AMD SME

Что необходимо знать

Как это работает

Архитектура шифрования памяти определяет зашифрованные отображения с помощью выделенного бита в адресе и средств управления платформы. ОС должна учитывать этот бит шифрования и любое его влияние на доступное количество бит физического адреса, а также обрабатывать разделяемую память и память, доступную устройствам, согласно правилам платформы.

Области применения

ОС может настроить шифрование соответствующих страниц памяти при передаче данных во внешнюю оперативную память. Буферы DMA и другие разделяемые структуры требуют согласованной обработки, поэтому простая установка бита изолированно не является полноценной процедурой настройки.

Как проверить поддержку и активацию

Используйте данные CPUID для шифрования памяти AMD и точную документацию к микрокоду платформы/ОС для подтверждения поддержки и активации. Проверьте активную политику шифрования и совместимость с устройствами. Изучите инструкции поставщика по восстановлению перед изменением настроек шифрования памяти в микрокоде.

Аппаратную возможность, активацию и фактическое применение политик необходимо проверять раздельно. Процессор может поддерживать технологию защиты, в то время как ОС, приложение или политика виртуальной машины ее не задействуют. Наличие отметки о поддержке в базе данных не является аттестацией работающей системы.

Чего не гарантирует данная функция

SME не гарантирует изоляцию отдельных гостевых систем, целостность памяти, наличие SEV-SNP или защиту от всех типов атак со стороны привилегированного ПО. Не следует считать прозрачные политики шифрования платформы и управляемые ОС конфигурации SME одинаковыми лишь на основании краткой сводки.

Совместимость и производительность на практике

Поддерживайте ОС, микрокод и соответствующую среду выполнения в актуальном состоянии. Если механизм защиты вызывает проблемы совместимости, в первую очередь используйте средства диагностики и поддерживаемые обновления от поставщика. Изменение глобальных параметров защиты может затронуть сторонние приложения и должно производиться согласно регламенту развертывания и плана отката.

Практический чек-лист для проверки

1. Зафиксируйте точную модель процессора или платформы, а также задействованные версии приложения, ОС и среды выполнения. Сохраните точную формулировку возникшей ошибки или требования.
2. Сверьтесь со справочными материалами производителя для этой точной модели, затем проверьте действующую поддержку и состояние активации в окружении, где выполняется программа.
3. Сопоставьте каждое требование выбранного бинарного файла или бэкенда. Похожего названия функции, псевдонима или общего маркетингового обозначения технологии недостаточно.
4. Убедитесь, что приложение выбрало предполагаемую реализацию. Используйте его документированные средства диагностики и поддерживаемый резервный код при несоблюдении требований.
5. Вносите по одному поддерживаемому изменению за раз и повторяйте ту же рабочую нагрузку. Сохраняйте исходную конфигурацию и возможность отката.

Если функция указана в списке, но ПО не может ее использовать

Начните с точного сбойного компонента. База данных оборудования описывает зафиксированные возможности; операционная система или гипервизор могут предоставлять иное фактическое окружение. Ошибка недопустимой инструкции также требует анализа конкретной сбойной команды и сборки бинарного файла, так как повреждение данных или сторонняя неподдерживаемая инструкция могут вызывать аналогичный симптом.

Установите версию приложения, драйвера или среды выполнения, поддерживаемую для данной платформы, и при необходимости используйте документированную производителем базовую или резервную сборку. Обновление ПО не может создать инструкцию, отсутствующую в процессоре. Изменения микрокода и политик безопасности должны выполняться по процедуре производителя системы и с планом восстановления, а не по общим шаблонам оптимизации.

Связанные функции и полезные различия

AMD SEV · IOMMU · Execute Disable (NX)

Источники и границы применимости пояснения

Ресурсы для разработчиков по AMD Secure Encrypted Virtualization · Ядро Linux: шифрование памяти AMD · Руководство программиста по архитектуре AMD64, том 2: Системное программирование

Эти материалы определяют архитектурное поведение и требования к программному обеспечению. Они не подтверждают независимо каждое значение параметров на странице конкретной модели оборудования. Для проверки поддержки моделью используйте данные производителя на этой странице и проверяйте действующую конфигурацию системы. Данная статья не содержит результатов тестов производительности, сертификатов или дат независимых обзоров.

Связанное

Эти объекты связаны с данной статьей. Тип указан у каждой ссылки.

Источники и проверка

Редакционная принадлежность: Feex. Дата независимой проверки не зарегистрирована. Как мы проводим исследования.

• Ресурсы для разработчиков по AMD Secure Encrypted Virtualization · Разграничивает SEV, SEV-ES и SEV-SNP, содержит ссылки на API микрокода, документацию по аттестации и шифрованию памяти. Проверяйте актуальные бюллетени безопасности для конкретной среды развертывания.
• Ядро Linux: шифрование памяти AMD · Активация SME/SEV, адресный бит шифрования и сокращение физического адресного пространства. Описывает реализацию в ОС, а не все возможные политики платформ.
• Руководство программиста по архитектуре AMD64, том 2: Системное программирование · Системное программирование, SVM и вложенная трансляция, ревизия 3.46. Для текущего средства просмотра документации требуется JavaScript; старые URL-адреса документов могли быть выведены из обращения.