AMD SME

Referensi arsitekturFeex

AMD Secure Memory Encryption, SME, menyediakan fasilitas enkripsi memori yang dikelola oleh platform dan sistem operasi. Ini berbeda dari perlindungan SEV per-VM dan tidak dengan sendirinya membentuk penerapan komputasi rahasia (confidential-computing).

Yang perlu Anda ketahui

Cara kerjanya

Arsitektur enkripsi memori mengidentifikasi pemetaan terenkripsi melalui mekanisme bit alamat yang ditentukan dan kontrol platform. OS harus memperhitungkan bit enkripsi dan dampak apa pun pada bit alamat fisik yang tersedia, serta menangani memori bersama atau yang terlihat oleh perangkat sesuai dengan aturan platform.

Manfaat penggunaan

OS dapat mengatur agar halaman memori yang sesuai dienkripsi saat data berpindah ke memori eksternal. Penyangga DMA dan pemetaan bersama lainnya memerlukan penanganan yang kompatibel, sehingga mengaktifkan suatu bit secara terisolasi bukanlah prosedur penerapan yang lengkap.

Cara memeriksa dukungan dan pengaktifan

Gunakan informasi CPUID enkripsi memori AMD dan dokumentasi firmware platform/OS yang tepat untuk menetapkan dukungan dan pengaktifan. Periksa kebijakan enkripsi yang aktif dan kompatibilitas perangkat. Simpan panduan pemulihan dari vendor sebelum mengubah pengaturan enkripsi memori pada firmware.

Kemampuan, pengaktifan, dan penegakan harus diperiksa secara terpisah. Sebuah prosesor dapat mendukung suatu perlindungan sementara OS, aplikasi, atau kebijakan mesin virtual tidak mengaktifkannya. Kolom dukungan pada basis data bukanlah atestasi dari sistem yang sedang berjalan.

Hal yang tidak dipastikan oleh fitur ini

SME tidak menyiratkan isolasi per-guest, integritas memori, SEV-SNP, atau perlindungan terhadap setiap serangan oleh perangkat lunak berhak istimewa. Kebijakan enkripsi platform yang transparan dan konfigurasi SME yang dikelola OS tidak boleh dianggap identik hanya berdasarkan kolom ringkasan.

Kompatibilitas dan performa dalam praktik

Pastikan OS, firmware, dan runtime yang terpengaruh selalu mutakhir. Jika suatu perlindungan menimbulkan masalah kompatibilitas, gunakan diagnostik vendor dan pembaruan yang didukung terlebih dahulu. Tombol perlindungan menyeluruh dapat memengaruhi aplikasi yang tidak terkait dan harus mengikuti kebijakan penerapan serta pemulihan yang eksplisit.

Daftar periksa verifikasi praktis

Catat model prosesor atau platform yang tepat serta versi aplikasi, OS, dan runtime yang terlibat. Pertahankan kata-kata dari kesalahan atau persyaratan sebenarnya.
Periksa referensi produsen untuk model persis tersebut, lalu periksa kemampuan efektif dan status aktif di lingkungan tempat program berjalan.
Bandingkan setiap persyaratan dari biner atau backend yang dipilih. Fitur dengan nama serupa, alias, atau label teknologi umum tidaklah cukup.
Pastikan aplikasi memilih implementasi yang dimaksudkan. Gunakan diagnostik terdokumentasi miliknya dan alternatif cadangan yang didukung ketika persyaratan tidak terpenuhi.
Lakukan satu perubahan yang didukung pada satu waktu dan ulangi beban kerja yang sama. Pertahankan konfigurasi asli dan jalur pemulihan tetap tersedia.

Jika fitur terdaftar tetapi perangkat lunak tidak dapat menggunakannya

Mulailah dari komponen persis yang mengalami kegagalan. Basis data perangkat keras menjelaskan kemampuan yang tercatat; sistem operasi atau hipervisor dapat mengekspos lingkungan efektif yang berbeda. Kesalahan instruksi ilegal juga memerlukan penyelidikan terhadap instruksi bermasalah yang sebenarnya dan build biner, karena korupsi data atau instruksi tidak didukung yang tidak terkait dapat menghasilkan gejala serupa.

Pasang versi aplikasi, driver, atau runtime yang didukung untuk platform persis tersebut, dan gunakan build standar atau cadangan yang terdokumentasi dari vendor jika diperlukan. Pembaruan perangkat lunak tidak dapat menciptakan instruksi yang tidak dimiliki prosesor. Perubahan firmware dan kebijakan keamanan harus mengikuti prosedur produsen sistem serta rencana pemulihan, bukan resep optimasi umum.

Sumber dan cakupan penjelasan ini

Sumber daya pengembang AMD Secure Encrypted Virtualization · Kernel Linux: enkripsi memori AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Referensi ini menetapkan perilaku arsitektur dan persyaratan perangkat lunak. Referensi tersebut tidak memverifikasi secara independen setiap nilai fitur pada halaman model perangkat keras yang ditautkan. Untuk dukungan model, gunakan bukti produsen pada halaman tersebut dan periksa konfigurasi sistem efektif. Artikel ini tidak menyediakan tolok ukur, sertifikasi, atau tanggal tinjauan independen.

Sumber dan verifikasi

Kepemilikan editorial: Feex. Tidak ada tanggal peninjauan independen yang dicatat. Cara kami meneliti.

Sumber daya pengembang AMD Secure Encrypted Virtualization · Membedakan SEV, SEV-ES, dan SEV-SNP serta menautkan API firmware, atestasi, dan dokumentasi enkripsi memori. Periksa penasihat keamanan terkini untuk penerapan yang tepat.
Kernel Linux: enkripsi memori AMD · Pengaktifan SME/SEV, bit alamat enkripsi, dan reduksi alamat fisik. Menjelaskan implementasi OS, bukan setiap kebijakan platform.
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Pemrograman sistem, SVM, dan translasi bersarang, revisi 3.46. Penampil dokumentasi saat ini memerlukan JavaScript; URL dokumen yang lebih lama mungkin telah dihentikan.

Apakah artikel ini bermanfaat?

Cukup jawab ya atau tidak. Pilih alasan jika Anda mau, atau tambahkan catatan singkat.