Hoppa till innehåll

AMD SME

ArkitekturreferensFeex

AMD Secure Memory Encryption, SME, tillhandahåller funktioner för minneskryptering som hanteras av plattformen och operativsystemet. Det skiljer sig från SEV-skydd per virtuell maskin och upprättar inte i sig en konfidentiell databehandlingsmiljö.

Vad du behöver veta

AMD Secure Memory Encryption, SME, tillhandahåller funktioner för minneskryptering som hanteras av plattformen och operativsystemet. Det skiljer sig från SEV-skydd per virtuell maskin och upprättar inte i sig en konfidentiell databehandlingsmiljö.

Hur det fungerar

Minneskrypteringsarkitekturen identifierar krypterade mappningar genom en definierad adressbitsmekanism och plattformskontroller. Operativsystemet måste ta hänsyn till krypteringsbiten och eventuell påverkan på tillgängliga fysiska adressbitar, samt hantera delat minne eller minne som är synligt för enheter enligt plattformens regler.

Där den är användbar

Ett operativsystem kan ordna så att lämpliga minnessidor krypteras när data överförs till externt minne. DMA-buffertar och andra delade mappningar behöver en kompatibel hantering, så att aktivera en bit isolerat är inte en fullständig distributionsprocedur.

Hur man kontrollerar stöd och aktivering

Använd AMD:s CPUID-information för minneskryptering och exakt dokumentation för plattformens firmware/OS för att fastställa stöd och aktivering. Kontrollera den aktiva krypteringspolicyn och enhetskompatibiliteten. Spara tillverkarens återställningsanvisningar innan du ändrar inställningar för minneskryptering i firmware.

Kapacitet, aktivering och tillämpning måste kontrolleras separat. En processor kan stödja ett skydd medan operativsystemet, applikationen eller policyn för virtuella maskiner inte aktiverar det. Ett stödfält i en databas är inte en attestering av ett körande system.

Vad funktionen inte fastställer

SME innebär inte isolering per gäst, minnesintegritet, SEV-SNP eller skydd mot alla attacker från programvara med utökade behörigheter. Transparenta plattformskrypteringspolicyer och OS-hanterade SME-konfigurationer bör inte antas vara identiska utifrån ett sammanfattningsfält.

Kompatibilitet och prestanda i praktiken

Håll operativsystem, firmware och berörd runtime uppdaterade. Om ett skydd blottar ett kompatibilitetsproblem, använd tillverkarens diagnostik och uppdateringar som stöds först. En övergripande aktivering av skydd kan påverka orelaterade applikationer och bör följa en uttrycklig distributions- och återställningspolicy.

En praktisk checklista för verifiering

  1. Registrera den exakta processor- eller plattformsmodellen samt de applikations-, OS- och runtime-versioner som berörs. Behåll formuleringen av det faktiska felet eller kravet.
  2. Kontrollera tillverkarens referens för den exakta modellen och granska sedan den faktiska kapaciteten och det aktiverade tillståndet i miljön där programmet körs.
  3. Jämför varje krav för den valda binären eller renderingsmotorn. En snarlikt namngiven funktion, ett alias eller en bred teknikbeteckning räcker inte.
  4. Bekräfta att applikationen har valt den avsedda implementeringen. Använd dess dokumenterade diagnostik och en reservlösning som stöds när kraven inte uppfylls.
  5. Gör en ändring som stöds i taget och upprepa samma arbetsbelastning. Håll den ursprungliga konfigurationen och återställningsvägen tillgängliga.

Om funktionen är listad men programvaran inte kan använda den

Börja med den exakta komponenten som fallerar. En hårdvarudatabas beskriver registrerad kapacitet; operativsystemet eller hypervisorn kan exponera en annan faktisk miljö. Ett fel om otillåten instruktion kräver också undersökning av den faktiska felande instruktionen och binärbygget, eftersom korruption eller en orelaterad instruktion utan stöd kan ge ett liknande symptom.

Installera den version av applikationen, drivrutinen eller runtime-miljön som stöds för den exakta plattformen, och använd vid behov tillverkarens dokumenterade baslinje eller reservbygge. En programvaruuppdatering kan inte skapa en instruktion som processorn saknar. Ändringar i firmware och säkerhetspolicy bör följa systemtillverkarens procedur och en återställningsplan snarare än ett generiskt optimeringsrecept.

Källor och omfattning för denna förklaring

Utvecklarresurser för AMD Secure Encrypted Virtualization · Linux-kärnan: AMD-minneskryptering · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Dessa referenser fastställer arkitektoniskt beteende och programvarukrav. De verifierar inte oberoende varje funktionsvärde på en länkad hårdvarumodellsida. För modellstöd, använd den sidans tillverkarbelägg och kontrollera den effektiva systemkonfigurationen. Denna artikel tillhandahåller inte ett prestandatest, en certifiering eller ett oberoende granskningsdatum.

Källor och verifiering

Redaktionellt ägarskap: Feex. Inget oberoende granskningsdatum har registrerats. Hur vi efterforskar.

Var denna artikel användbar?

Ett ja eller nej räcker. Välj en anledning om du vill, eller lägg till en kort anteckning.

Var denna artikel användbar?