Salta al contenuto

AMD SME

Riferimento sull'architetturaFeex

AMD Secure Memory Encryption, SME, fornisce funzionalità di cifratura della memoria gestite dalla piattaforma e dal sistema operativo. Si differenzia dalla protezione SEV per singola VM e non stabilisce di per sé un deployment di confidential computing.

Cosa c'è da sapere

AMD Secure Memory Encryption, SME, fornisce funzionalità di cifratura della memoria gestite dalla piattaforma e dal sistema operativo. Si differenzia dalla protezione SEV per singola VM e non stabilisce di per sé un deployment di confidential computing.

Come funziona

L'architettura di cifratura della memoria identifica le mappature cifrate tramite un meccanismo definito basato su bit di indirizzo e controlli della piattaforma. Il sistema operativo deve tenere conto del bit di cifratura e di qualsiasi effetto sui bit di indirizzo fisico disponibili, oltre a gestire la memoria condivisa o visibile ai dispositivi in base alle regole della piattaforma.

Dove risulta utile

Un sistema operativo può predisporre la cifratura delle pagine di memoria appropriate durante il trasferimento dei dati verso la memoria esterna. I buffer DMA e le altre mappature condivise necessitano di un trattamento compatibile, pertanto l'abilitazione di un bit in modo isolato non costituisce una procedura di deployment completa.

Come verificare il supporto e l'abilitazione

Utilizzare le informazioni CPUID sulla cifratura della memoria di AMD e la documentazione esatta di sistema operativo e firmware della piattaforma per accertare il supporto e l'abilitazione. Verificare i criteri di cifratura attivi e la compatibilità dei dispositivi. Conservare le istruzioni di ripristino fornite dal produttore prima di modificare le impostazioni di cifratura della memoria nel firmware.

Capacità, abilitazione e applicazione delle norme devono essere verificate separatamente. Un processore può supportare una protezione anche quando il sistema operativo, l'applicazione o i criteri della macchina virtuale non la attivano. Un campo di supporto all'interno di un database non costituisce l'attestazione di un sistema in esecuzione.

Cosa non stabilisce la funzionalità

SME non implica isolamento per singolo guest, integrità della memoria, SEV-SNP o protezione contro qualsiasi attacco da parte di software con privilegi elevati. I criteri trasparenti di cifratura della piattaforma e le configurazioni SME gestite dal sistema operativo non devono essere considerati identici sulla base di un campo di riepilogo.

Compatibilità e prestazioni nella pratica

Mantenere aggiornati il sistema operativo, il firmware e il runtime interessato. Se una protezione evidenzia un problema di compatibilità, ricorrere innanzitutto alla diagnostica del fornitore e agli aggiornamenti supportati. Una modifica radicale delle protezioni può influire su applicazioni non correlate e deve seguire criteri precisi di distribuzione e ripristino.

Una checklist pratica di verifica

  1. Annotare il modello esatto di processore o piattaforma e le versioni di applicazione, sistema operativo e runtime interessate. Mantenere la formulazione dell'errore o del requisito effettivo.
  2. Controllare la documentazione del produttore per quello specifico modello, quindi ispezionare la funzionalità effettiva e lo stato di abilitazione nell'ambiente in cui il programma viene eseguito.
  3. Confrontare ogni requisito del binario o del backend selezionato. Una funzionalità con un nome simile, un alias o un'etichetta tecnologica generica non sono sufficienti.
  4. Verificare che l'applicazione abbia selezionato l'implementazione prevista. Utilizzare la relativa diagnostica documentata e un fallback supportato quando i requisiti non sono soddisfatti.
  5. Apportare una sola modifica supportata alla volta e ripetere lo stesso carico di lavoro. Mantenere disponibili la configurazione originale e un percorso di ripristino.

Se la funzionalità è elencata ma il software non può utilizzarla

Iniziare dal componente esatto che genera l'errore. Un database hardware descrive la capacità registrata; il sistema operativo o l'hypervisor possono esporre un ambiente effettivo differente. Un errore di istruzione illegale richiede inoltre l'analisi dell'effettiva istruzione che causa il problema e della build del binario, poiché il danneggiamento di dati o un'istruzione non supportata non correlata possono produrre un sintomo simile.

Installare la versione di applicazione, driver o runtime supportata per la piattaforma esatta e, se necessario, utilizzare la build di riferimento o di fallback documentata dal produttore. Un aggiornamento software non può creare un'istruzione che manca nel processore. Le modifiche al firmware e ai criteri di sicurezza devono seguire la procedura del produttore del sistema e un piano di ripristino, piuttosto che una generica ricetta di ottimizzazione.

Fonti e ambito di questa spiegazione

Risorse per sviluppatori per AMD Secure Encrypted Virtualization · Linux kernel: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Questi riferimenti definiscono il comportamento architetturale e i requisiti software. Non verificano in modo indipendente ogni valore delle funzionalità presente nella pagina di un modello hardware collegato. Per il supporto su uno specifico modello, fare riferimento alle evidenze del produttore su quella pagina e controllare l'effettiva configurazione di sistema. Questo articolo non fornisce benchmark, certificazioni o date di revisione indipendente.

Fonti e verifica

Titolarità editoriale: Feex. Nessuna data di revisione indipendente registrata. Come svolgiamo le ricerche.

Questo articolo è stato utile?

È sufficiente un sì o un no. Scegli un motivo, se desideri, o aggiungi una breve nota.

Questo articolo è stato utile?