İçeriğe atla

SGX

Mimari referansıFeex

Intel SGX, Software Guard Extensions, belirli bir tehdit modeli ve yazilim arayuzu ile enclave yurutme olanaklari saglar. Islemci destegi, bir enclave uygulamasinin belirli bir sistemde calisabilecegini ortaya koymak icin yeterli degildir.

Bilmeniz gerekenler

Intel SGX, Software Guard Extensions, belirli bir tehdit modeli ve yazilim arayuzu ile enclave yurutme olanaklari saglar. Islemci destegi, bir enclave uygulamasinin belirli bir sistemde calisabilecegini ortaya koymak icin yeterli degildir.

Nasıl çalışır

SGX, platform ve isletim sistemi destegiyle yonetilen bir enclave sayfa onbellegi (enclave page cache) ile enclave bellegini ve giris/cikis mekanizmalarini tanimlar. Bir enclave uygulamasi guvenilir ve guvenilmeyen bilesenleri ayirir ve enclave kimligini dogrulamak icin onaylama (attestation) kullanabilir. Kullanilabilir enclave bellegi miktari ve desteklenen baslatma politikasi platforma ozgudur.

Nerede yararlıdır

Bir uygulama, cevresindeki ana bilgisayari guven sinirinin disinda tutarken, dar kapsamli bir hesaplamayi ve gizli bilgileri bir enclave icine yerlestirebilir. G/C, guvenilmeyen girdiler, istisna davranisi ve yan kanal hususlari yine de acik bir tasarim gerektirir.

Destek ve etkinleştirme durumu nasıl kontrol edilir

CPUID.07H.00H:EBX 2. bitini ve SGX'e ozgu CPUID leaf 12H bilgilerini kontrol edin, ardindan bellenim hazirligini, surucu/calisma zamani destegini ve uygulamanin onaylama gereksinimlerini dogrulayin. Ilgili platformun tam olarak desteklenen yapilandirmasini izleyin.

Yetenek, etkinleştirme ve yaptırım ayrı ayrı kontrol edilmelidir. Bir işlemci bir korumayı destekleyebilirken işletim sistemi, uygulama veya sanal makine ilkesi bunu etkinleştirmeyebilir. Veritabanındaki bir destek alanı, çalışan bir sistemin kanıtı değildir.

Özelliğin sağlamadığı durumlar

Bir SGX etiketi; SGX1/SGX2 ayrintilarini, esnek baslatma kontrolunu, onaylama hizmeti kullanilabilirligini veya belirli bir enclave bellek kapasitesini kanitlamaz. Rastgele degistirilmemis uygulamalari gizli kilmaz veya her yan kanali ortadan kaldirmaz.

Uygulamada uyumluluk ve performans

İşletim sistemini, bellenimi ve etkilenen çalışma zamanını güncel tutun. Bir koruma uyumluluk sorunu ortaya çıkarırsa, önce satıcı tanılamalarını ve desteklenen güncellemeleri kullanın. Kapsamlı bir koruma anahtarı ilgisiz uygulamaları etkileyebilir ve açık bir dağıtım ve kurtarma ilkesini izlemelidir.

Pratik bir doğrulama kontrol listesi

  1. İlgili tam işlemci veya platform modelini ve uygulama, işletim sistemi ve çalışma zamanı sürümlerini kaydedin. Gerçek hatanın veya gereksinimin metnini koruyun.
  2. Bu tam model için üretici referansını kontrol edin, ardından programın çalıştığı ortamda geçerli yeteneği ve etkinleştirilmiş durumu inceleyin.
  3. Seçilen ikili dosyanın veya arka ucun her gereksinimini karşılaştırın. Benzer şekilde adlandırılmış bir özellik, diğer ad veya genel teknoloji etiketi yeterli değildir.
  4. Uygulamanın hedeflenen uygulamayı seçtiğini onaylayın. Gereksinimler karşılanmadığında belgelenmiş tanılamalarını ve desteklenen bir geri dönüşü kullanın.
  5. Her seferinde desteklenen bir değişiklik yapın ve aynı iş yükünü tekrarlayın. Orijinal yapılandırmayı ve kurtarma yolunu kullanılabilir durumda tutun.

Özellik listeleniyor ancak yazılım kullanamıyorsa

Hata veren tam bileşenle başlayın. Bir donanım veritabanı kayıtlı yeteneği açıklar; işletim sistemi veya hipervizör farklı bir geçerli ortam sunabilir. Geçersiz komut hatası, gerçek hatalı komutun ve ikili yapının da incelenmesini gerektirir, çünkü bozulma veya ilgisiz, desteklenmeyen bir komut benzer bir belirti üretebilir.

Tam platform için desteklenen uygulama, sürücü veya çalışma zamanı sürümünü yükleyin ve gerekirse satıcının belgelenmiş temel veya geri dönüş derlemesini kullanın. Bir yazılım güncellemesi, işlemcide eksik olan bir komutu oluşturamaz. Bellenim ve güvenlik politikası değişiklikleri, genel bir optimizasyon tarifi yerine sistem üreticisinin prosedürünü ve bir kurtarma planını izlemelidir.

Bu açıklamanın kaynakları ve kapsamı

Intel 64 ve IA-32 Mimarileri Yazılım Geliştirici Kılavuzu · Intel SGX gelistirici referans uygulamasi

Bu referanslar mimari davranışı ve yazılım gereksinimlerini belirler. Bağlantılı bir donanım modeli sayfasındaki her özellik değerini bağımsız olarak doğrulamazlar. Model desteği için ilgili sayfanın üretici kanıtlarını kullanın ve geçerli sistem yapılandırmasını kontrol edin. Bu makale bir kıyaslama, sertifikasyon veya bağımsız inceleme tarihi sağlamaz.

Kaynaklar ve doğrulama

Editoryal mülkiyet: Feex. Bağımsız bir inceleme tarihi kaydedilmemiştir. Nasıl araştırıyoruz.

Bu makale yararlı oldu mu?

Evet veya hayır yeterlidir. İsterseniz bir neden seçin veya kısa bir not ekleyin.

Bu makale yararlı oldu mu?