Pular para o conteúdo

AMD SME

Referência de arquiteturaFeex

O AMD Secure Memory Encryption, SME, fornece recursos de criptografia de memória gerenciados pela plataforma e pelo sistema operacional. Ele difere da proteção SEV por VM e não estabelece por si só uma implantação de computação confidencial.

O que você precisa saber

O AMD Secure Memory Encryption, SME, fornece recursos de criptografia de memória gerenciados pela plataforma e pelo sistema operacional. Ele difere da proteção SEV por VM e não estabelece por si só uma implantação de computação confidencial.

Como funciona

A arquitetura de criptografia de memória identifica mapeamentos criptografados por meio de um mecanismo definido de bit de endereço e controles de plataforma. O SO deve considerar o bit de criptografia e qualquer efeito sobre os bits de endereço físico disponíveis, além de tratar a memória compartilhada ou visível para dispositivos de acordo com as regras da plataforma.

Onde é útil

Um SO pode providenciar para que as páginas de memória apropriadas sejam criptografadas à medida que os dados transitam para a memória externa. Buffers de DMA e outros mapeamentos compartilhados precisam de tratamento compatível, portanto habilitar um bit isoladamente não é um procedimento de implantação completo.

Como verificar o suporte e a ativação

Use as informações de CPUID de criptografia de memória da AMD e a documentação exata de firmware/SO da plataforma para estabelecer o suporte e a ativação. Verifique a política de criptografia ativa e a compatibilidade de dispositivos. Mantenha as orientações de recuperação do fornecedor antes de alterar as configurações de criptografia de memória do firmware.

Capacidade, habilitação e aplicação devem ser verificadas separadamente. Um processador pode suportar uma proteção enquanto o SO, aplicativo ou política de máquina virtual não a ativa. Um campo de suporte do banco de dados não é uma atestação de um sistema em execução.

O que o recurso não estabelece

SME não implica isolamento por convidado, integridade de memória, SEV-SNP ou proteção contra qualquer ataque por software privilegiado. Políticas transparentes de criptografia de plataforma e configurações de SME gerenciadas pelo SO não devem ser consideradas idênticas a partir de um campo resumido.

Compatibilidade e desempenho na prática

Mantenha o SO, o firmware e o runtime afetado atualizados. Se uma proteção expuser um problema de compatibilidade, use primeiro os diagnósticos do fornecedor e as atualizações suportadas. Uma alternância ampla de proteção pode afetar aplicativos não relacionados e deve seguir uma política explícita de implantação e recuperação.

Uma lista de verificação prática de verificação

  1. Registre o modelo exato do processador ou da plataforma e as versões envolvidas do aplicativo, SO e runtime. Mantenha o texto exato do erro ou requisito.
  2. Consulte a referência do fabricante para esse modelo exato e, em seguida, inspecione a capacidade efetiva e o estado ativado no ambiente em que o programa é executado.
  3. Compare cada requisito do binário ou backend selecionado. Um recurso com nome semelhante, alias ou rótulo genérico de tecnologia não é suficiente.
  4. Confirme se o aplicativo selecionou a implementação pretendida. Use seus diagnósticos documentados e um fallback suportado quando os requisitos não forem atendidos.
  5. Faça uma alteração suportada por vez e repita a mesma carga de trabalho. Mantenha a configuração original e o caminho de recuperação disponíveis.

Se o recurso estiver listado, mas o software não puder usá-lo

Comece pelo componente exato com falha. Um banco de dados de hardware descreve a capacidade registrada; o sistema operacional ou o hipervisor pode expor um ambiente efetivo diferente. Um erro de instrução ilegal também precisa de investigação da instrução falha real e da compilação do binário, porque corrupção ou uma instrução não suportada não relacionada pode produzir um sintoma semelhante.

Instale a versão do aplicativo, driver ou runtime suportada para a plataforma exata e use a compilação de linha de base ou fallback documentada do fornecedor, se necessário. Uma atualização de software não pode criar uma instrução que o processador não possui. As alterações de firmware e de política de segurança devem seguir o procedimento do fabricante do sistema e um plano de recuperação em vez de uma receita genérica de otimização.

Fontes e escopo desta explicação

Recursos para desenvolvedores do AMD Secure Encrypted Virtualization · Linux kernel: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Essas referências estabelecem o comportamento arquitetural e os requisitos de software. Elas não verificam de forma independente cada valor de recurso em uma página de modelo de hardware vinculada. Para obter suporte a modelos, use a evidência do fabricante dessa página e verifique a configuração efetiva do sistema. Este artigo não fornece um benchmark, certificação ou data de análise independente.

Fontes e verificação

Propriedade editorial: Feex. Nenhuma data de revisão independente foi registrada. Como pesquisamos.

Este artigo foi útil?

Um sim ou não é suficiente. Escolha um motivo se desejar, ou adicione uma breve observação.

Este artigo foi útil?