AMD SEV

Ce que vous devez savoir

Comment ça marche

SEV associe le chiffrement de la mémoire de l'invité à une gestion des clés propre à chaque machine virtuelle. SEV-ES ajoute une protection pour l'état des registres de l'invité lors des sorties, tandis que SEV-SNP ajoute des mécanismes plus robustes autour de l'intégrité et de la propriété de la mémoire de l'invité. Le micrologiciel, l'hyperviseur, la prise en charge de l'invité et l'attestation participent au déploiement complet d'une machine virtuelle confidentielle.

Domaines d'utilité

Un déploiement cloud peut demander un type de machine virtuelle confidentielle explicitement pris en charge et valider ses preuves d'attestation avant de libérer des secrets. L'application a toujours besoin d'entrées/sorties sécurisées, de pairs authentifiés et d'une politique pour les mesures de plateforme qu'elle accepte.

Comment vérifier la prise en charge et l'activation

Vérifiez les informations CPUID de chiffrement de mémoire AMD et la variante SEV exacte, puis validez le micrologiciel, la prise en charge hôte/invité et l'attestation par l'intermédiaire de l'interface documentée du fournisseur. Consultez les conseils de sécurité AMD actuels pour la génération et le micrologiciel déployés.

La capacité, l'activation et l'application doivent être vérifiées séparément. Un processeur peut prendre en charge une protection tandis que le système d'exploitation, l'application ou la politique de la machine virtuelle ne l'active pas. Un champ de prise en charge d'une base de données n'est pas une attestation d'un système en cours d'exécution.

Ce que la fonctionnalité n'établit pas

Un champ SEV générique ne prouve pas la présence de SEV-SNP, l'état actuel des mesures d'atténuation du micrologiciel ni un service d'attestation spécifique. Le chiffrement seul n'équivaut pas à une protection de l'intégrité, et le chiffrement de la mémoire ne sécurise pas chaque périphérique ou chemin réseau.

Compatibilité et performances en pratique

Maintenez le système d'exploitation, le micrologiciel et le runtime concerné à jour. Si une protection révèle un problème de compatibilité, utilisez d'abord les diagnostics du fournisseur et les mises à jour prises en charge. Une activation générale d'une protection peut affecter des applications sans rapport et doit suivre une politique de déploiement et de récupération explicite.

Une liste de contrôle pratique pour la vérification

1. Enregistrez le modèle exact de processeur ou de plateforme ainsi que les versions de l'application, du système d'exploitation et du runtime concernés. Conservez la formulation de l'erreur ou de l'exigence réelle.
2. Consultez la référence du fabricant pour ce modèle exact, puis inspectez la capacité effective et l'état activé dans l'environnement où le programme s'exécute.
3. Comparez chaque exigence du binaire ou du backend sélectionné. Une fonctionnalité au nom similaire, un alias ou une étiquette technologique générale ne suffisent pas.
4. Confirmez que l'application a sélectionné l'implémentation prévue. Utilisez ses diagnostics documentés et une solution de repli prise en charge lorsque les exigences ne sont pas satisfaites.
5. Effectuez une seule modification prise en charge à la fois et répétez la même charge de travail. Gardez la configuration d'origine et une procédure de récupération disponibles.

Si la fonctionnalité est répertoriée mais que le logiciel ne peut pas l'utiliser

Commencez par le composant exact en échec. Une base de données matérielle décrit une capacité enregistrée ; le système d'exploitation ou l'hyperviseur peut exposer un environnement effectif différent. Une erreur d'instruction non autorisée nécessite également d'examiner l'instruction fautive réelle et le binaire compilé, car une corruption ou une instruction non prise en charge sans rapport peut produire un symptôme similaire.

Installez la version de l'application, du pilote ou du runtime prise en charge pour la plateforme exacte, et utilisez la version de référence ou de secours documentée par le fournisseur si nécessaire. Une mise à jour logicielle ne peut pas créer une instruction dont le processeur est dépourvu. Les modifications de micrologiciel et de politique de sécurité doivent suivre la procédure du fabricant du système et un plan de récupération plutôt qu'une recette d'optimisation générique.

Fonctionnalités associées et distinctions utiles

AMD SME · AMD-V et SVM · NPT et RVI · SGX

Sources et portée de cette explication

Ressources pour développeurs AMD Secure Encrypted Virtualization · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Ces références établissent le comportement architectural et les exigences logicielles. Elles ne vérifient pas de manière indépendante chaque valeur de fonctionnalité sur la page d'un modèle matériel associé. Pour la prise en charge d'un modèle, utilisez les preuves du fabricant fournies sur cette page et vérifiez la configuration effective du système. Cet article ne fournit pas de benchmark, de certification ou de date d'évaluation indépendante.

Associé

Ces entités sont liées à cet article. Le type est affiché sur chaque lien.

Sources et vérification

Responsabilité éditoriale : Feex. Aucune date de révision indépendante n'est enregistrée. Notre méthodologie de recherche.

• Ressources pour développeurs AMD Secure Encrypted Virtualization · Distingue SEV, SEV-ES et SEV-SNP et lie les API du micrologiciel, l'attestation et la documentation sur le chiffrement de mémoire. Consultez les avis de sécurité actuels pour le déploiement exact.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Programmation système, SVM et traduction imbriquée, révision 3.46. La visionneuse de documentation actuelle nécessite JavaScript ; les URL de documents plus anciennes peuvent avoir été retirées.