Naar inhoud springen

AMD SME

ArchitectuurreferentieFeex

AMD Secure Memory Encryption, SME, biedt voorzieningen voor geheugenversleuteling die worden beheerd door het platform en het besturingssysteem. Het verschilt van SEV-bescherming per VM en vormt op zichzelf geen implementatie voor vertrouwelijk computergebruik.

Wat u moet weten

AMD Secure Memory Encryption, SME, biedt voorzieningen voor geheugenversleuteling die worden beheerd door het platform en het besturingssysteem. Het verschilt van SEV-bescherming per VM en vormt op zichzelf geen implementatie voor vertrouwelijk computergebruik.

Hoe het werkt

De architectuur voor geheugenversleuteling identificeert versleutelde toewijzingen via een gedefinieerd adresbitmechanisme en platformbedieningen. Het OS moet rekening houden met de versleutelingsbit en elk effect op beschikbare fysieke adresbits, en gedeeld of apparaatzichtbaar geheugen afhandelen volgens de regels van het platform.

Waar het nuttig is

Een besturingssysteem kan regelen dat geschikte geheugenpagina's worden versleuteld wanneer gegevens naar extern geheugen worden verplaatst. DMA-buffers en andere gedeelde toewijzingen vereisen een compatibele behandeling, dus het isoleren van een bit en dat inschakelen is geen volledige implementatieprocedure.

Ondersteuning en activering controleren

Gebruik de AMD-geheugenversleuteling CPUID-informatie en de exacte firmware-/OS-documentatie van het platform om ondersteuning en inschakeling vast te stellen. Controleer het actieve versleutelingsbeleid en de apparaatcompatibiliteit. Bewaar herstelrichtlijnen van de leverancier voordat u de firmware-instellingen voor geheugenversleuteling wijzigt.

Capaciteit, inschakeling en afdwinging moeten afzonderlijk worden gecontroleerd. Een processor kan een beveiliging ondersteunen terwijl het OS, de applicatie of het beleid voor virtuele machines deze niet activeert. Een ondersteuningsveld in een database is geen attestatie van een draaiend systeem.

Wat de functie niet vaststelt

SME impliceert geen isolatie per guest, geheugenintegriteit, SEV-SNP of bescherming tegen elke aanval door bevoorrechte software. Er mag niet vanuit een overzichtsveld van worden uitgegaan dat een transparant platformversleutelingsbeleid en door het OS beheerde SME-configuraties identiek zijn.

Compatibiliteit en prestaties in de praktijk

Houd het besturingssysteem, de firmware en de betreffende runtime actueel. Als een beveiligingsfunctie een compatibiliteitsprobleem aan het licht brengt, gebruik dan eerst de diagnostische gegevens en ondersteunde updates van de leverancier. Een brede beveiligingsschakelaar kan niet-gerelateerde applicaties beïnvloeden en moet een expliciet implementatie- en herstelbeleid volgen.

Een praktische controlelijst voor verificatie

  1. Noteer het exacte processor- of platformmodel en de betrokken applicatie-, OS- en runtimeversies. Behoud de formulering van de daadwerkelijke fout of vereiste.
  2. Raadpleeg de fabrikantdocumentatie voor dat exacte model en inspecteer vervolgens de effectieve capaciteit en ingeschakelde status in de omgeving waarin het programma draait.
  3. Vergelijk elke vereiste van de geselecteerde binary of backend. Een gelijknamige functie, alias of breed technologielabel is niet voldoende.
  4. Bevestig dat de applicatie de bedoelde implementatie heeft geselecteerd. Gebruik de gedocumenteerde diagnostiek en een ondersteunde terugvaloptie wanneer niet aan de vereisten wordt voldaan.
  5. Voer één ondersteunde wijziging tegelijk door en herhaal dezelfde werklast. Houd de oorspronkelijke configuratie en het herstelpad beschikbaar.

Als de functie wordt vermeld maar software deze niet kan gebruiken

Begin bij het exacte falende onderdeel. Een hardwaredatabase beschrijft geregistreerde capaciteiten; het besturingssysteem of de hypervisor kan een andere effectieve omgeving tonen. Een fout met betrekking tot een ongeldige instructie vereist ook onderzoek van de daadwerkelijke foutieve instructie en binary-build, omdat beschadiging of een niet-gerelateerde niet-ondersteunde instructie een vergelijkbaar symptoom kan veroorzaken.

Installeer de applicatie-, driver- of runtimeversie die voor het exacte platform wordt ondersteund, en gebruik indien nodig de gedocumenteerde basislijn of fallback-build van de leverancier. Een software-update kan geen instructie creëren die de processor mist. Wijzigingen in firmware en beveiligingsbeleid moeten de procedure en het herstelplan van de systeemfabrikant volgen in plaats van een generiek optimalisatierecept.

Bronnen en reikwijdte van deze uitleg

AMD Secure Encrypted Virtualization developer resources · Linux kernel: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Deze referenties stellen architecturaal gedrag en softwarevereisten vast. Ze verifiëren niet onafhankelijk elke functiewaarde op een gekoppelde hardwaremodelpagina. Gebruik voor modelondersteuning het fabrikantenbewijs van die pagina en controleer de effectieve systeemconfiguratie. Dit artikel biedt geen benchmark, certificering of onafhankelijke beoordelingsdatum.

Bronnen en verificatie

Redactioneel eigendom: Feex. Er is geen onafhankelijke beoordelingsdatum vastgelegd. Hoe wij onderzoek doen.

Was dit artikel nuttig?

Een ja of nee is voldoende. Kies desgewenst een reden of voeg een korte opmerking toe.

Was dit artikel nuttig?