Passer au contenu

AMD SME

Référence d'architectureFeex

AMD Secure Memory Encryption, SME, fournit des fonctionnalités de chiffrement de mémoire gérées par la plateforme et le système d'exploitation. Elle diffère de la protection SEV par machine virtuelle et n'établit pas à elle seule un déploiement informatique confidentiel.

Ce que vous devez savoir

AMD Secure Memory Encryption, SME, fournit des fonctionnalités de chiffrement de mémoire gérées par la plateforme et le système d'exploitation. Elle diffère de la protection SEV par machine virtuelle et n'établit pas à elle seule un déploiement informatique confidentiel.

Comment ça marche

L'architecture de chiffrement de mémoire identifie les mappages chiffrés par un mécanisme défini de bit d'adresse et des contrôles de plateforme. Le système d'exploitation doit tenir compte du bit de chiffrement et de tout effet sur les bits d'adresses physiques disponibles, et gérer la mémoire partagée ou visible par les périphériques selon les règles de la plateforme.

Domaines d'utilité

Un système d'exploitation peut s'organiser pour que les pages de mémoire appropriées soient chiffrées lorsque les données transitent vers la mémoire externe. Les tampons DMA et les autres mappages partagés nécessitent un traitement compatible, de sorte que l'activation d'un bit de manière isolée ne constitue pas une procédure de déploiement complète.

Comment vérifier la prise en charge et l'activation

Utilisez les informations CPUID de chiffrement de mémoire AMD et la documentation exacte du système d'exploitation/micrologiciel de la plateforme pour établir la prise en charge et l'activation. Vérifiez la politique de chiffrement active et la compatibilité des périphériques. Conservez les conseils de récupération du fournisseur avant de modifier les paramètres de chiffrement de mémoire du micrologiciel.

La capacité, l'activation et l'application doivent être vérifiées séparément. Un processeur peut prendre en charge une protection tandis que le système d'exploitation, l'application ou la politique de la machine virtuelle ne l'active pas. Un champ de prise en charge d'une base de données n'est pas une attestation d'un système en cours d'exécution.

Ce que la fonctionnalité n'établit pas

SME n'implique pas l'isolation par invité, l'intégrité de la mémoire, SEV-SNP ni une protection contre toute attaque menée par un logiciel privilégié. Les politiques de chiffrement de plateforme transparentes et les configurations SME gérées par le système d'exploitation ne doivent pas être supposées identiques à partir d'un champ récapitulatif.

Compatibilité et performances en pratique

Maintenez le système d'exploitation, le micrologiciel et le runtime concerné à jour. Si une protection révèle un problème de compatibilité, utilisez d'abord les diagnostics du fournisseur et les mises à jour prises en charge. Une activation générale d'une protection peut affecter des applications sans rapport et doit suivre une politique de déploiement et de récupération explicite.

Une liste de contrôle pratique pour la vérification

  1. Enregistrez le modèle exact de processeur ou de plateforme ainsi que les versions de l'application, du système d'exploitation et du runtime concernés. Conservez la formulation de l'erreur ou de l'exigence réelle.
  2. Consultez la référence du fabricant pour ce modèle exact, puis inspectez la capacité effective et l'état activé dans l'environnement où le programme s'exécute.
  3. Comparez chaque exigence du binaire ou du backend sélectionné. Une fonctionnalité au nom similaire, un alias ou une étiquette technologique générale ne suffisent pas.
  4. Confirmez que l'application a sélectionné l'implémentation prévue. Utilisez ses diagnostics documentés et une solution de repli prise en charge lorsque les exigences ne sont pas satisfaites.
  5. Effectuez une seule modification prise en charge à la fois et répétez la même charge de travail. Gardez la configuration d'origine et une procédure de récupération disponibles.

Si la fonctionnalité est répertoriée mais que le logiciel ne peut pas l'utiliser

Commencez par le composant exact en échec. Une base de données matérielle décrit une capacité enregistrée ; le système d'exploitation ou l'hyperviseur peut exposer un environnement effectif différent. Une erreur d'instruction non autorisée nécessite également d'examiner l'instruction fautive réelle et le binaire compilé, car une corruption ou une instruction non prise en charge sans rapport peut produire un symptôme similaire.

Installez la version de l'application, du pilote ou du runtime prise en charge pour la plateforme exacte, et utilisez la version de référence ou de secours documentée par le fournisseur si nécessaire. Une mise à jour logicielle ne peut pas créer une instruction dont le processeur est dépourvu. Les modifications de micrologiciel et de politique de sécurité doivent suivre la procédure du fabricant du système et un plan de récupération plutôt qu'une recette d'optimisation générique.

Sources et portée de cette explication

Ressources pour développeurs AMD Secure Encrypted Virtualization · Noyau Linux : chiffrement de mémoire AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Ces références établissent le comportement architectural et les exigences logicielles. Elles ne vérifient pas de manière indépendante chaque valeur de fonctionnalité sur la page d'un modèle matériel associé. Pour la prise en charge d'un modèle, utilisez les preuves du fabricant fournies sur cette page et vérifiez la configuration effective du système. Cet article ne fournit pas de benchmark, de certification ou de date d'évaluation indépendante.

Sources et vérification

Responsabilité éditoriale : Feex. Aucune date de révision indépendante n'est enregistrée. Notre méthodologie de recherche.

Cet article vous a-t-il été utile ?

Un simple oui ou non suffit. Choisissez une raison si vous le souhaitez, ou ajoutez une courte remarque.

Cet article vous a-t-il été utile ?