AMD SME

Dokumentacja architekturyFeex

AMD Secure Memory Encryption (SME) udostępnia mechanizmy szyfrowania pamięci zarządzane przez platformę i system operacyjny. Różni się ono od ochrony poszczególnych maszyn wirtualnych w ramach SEV i samo w sobie nie stanowi wdrożenia przetwarzania poufnego (confidential computing).

Co musisz wiedzieć

Jak to działa

Architektura szyfrowania pamięci identyfikuje szyfrowane mapowania za pomocą zdefiniowanego mechanizmu bitu adresu oraz elementów sterujących platformy. System operacyjny musi uwzględniać bit szyfrowania i wszelki jego wpływ na dostępne bity adresu fizycznego, a także zarządzać pamięcią współdzieloną lub widoczną dla urządzeń zgodnie z regułami platformy.

Gdzie funkcja jest przydatna

System operacyjny może zapewnić szyfrowanie odpowiednich stron pamięci podczas przesyłania danych do pamięci zewnętrznej. Bufory DMA i inne odwzorowania współdzielone wymagają zgodnego podejścia, dlatego aktywacja bitu w oderwaniu od reszty systemu nie stanowi pełnej procedury wdrożeniowej.

Jak sprawdzać obsługę i włączenie

Aby potwierdzić obsługę i stan włączenia, należy skorzystać z informacji CPUID AMD dotyczących szyfrowania pamięci oraz precyzyjnej dokumentacji oprogramowania układowego platformy i systemu operacyjnego. Sprawdź aktywną politykę szyfrowania oraz zgodność z urządzeniami. Przed zmianą ustawień szyfrowania pamięci w oprogramowaniu układowym zachowaj wytyczne producenta dotyczące przywracania.

Możliwości sprzętowe, stan włączenia oraz egzekwowanie ochrony muszą być sprawdzane osobno. Procesor może obsługiwać zabezpieczenie, podczas gdy system operacyjny, aplikacja lub zasady maszyny wirtualnej go nie aktywują. Pole obsługi w bazie danych nie jest atestacją działającego systemu.

Czego ta funkcja nie określa

SME nie oznacza izolacji poszczególnych gości, integralności pamięci, SEV-SNP ani ochrony przed każdym atakiem ze strony uprzywilejowanego oprogramowania. Transparentnych zasad szyfrowania platformy oraz konfiguracji SME zarządzanych przez system operacyjny nie należy uznawać za tożsame na podstawie zbiorczego pola.

Zgodność i wydajność w praktyce

Należy dbać o aktualność systemu operacyjnego, oprogramowania układowego i powiązanego środowiska wykonawczego. Jeżeli zabezpieczenie ujawni problem ze zgodnością, należy w pierwszej kolejności skorzystać z diagnostyki producenta i oficjalnych aktualizacji. Zmiana ogólnego przełącznika ochrony może wpłynąć na niepowiązane aplikacje i powinna być prowadzona zgodnie z jednoznacznymi zasadami wdrażania i przywracania.

Praktyczna lista kontrolna weryfikacji

Zanotuj dokładny model procesora lub platformy oraz wersje używanej aplikacji, systemu operacyjnego i środowiska wykonawczego. Zachowaj dokładne sformułowanie błędu lub wymagania.
Sprawdź dokumentację producenta dla danego modelu, a następnie zweryfikuj faktyczne możliwości i stan włączenia w środowisku, w którym działa program.
Porównaj każde wymaganie wybranego pliku binarnego lub backendu. Podobnie nazwana funkcja, alias lub ogólne oznaczenie technologii nie są wystarczające.
Upewnij się, że aplikacja wybrała zamierzoną implementację. Użyj jej udokumentowanej diagnostyki oraz obsługiwanego mechanizmu fallback, gdy wymagania nie są spełnione.
Wprowadzaj jednorazowo tylko jedną obsługiwaną zmianę i powtarzaj to samo obciążenie testowe. Zachowaj oryginalną konfigurację oraz dostępną ścieżkę przywracania.

Gdy funkcja jest wymieniona, lecz oprogramowanie nie może z niej skorzystać

Zacznij od elementu, w którym bezpośrednio występuje błąd. Baza danych sprzętu opisuje zarejestrowane możliwości; system operacyjny lub hipernadzorca może udostępniać inne środowisko efektywne. Błąd nieprawidłowej instrukcji (illegal instruction) wymaga także zbadania faktycznej instrukcji powodującej błąd oraz kompilacji pliku binarnego, ponieważ uszkodzenie danych lub inna nieobsługiwana instrukcja może wywołać podobny objaw.

Zainstaluj wersję aplikacji, sterownika lub środowiska wykonawczego obsługiwaną na danej platformie i w razie potrzeby użyj udokumentowanej przez producenta kompilacji bazowej lub awaryjnej. Aktualizacja oprogramowania nie może utworzyć instrukcji, której procesor fizycznie nie posiada. Modyfikacje oprogramowania układowego i zasad bezpieczeństwa powinny przebiegać zgodnie z procedurą producenta systemu i planem przywracania, a nie ogólnikowym schematem optymalizacji.

Źródła i zakres niniejszego opisu

Materiały deweloperskie AMD Secure Encrypted Virtualization · Jądro Linux: szyfrowanie pamięci AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Te źródła definiują zachowanie architektoniczne i wymagania oprogramowania. Nie weryfikują one niezależnie każdej wartości funkcji na powiązanej stronie modelu sprzętu. W celu sprawdzenia obsługi przez model należy skorzystać z materiałów producenta na tej stronie i sprawdzić efektywną konfigurację systemu. Niniejszy artykuł nie zawiera wyników testów wydajnościowych, certyfikacji ani daty niezależnego przeglądu.

Źródła i weryfikacja

Własność redakcyjna: Feex. Nie odnotowano daty niezależnego przeglądu. Jak prowadzimy badania.

Materiały deweloperskie AMD Secure Encrypted Virtualization · Wskazuje różnice między SEV, SEV-ES i SEV-SNP oraz odsyła do dokumentacji API oprogramowania układowego, atestacji i szyfrowania pamięci. Sprawdź aktualne biuletyny bezpieczeństwa dla danego wdrożenia.
Jądro Linux: szyfrowanie pamięci AMD · Włączanie SME/SEV, bit adresu szyfrowania oraz redukcja przestrzeni adresów fizycznych. Opisuje implementację w systemie operacyjnym, a nie każdą politykę platformy.
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Programowanie systemowe, SVM i translacja zagnieżdżona, rewizja 3.46. Aktualna przeglądarka dokumentacji wymaga włączonej obsługi JavaScript; starsze adresy URL dokumentów mogły zostać wycofane.

Czy ten artykuł był pomocny?

Wystarczy odpowiedź tak lub nie. Wybierz powód, jeśli chcesz, lub dodaj krótką notatkę.