρώτα τα διαγνωστικά του κατασκευαστή και τις υποστηριζόμενες ενημερώσεις. Μια γενική εναλλαγή προστασίας μπορεί να επηρεάσει άσχετες εφαρμογές και θα πρέπει να ακολουθεί μια ρητή πολιτική ανάπτυξης και επαναφοράς.

Μια πρακτική λίστα ελέγχου επαλήθευσης

Καταγράψτε το ακριβές μοντέλο επεξεργαστή ή πλατφόρμας και τις εμπλεκόμενες εκδόσεις εφαρμογής, λειτουργικού συστήματος και περιβάλλοντος εκτέλεσης (runtime). Διατηρήστε τη διατύπωση του πραγματικού σφάλματος ή της απαίτησης.
Ελέγξτε τις αναφορές του κατασκευαστή για το συγκεκριμένο μοντέλο και, στη συνέχεια, εξετάστε την πραγματική δυνατότητα και την ενεργοποιημένη κατάσταση στο περιβάλλον όπου εκτελείται το πρόγραμμα.
Συγκρίνετε κάθε απαίτηση του επιλεγμένου εκτελέσιμου αρχείου (binary) ή του backend. Μια δυνατότητα με παρόμοιο όνομα, ένα ψευδώνυμο ή μια ευρεία ετικέτα τεχνολογίας δεν επαρκεί.
Επιβεβαιώστε ότι η εφαρμογή επέλεξε την προβλεπόμενη υλοποίηση. Χρησιμοποιήστε τα τεκμηριωμένα διαγνωστικά της και μια υποστηριζόμενη εναλλακτική λύση (fallback) όταν δεν πληρούνται οι απαιτήσεις.
Κάντε μία υποστηριζόμενη αλλαγή τη φορά και επαναλάβετε τον ίδιο φόρτο εργασίας. Διατηρήστε διαθέσιμη την αρχική διαμόρφωση και τη διαδρομή επαναφοράς.

Εάν η δυνατότητα αναφέρεται αλλά το λογισμικό δεν μπορεί να τη χρησιμοποιήσει

Ξεκινήστε με το ακριβές στοιχείο που αποτυγχάνει. Μια βάση δεδομένων υλικού περιγράφει την καταγεγραμμένη δυνατότητα· το λειτουργικό σύστημα ή ο hypervisor μπορεί να εκθέσει ένα διαφορετικό πραγματικό περιβάλλον. Ένα σφάλμα μη έγκυρης εντολής (illegal-instruction error) απαιτεί επίσης διερεύνηση της πραγματικής εντολής που προκάλεσε το σφάλμα και της έκδοσης του εκτελέσιμου (binary build), καθώς η αλλοίωση δεδομένων ή μια άσχετη μη υποστηριζόμενη εντολή μπορεί να προκαλέσει παρόμοιο σύμπτωμα.

Εγκαταστήστε την έκδοση της εφαρμογής, του προγράμματος οδήγησης ή του περιβάλλοντος εκτέλεσης που υποστηρίζεται για την ακριβή πλατφόρμα και χρησιμοποιήστε τη βασική γραμμή (baseline) ή την εναλλακτική έκδοση (fallback build) που τεκμηριώνει ο κατασκευαστής, εάν χρειάζεται. Μια ενημέρωση λογισμικού δεν μπορεί να δημιουργήσει μια εντολή που λείπει από τον επεξεργαστή. Οι αλλαγές στο υλικολογισμικό (firmware) και στην πολιτική ασφαλείας θα πρέπει να ακολουθούν τη διαδικασία του κατασκευαστή του συστήματος και ένα σχέδιο επαναφοράς και όχι μια γενική συνταγή βελτιστοποίησης.

Πηγές και πεδίο εφαρμογής αυτής της επεξήγησης

Πόροι προγραμματιστών AMD Secure Encrypted Virtualization · Πυρήνας Linux: κρυπτογράφηση μνήμης AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Αυτές οι αναφορές καθορίζουν την αρχιτεκτονική συμπεριφορά και τις απαιτήσεις λογισμικού. Δεν επαληθεύουν ανεξάρτητα κάθε τιμή δυνατότητας σε μια συνδεδεμένη σελίδα μοντέλου υλικού. Για την υποστήριξη του μοντέλου, χρησιμοποιήστε τα στοιχεία τεκμηρίωσης του κατασκευαστή αυτής της σελίδας και ελέγξτε την πραγματική διαμόρφωση του συστήματος. Αυτό το άρθρο δεν παρέχει ημερομηνία δοκιμής επιδόσεων (benchmark), πιστοποίησης ή ανεξάρτητης αξιολόγησης.

Πηγές και επαλήθευση

Συντακτική ιδιοκτησία: Feex. Δεν έχει καταγραφεί ημερομηνία ανεξάρτητης αναθεώρησης. Πώς ερευνούμε.

Πόροι προγραμματιστών AMD Secure Encrypted Virtualization · Διακρίνει τα SEV, SEV-ES και SEV-SNP και συνδέει API υλικολογισμικού, τεκμηρίωση πιστοποίησης γνησιότητας και κρυπτογράφησης μνήμης. Ελέγξτε τις τρέχουσες οδηγίες ασφαλείας για τη συγκεκριμένη ανάπτυξη.
Πυρήνας Linux: κρυπτογράφηση μνήμης AMD · Ενεργοποίηση SME/SEV, bit διεύθυνσης κρυπτογράφησης και μείωση φυσικής διεύθυνσης. Περιγράφει μια υλοποίηση λειτουργικού συστήματος και όχι κάθε πολιτική πλατφόρμας.
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Προγραμματισμός συστήματος, SVM και ένθετη μετάφραση, αναθεώρηση 3.46. Το τρέχον πρόγραμμα προβολής τεκμηρίωσης απαιτεί JavaScript· παλαιότερες διευθύνσεις URL εγγράφων ενδέχεται να έχουν αποσυρθεί.

Ήταν χρήσιμο αυτό το άρθρο;

Ένα ναι ή όχι είναι αρκετό. Επιλέξτε έναν λόγο εάν θέλετε ή προσθέστε μια σύντομη σημείωση.