Hopp til innhold

AMD SME

ArkitekturreferanseFeex

AMD Secure Memory Encryption, SME, gir minnekrypteringsfunksjoner administrert av plattformen og operativsystemet. Det skiller seg fra SEV-beskyttelse per VM og etablerer ikke i seg selv en konfidensiell databehandlingsdistribusjon.

Dette må du vite

AMD Secure Memory Encryption, SME, gir minnekrypteringsfunksjoner administrert av plattformen og operativsystemet. Det skiller seg fra SEV-beskyttelse per VM og etablerer ikke i seg selv en konfidensiell databehandlingsdistribusjon.

Slik fungerer det

Minnekrypteringsarkitekturen identifiserer krypterte tilordninger gjennom en definert adressebit-mekanisme og plattformkontroller. Operativsystemet må ta hensyn til krypteringsbiten og eventuell innvirkning på tilgjengelige fysiske adressebiter, og håndtere delt eller enhetssynlig minne i henhold til plattformens regler.

Hvor det er nyttig

Et operativsystem kan sørge for at passende minnesider krypteres når data overføres til eksternt minne. DMA-buffere og andre delte tilordninger trenger kompatibel håndtering, så det å aktivere en bit isolert er ikke en fullstendig distribusjonsprosedyre.

Slik kontrolleres støtte og aktivering

Bruk AMDs minnekrypterings-CPUID-informasjon og nøyaktig dokumentasjon for plattformens fastvare/OS for å fastslå støtte og aktivering. Kontroller den aktive krypteringspolicyen og enhetskompatibiliteten. Ta vare på leverandørens veiledning om gjenoppretting før du endrer innstillinger for minnekryptering i fastvaren.

Kapasitet, aktivering og håndheving må kontrolleres separat. En prosessor kan støtte en beskyttelse mens operativsystemet, applikasjonen eller retningslinjene for den virtuelle maskinen ikke aktiverer den. Et støttefelt i en database er ikke en attestering av et kjørende system.

Hva funksjonen ikke etablerer

SME innebærer ikke isolasjon per gjest, minneintegritet, SEV-SNP eller beskyttelse mot alle angrep fra privilegert programvare. Transparente retningslinjer for plattformkryptering og OS-administrerte SME-konfigurasjoner bør ikke antas å være identiske basert på et sammendragsfelt.

Kompatibilitet og ytelse i praksis

Hold operativsystem, fastvare og berørt kjøretidsmiljø oppdatert. Hvis en beskyttelse avdekker et kompatibilitetsproblem, bruk leverandørens diagnostikk og støttede oppdateringer først. En bred beskyttelsesbryter kan påvirke urelaterte applikasjoner og bør følge en eksplisitt distribusjons- og gjenopprettingspolicy.

En praktisk sjekkliste for verifisering

  1. Registrer den nøyaktige prosessor- eller plattformmodellen og de involverte applikasjons-, OS- og kjøretidsversjonene. Bevar ordlyden i den faktiske feilen eller kravet.
  2. Sjekk produsentreferansen for akkurat den modellen, og undersøk deretter den faktiske kapasiteten og aktiverte tilstanden i miljøet der programmet kjører.
  3. Sammenlign ethvert krav til den valgte binærfilen eller baksiden. En lignende navngitt funksjon, et alias eller en bred teknologietikett er ikke tilstrekkelig.
  4. Bekreft at applikasjonen valgte den tiltenkte implementeringen. Bruk dens dokumenterte diagnostikk og en støttet reservemetode når kravene ikke er oppfylt.
  5. Gjør én støttet endring om gangen og gjenta den samme arbeidsbelastningen. Hold den opprinnelige konfigurasjonen og gjenopprettingsstien tilgjengelig.

Hvis funksjonen er oppført, men programvare ikke kan bruke den

Start med den nøyaktige komponenten som feiler. En maskinwaredatabase beskriver registrert kapasitet; operativsystemet eller hypervisoren kan eksponere et annet reelt miljø. En feil om ulovlig instruksjon krever også undersøkelse av den faktiske feilende instruksjonen og binærbyggingen, fordi korrupsjon eller en urelatert, ustøttet instruksjon kan gi et lignende symptom.

Installer applikasjonen, driveren eller kjøretidsversjonen som støttes for den nøyaktige plattformen, og bruk om nødvendig leverandørens dokumenterte grunnlinje- eller reservebygg. En programvareoppdatering kan ikke opprette en instruksjon som prosessoren mangler fastvare. Endringer i fastvare og sikkerhetspolicy bør følge systemprodusentens prosedyre og en gjenopprettingsplan i stedet for en generisk optimaliseringsoppskrift.

Kilder og omfang for denne forklaringen

Ressurser for utviklere av AMD Secure Encrypted Virtualization · Linux-kjerne: AMD-minnekryptering · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Disse referansene etablerer arkitektonisk oppførsel og programvarekrav. De verifiserer ikke uavhengig hver funksjonsverdi på en koblet maskinvaremodells side. For modellstøtte, bruk den sidens produsentdokumentasjon og kontroller den reelle systemkonfigurasjonen. Denne artikkelen oppgir ikke en referansemåling, sertifisering eller dato for uavhengig gjennomgang.

Kilder og verifisering

Redaksjonelt eierskap: Feex. Ingen uavhengig vurderingsdato er registrert. Hvordan vi gjør undersøkelser.

Var denne artikkelen nyttig?

Et ja eller nei holder. Velg en grunn hvis du vil, eller legg til en kort kommentar.

Var denne artikkelen nyttig?