AMD SME

Amit tudni érdemes

Hogyan működik

A memóriatitkosítási architektúra egy meghatározott címbit-mechanizmuson és platformvezérlőkön keresztül azonosítja a titkosított leképezéseket. Az operációs rendszernek figyelembe kell vennie a titkosítási bitet és annak a rendelkezésre álló fizikai címbitek számára gyakorolt hatását, valamint a megosztott vagy eszközök által látható memóriát a platform szabályainak megfelelően kell kezelnie.

Ahol hasznos

Az operációs rendszer gondoskodhat arról, hogy a megfelelő memórialapok titkosítva legyenek, amikor az adatok a külső memóriába kerülnek. A DMA-pufferek és más megosztott leképezések kompatibilis kezelést igényelnek, így egyetlen bit elszigetelt engedélyezése nem minősül teljes bevezetési eljárásnak.

A támogatás és az engedélyezés ellenőrzése

Használja az AMD memóriatitkosítási CPUID-információit és a pontos platformfirmware/operációs rendszer dokumentációját a támogatás és az engedélyezés megállapításához. Ellenőrizze az aktív titkosítási házirendet és az eszközkompatibilitást. Őrizze meg a gyártó helyreállítási útmutatását, mielőtt módosítaná a firmware memóriatitkosítási beállításait.

A képességet, az engedélyezést és a kényszerítést külön kell ellenőrizni. Előfordulhat, hogy a processzor támogat egy védelmet, miközben az operációs rendszer, az alkalmazás vagy a virtuális gép házirendje nem aktiválja azt. Az adatbázisban található támogatási mező nem minősül egy futó rendszer igazolásának.

Amit a funkció nem biztosít

Az SME nem vonja maga után a vendégenkénti elkülönítést, a memóriaintegritást, az SEV-SNP-t vagy a privilegizált szoftverek által indított összes támadással szembeni védelmet. Az átlátható platformtitkosítási házirendeket és az operációs rendszer által kezelt SME-konfigurációkat nem szabad azonosnak tekinteni egy összefoglaló mező alapján.

Kompatibilitás és teljesítmény a gyakorlatban

Tartsa naprakészen az operációs rendszert, a firmware-t és az érintett futtatókörnyezetet. Ha egy védelmi funkció kompatibilitási problémát tár fel, először a gyártói diagnosztikát és a támogatott frissítéseket használja. Egy átfogó védelmi kapcsoló nem kapcsolódó alkalmazásokat is érinthet, ezért kifejezett bevezetési és helyreállítási házirendet kell követnie.

Gyakorlati ellenőrzőlista

1. Rögzítse az érintett processzor vagy platform pontos modelljét, valamint az alkalmazás, az operációs rendszer és a futtatókörnyezet verzióját. Őrizze meg a tényleges hiba vagy követelmény pontos szövegezését.
2. Ellenőrizze az adott modellhez tartozó gyártói referenciát, majd vizsgálja meg a tényleges képességet és az engedélyezett állapotot abban a környezetben, ahol a program fut.
3. Vesse össze a kiválasztott bináris vagy háttérrendszer minden követelményét. Egy hasonló elnevezésű funkció, álnév vagy tág technológiai címke nem elegendő.
4. Győződjön meg arról, hogy az alkalmazás a kívánt implementációt választotta ki. Használja annak dokumentált diagnosztikai eszközeit és egy támogatott tartalék megoldást, ha a követelmények nem teljesülnek.
5. Egyszerre csak egy támogatott módosítást hajtson végre, és ismételje meg ugyanazt a munkaterhelést. Tartsa elérhetően az eredeti konfigurációt és a helyreállítási útvonalat.

Ha a funkció szerepel a listán, de a szoftver nem tudja használni

Kezdje a hibát jelző pontos komponenssel. A hardveradatbázis a rögzített képességet írja le; az operációs rendszer vagy a hipervizor ettől eltérő tényleges környezetet tehet elérhetővé. Az érvénytelen utasítás miatti hiba (illegal-instruction) esetén a ténylegesen hibát okozó utasítást és a bináris összeállítást is vizsgálni kell, mivel az adatsérülés vagy egy nem kapcsolódó, nem támogatott utasítás is hasonló tünetet produkálhat.

Telepítse az adott platformhoz támogatott alkalmazás-, illesztőprogram- vagy futtatókörnyezet-verziót, és szükség esetén használja a gyártó által dokumentált alapértelmezett vagy tartalék változatot. Egy szoftverfrissítés nem hozhat létre olyan utasítást, amellyel a processzor nem rendelkezik. A firmware- és biztonságipolitika-módosítások során a rendszer gyártójának eljárását és egy helyreállítási tervet kell követni egy általános optimalizálási recept helyett.

Kapcsolódó funkciók és hasznos különbségtételek

AMD SEV · IOMMU · Execute Disable (NX)

A magyarázat forrásai és hatóköre

AMD Secure Encrypted Virtualization fejlesztői források · Linux kernel: AMD memóriatitkosítás · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Ezek a hivatkozások az architekturális viselkedést és a szoftverkövetelményeket határozzák meg. Nem ellenőrzik függetlenül a hivatkozott hardvermodell oldalán található összes funkcióértéket. A modell támogatásához használja az adott oldal gyártói bizonyítékait, és ellenőrizze a tényleges rendszerkonfigurációt. Ez a cikk nem tartalmaz teljesítménytesztet, tanúsítást vagy független felülvizsgálati dátumot.

Kapcsolódó

Ezek az entitások kapcsolódnak ehhez a cikkhez. A típus minden hivatkozáson megjelenik.

Források és ellenőrzés

Szerkesztői jogtulajdonos: Feex. Független felülvizsgálati dátum nincs rögzítve. Hogyan kutatunk.

• AMD Secure Encrypted Virtualization fejlesztői források · Megkülönbözteti az SEV, SEV-ES és SEV-SNP technológiákat, valamint hivatkozásokat tartalmaz a firmware API-khoz, az igazoláshoz és a memóriatitkosítási dokumentációhoz. Tekintse át az aktuális biztonsági figyelmeztetéseket az adott környezethez.
• Linux kernel: AMD memóriatitkosítás · SME/SEV engedélyezés, titkosítási címbit és fizikai címtér-csökkentés. Egy operációs rendszer implementációját írja le, nem pedig minden platformházirendet.
• AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Rendszerprogramozás, SVM és beágyazott címfordítás, 3.46-os revízió. Az aktuális dokumentációmegtekintőhöz JavaScript szükséges; a régebbi dokumentum-URL-ek érvénytelenné válhattak.