Trusted Execution (Intel TXT)

Что необходимо знать

Как это работает

Измеряемый запуск записывает информацию о запускаемой среде в инфраструктуру доверия платформы в соответствии с определенным протоколом запуска. Измерения позволяют проверяющей стороне или политике делать выводы о подлинности, но сами по себе не являются подтверждением безопасности кода. Программное обеспечение запуска и конфигурация платформы определяют пригодную к использованию среду.

Области применения

Управляемое развертывание может использовать свидетельства измеряемого запуска в качестве входных данных для аттестации или политики. Оно все равно должно определять, каким измерениям доверять, поддерживать эталонные значения в актуальном состоянии и обрабатывать восстановление при изменении прошивки или программного обеспечения.

Как проверить поддержку и активацию

Проверьте точную поддержку TXT конкретной системой, требования к TPM, настройки прошивки и поддерживаемое ПО для измеренного запуска (measured-launch). Перечисление CPU SMX является лишь частью этой цепочки. Используйте рекомендации поставщика по развертыванию и сохраняйте путь восстановления перед изменением управляемой конфигурации.

Функции платформы могут зависеть от материнской платы, чипсета, конфигурации прошивки, драйверов и уровня продукта. Спецификация процессора - это лишь один из параметров, а не полное описание собранного компьютера или его активной конфигурации.

Чего не гарантирует данная функция

TXT не является обычной VT-x, Boot Guard, обобщенным обозначением доверенной среды выполнения или антивирусным продуктом. Одно лишь присутствие TPM не доказывает, что TXT настроена, а изменение параметров запуска в прошивке может повлиять на уже настроенное развертывание.

Совместимость и производительность на практике

Перед изменением настроек прошивки, управления или загрузочного накопителя определите точную модель системы и следуйте официальной процедуре ее производителя. Зафиксируйте существующую конфигурацию и сохраните доступ для восстановления. Общая статья о функции не может предоставить универсальную последовательность действий в меню прошивки.

Практический чек-лист для проверки

1. Зафиксируйте точную модель процессора или платформы, а также задействованные версии приложения, ОС и среды выполнения. Сохраните точную формулировку возникшей ошибки или требования.
2. Сверьтесь со справочными материалами производителя для этой точной модели, затем проверьте действующую поддержку и состояние активации в окружении, где выполняется программа.
3. Сопоставьте каждое требование выбранного бинарного файла или бэкенда. Похожего названия функции, псевдонима или общего маркетингового обозначения технологии недостаточно.
4. Убедитесь, что приложение выбрало предполагаемую реализацию. Используйте его документированные средства диагностики и поддерживаемый резервный код при несоблюдении требований.
5. Вносите по одному поддерживаемому изменению за раз и повторяйте ту же рабочую нагрузку. Сохраняйте исходную конфигурацию и возможность отката.

Если функция указана в списке, но ПО не может ее использовать

Начните с точного сбойного компонента. База данных оборудования описывает зафиксированные возможности; операционная система или гипервизор могут предоставлять иное фактическое окружение. Ошибка недопустимой инструкции также требует анализа конкретной сбойной команды и сборки бинарного файла, так как повреждение данных или сторонняя неподдерживаемая инструкция могут вызывать аналогичный симптом.

Установите версию приложения, драйвера или среды выполнения, поддерживаемую для данной платформы, и при необходимости используйте документированную производителем базовую или резервную сборку. Обновление ПО не может создать инструкцию, отсутствующую в процессоре. Изменения микрокода и политик безопасности должны выполняться по процедуре производителя системы и с планом восстановления, а не по общим шаблонам оптимизации.

Связанные функции и полезные различия

Boot Guard · VT-x · SGX · Intel Hardware Shield

Источники и границы применимости пояснения

Обзор технологии Intel Trusted Execution Technology · Руководство разработчика программного обеспечения для архитектур Intel 64 и IA-32

Эти материалы определяют архитектурное поведение и требования к программному обеспечению. Они не подтверждают независимо каждое значение параметров на странице конкретной модели оборудования. Для проверки поддержки моделью используйте данные производителя на этой странице и проверяйте действующую конфигурацию системы. Данная статья не содержит результатов тестов производительности, сертификатов или дат независимых обзоров.

Связанное

Эти объекты связаны с данной статьей. Тип указан у каждой ссылки.

Источники и проверка

Редакционная принадлежность: Feex. Дата независимой проверки не зарегистрирована. Как мы проводим исследования.

• Обзор технологии Intel Trusted Execution Technology · Требования к платформе и среда измеренного выполнения (measured execution environment); также сверьтесь с руководствами по разработке ПО и развертыванию TXT для данной платформы.
• Руководство разработчика программного обеспечения для архитектур Intel 64 и IA-32 · Тома 1 и 2 описывают указанные семейства инструкций и CPUID; том 3 описывает управление состоянием, страничную адресацию, VMX и средства защиты. Архитектурная документация не определяет факт поддержки конкретной моделью.