Sari la conținut

AMD SME

Referință de arhitecturăFeex

AMD Secure Memory Encryption, SME, oferă facilități de criptare a memoriei gestionate de platformă și de sistemul de operare. Aceasta diferă de protecția SEV la nivel de mașină virtuală și nu stabilește prin ea însăși o implementare de procesare confidențială.

Ce trebuie să știți

AMD Secure Memory Encryption, SME, oferă facilități de criptare a memoriei gestionate de platformă și de sistemul de operare. Aceasta diferă de protecția SEV la nivel de mașină virtuală și nu stabilește prin ea însăși o implementare de procesare confidențială.

Cum funcționează

Arhitectura de criptare a memoriei identifică mapările criptate printr-un mecanism definit bazat pe un bit de adresă și controale de platformă. Sistemul de operare trebuie să ia în considerare bitul de criptare și orice efect asupra biților de adresă fizică disponibili, gestionând memoria partajată sau vizibilă pentru dispozitive conform regulilor platformei.

Unde este utilă

Un sistem de operare poate programa criptarea paginilor de memorie adecvate pe măsură ce datele sunt transferate către memoria externă. Buffer-ele DMA și alte mapări partajate necesită un tratament compatibil, astfel că activarea unui bit în mod izolat nu constituie o procedură completă de implementare.

Cum se verifică suportul și activarea

Utilizați informațiile CPUID pentru criptarea memoriei AMD și documentația exactă a firmware-ului de platformă/sistemului de operare pentru a stabili suportul și activarea. Verificați politica activă de criptare și compatibilitatea dispozitivelor. Păstrați instrucțiunile de recuperare ale producătorului înainte de a modifica setările de criptare a memoriei din firmware.

Capacitatea, activarea și aplicarea trebuie verificate separat. Un procesor poate suporta o protecție în timp ce sistemul de operare, aplicația sau politica mașinii virtuale nu o activează. Un câmp de suport dintr-o bază de date nu constituie o atestare a unui sistem aflat în rulare.

Ce nu stabilește această caracteristică

SME nu implică izolarea fiecărui sistem oaspete, integritatea memoriei, SEV-SNP sau protecția împotriva oricărui atac realizat de software privilegiat. Politicile transparente de criptare la nivel de platformă și configurațiile SME gestionate de sistemul de operare nu ar trebui considerate identice pe baza unui câmp de rezumat.

Compatibilitatea și performanța în practică

Mențineți la zi sistemul de operare, firmware-ul și mediul de execuție afectat. Dacă o protecție generează o problemă de compatibilitate, utilizați mai întâi diagnosticele și actualizările acceptate de producător. O comutare generală a protecției poate afecta aplicații fără legătură și ar trebui să respecte o politică explicită de implementare și recuperare.

O listă practică de verificare

  1. Înregistrați modelul exact de procesor sau platformă și versiunile aplicației, sistemului de operare și mediului de execuție (runtime) implicate. Păstrați formularea exactă a erorii sau a cerinței.
  2. Verificați documentația de referință a producătorului pentru acel model exact, apoi inspectați capacitatea efectivă și starea activată în mediul în care rulează programul.
  3. Comparați fiecare cerință a binarului sau backend-ului selectat. O caracteristică cu nume similar, un alias sau o etichetă tehnologică generală nu este suficientă.
  4. Confirmați că aplicația a selectat implementarea dorită. Utilizați diagnosticele documentate ale acesteia și o soluție de rezervă acceptată atunci când cerințele nu sunt îndeplinite.
  5. Aplicați câte o singură modificare acceptată pe rând și repetați aceeași sarcină de lucru. Păstrați disponibile configurația inițială și calea de recuperare.

Dacă funcția este listată, dar software-ul nu o poate folosi

Începeți cu componenta exactă care eșuează. O bază de date hardware descrie capacitatea înregistrată; sistemul de operare sau hipervizorul poate expune un mediu efectiv diferit. O eroare de tip instrucțiune ilegală (illegal-instruction) necesită, de asemenea, investigarea instrucțiunii reale care a generat eroarea și a versiunii compilate a binarului, deoarece coruperea datelor sau o instrucțiune neacceptată fără legătură poate produce un simptom similar.

Instalați versiunea de aplicație, driver sau mediu de execuție compatibilă exact cu acea platformă și utilizați versiunea de bază sau de rezervă documentată de producător, dacă este necesar. O actualizare software nu poate crea o instrucțiune care îi lipsește procesorului. Modificările de firmware și de politici de securitate ar trebui să respecte procedura producătorului sistemului și un plan de recuperare, mai degrabă decât o rețetă generică de optimizare.

Sursele și domeniul de aplicare al acestei explicații

Resurse pentru dezvoltatori AMD Secure Encrypted Virtualization · Kernelul Linux: criptarea memoriei la AMD · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Aceste referințe stabilesc comportamentul arhitectural și cerințele software. Ele nu verifică independent fiecare valoare de caracteristică de pe o pagină de model hardware asociată. Pentru suportul la nivel de model, utilizați dovezile furnizate de producător pe acea pagină și verificați configurația efectivă a sistemului. Acest articol nu furnizează date din benchmark-uri, certificări sau recenzii independente.

Surse și verificare

Proprietate editorială: Feex. Nu este înregistrată nicio dată de verificare independentă. Cum cercetăm.

A fost util acest articol?

Un da sau nu este suficient. Alegeți un motiv dacă doriți sau adăugați o scurtă notă.

A fost util acest articol?