Перейти до вмісту

AMD SME

Архітектурний довідникFeex

AMD Secure Memory Encryption, SME, надає засоби шифрування пам'яті, якими керують платформа та операційна система. Вона відрізняється від захисту окремих ВМ за допомогою SEV і сама по собі не створює розгортання конфіденційних обчислень.

Що потрібно знати

AMD Secure Memory Encryption, SME, надає засоби шифрування пам'яті, якими керують платформа та операційна система. Вона відрізняється від захисту окремих ВМ за допомогою SEV і сама по собі не створює розгортання конфіденційних обчислень.

Як це працює

Архітектура шифрування пам'яті визначає зашифровані відображення за допомогою спеціального механізму адресного біта та засобів керування платформи. ОС повинна враховувати біт шифрування та будь-який вплив на доступні біти фізичної адреси, а також обробляти спільну або видиму для пристроїв пам'ять відповідно до правил платформи.

Де це корисно

ОС може організувати шифрування відповідних сторінок пам'яті під час передавання даних до зовнішньої пам'яті. Буфери DMA та інші спільні відображення потребують сумісної обробки, тому активація окремого біта не є повною процедурою розгортання.

Як перевірити підтримку та активацію

Використовуйте інформацію CPUID для шифрування пам'яті AMD і точну документацію до прошивки платформи/ОС, щоб перевірити підтримку та активацію. Перевірте активну політику шифрування та сумісність із пристроями. Збережіть інструкції виробника щодо відновлення, перш ніж змінювати налаштування шифрування пам'яті в прошивці.

Можливості, активацію та примусове застосування слід перевіряти окремо. Процесор може підтримувати захист, тоді як ОС, програма або політика віртуальної машини не активують його. Поле підтримки в базі даних не є свідченням атестації працюючої системи.

Чого ця функція не гарантує

SME не передбачає ізоляції окремих гостей, цілісності пам'яті, SEV-SNP або захисту від кожної атаки з боку привілейованого програмного забезпечення. Не слід вважати на основі короткого описового поля, що політики прозорого шифрування платформи та керовані ОС конфігурації SME ідентичні.

Сумісність і продуктивність на практиці

Підтримуйте ОС, прошивку та відповідне середовище виконання в актуальному стані. Якщо захист виявляє проблему сумісності, спочатку скористайтеся засобами діагностики постачальника та підтримуваними оновленнями. Загальне перемикання захисту може вплинути на непов'язані програми та має відповідати чіткій політиці розгортання та відновлення.

Практичний контрольний список для верифікації

  1. Зафіксуйте точну модель процесора або платформи, а також версії використовуваної програми, ОС і середовища виконання. Збережіть точне формулювання фактичної помилки або вимоги.
  2. Звіртеся з документацією виробника для цієї точної моделі, потім перевірте фактичні можливості та стан активації в середовищі, де виконується програма.
  3. Порівняйте кожну вимогу вибраного двійкового файлу або бекенда. Схожої назви функції, псевдоніма чи загального позначення технології недостатньо.
  4. Переконайтеся, що програма вибрала призначену реалізацію. Використовуйте її задокументовані засоби діагностики та підтримуваний резервний варіант, якщо вимоги не виконуються.
  5. Вносьте по одній підтримуваній зміні за раз і повторюйте те саме робоче навантаження. Зберігайте оригінальну конфігурацію та можливість відновлення.

Якщо функція вказана, але програмне забезпечення не може її використати

Почніть із компонента, у якому саме стався збій. База даних обладнання описує зафіксовані можливості; операційна система або гіпервізор можуть надавати інше фактичне середовище. Помилка неприпустимої інструкції також потребує дослідження фактичної інструкції, що викликала збій, і двійкової збірки, оскільки пошкодження даних або непов'язана непідтримувана інструкція можуть викликати схожий симптом.

Встановіть версію програми, драйвера або середовища виконання, яка підтримується для цієї конкретної платформи, і за потреби використовуйте задокументовану постачальником базову або резервну збірку. Оновлення програмного забезпечення не може створити інструкцію, якої немає в процесорі. Зміни у прошивці та політиках безпеки повинні відповідати процедурі виробника системи та плану відновлення, а не загальним рецептам оптимізації.

Джерела та межі застосування цього пояснення

Ресурси для розробників AMD Secure Encrypted Virtualization · Linux kernel: AMD memory encryption · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

Ці довідкові матеріали визначають архітектурну поведінку та вимоги до програмного забезпечення. Вони не перевіряють незалежно кожне значення функції на сторінці пов'язаної моделі обладнання. Щодо підтримки моделі використовуйте дані виробника на цій сторінці та перевіряйте фактичну конфігурацію системи. Ця стаття не містить бенчмарків, сертифікації чи дат незалежного огляду.

Джерела та верифікація

Власник авторських прав: Feex. Дата незалежної перевірки не зафіксована. Як ми проводимо дослідження.

  • Ресурси для розробників AMD Secure Encrypted Virtualization · Проводить різницю між SEV, SEV-ES та SEV-SNP і надає посилання на документацію з API прошивки, атестації та шифрування пам'яті. Перевіряйте поточні рекомендації з безпеки для конкретного розгортання.
  • Linux kernel: AMD memory encryption · Активація SME/SEV, адресний біт шифрування та зменшення простору фізичних адрес. Описує реалізацію в ОС, а не кожну можливу політику платформи.
  • AMD64 Architecture Programmer's Manual, Volume 2: System Programming · Системне програмування, SVM та вкладена трансляція, редакція 3.46. Поточний переглядач документації вимагає JavaScript; старіші URL-адреси документів могли бути вилучені з експлуатації.

Чи була ця стаття корисною?

Достатньо відповісти "так" або "ні". За бажанням виберіть причину або додайте коротку примітку.

Чи була ця стаття корисною?