可信执行技术 (Intel TXT)

您需要了解的内容

工作原理

度量启动在唯一定义的启动协议下，将有关已启动环境的信息记录到平台的信任基础设施中。度量允许验证者或策略推断身份，但它们本身并不是代码安全的结论。启动软件和平台配置决定了可用环境。

适用场景

受管部署可以将度量启动凭据用作证明或策略的输入。它仍必须决定信任哪些度量，保持其参考值最新，并在固件或软件更改时处理恢复问题。

如何检查支持与启用状态

检查具体系统的 TXT 支持、TPM 要求、固件设置以及受支持的度量启动软件。CPU SMX 枚举仅是该链条的一部分。在更改受管配置之前，请参考供应商的部署指南并保留恢复途径。

平台特性可能取决于主板、芯片组、固件配置、驱动程序和产品层级。CPU 规范仅是一个输入，并不是对已组装计算机或其活动配置的完整描述。

该特性未确立的内容

TXT 并非普通的 VT-x、Boot Guard、通用的受信任执行环境标签或防病毒产品。仅存在 TPM 并不能证明 TXT 已配置，且更改固件启动设置可能会影响已建立的部署。

实践中的兼容性与性能

在更改固件、管理或启动存储设置之前，请确认确切的系统型号并遵循其制造商支持的流程。记录现有配置并保留恢复途径。通用的特性介绍文章无法提供通用的固件菜单操作步骤。

实用验证核对清单

1. 记录所涉及的具体处理器或平台型号，以及应用程序、操作系统和运行时的版本。保留实际错误或要求的原始措辞。
2. 查阅该具体型号的制造商参考资料，然后检查程序运行环境中生效的功能与启用状态。
3. 逐项比对所选二进制文件或后端的每项要求。仅凭名称相似的特性、别名或宽泛的技术标签是不够的。
4. 确认应用程序选择了预期的实现。在不满足要求时，使用其文档中记录的诊断工具和受支持的回退方案。
5. 每次只进行一项受支持的更改并重复相同的负载测试。保留原始配置和恢复路径以便随时使用。

若特性已列出但软件无法使用

首先排查出现故障的具体组件。硬件数据库描述的是记录在案的功能；操作系统或虚拟机监控程序可能会呈现不同的生效环境。非法指令错误同样需要调查实际发生故障的指令和二进制构建版本，因为数据损坏或不相关的未受支持指令也可能产生类似症状。

安装适用于该特定平台的受支持应用程序、驱动程序或运行时版本，并在需要时使用厂商文档记录的基线或回退构建版本。软件更新无法凭空创造处理器缺失的指令。固件和安全策略的更改应遵循系统制造商的规程和恢复计划，而非通用的优化方案。

相关特性与实用区别

Boot Guard · VT-x · SGX · Intel Hardware Shield

本说明的来源与适用范围

Intel 可信执行技术概述 · Intel 64 和 IA-32 架构软件开发人员手册

这些参考资料确立了架构行为和软件要求。它们并不独立验证关联硬件型号页面上的每个特性值。如需了解型号支持情况，请使用该页面的制造商证据并检查实际生效的系统配置。本文不提供基准测试、认证或独立审查日期。

相关内容

这些实体与本文相关联。每个链接上均显示类型。

来源与验证

编辑归属：Feex。未记录独立审核日期。 我们的研究方式.

• Intel 可信执行技术概述 · 平台要求和度量执行环境；另请参阅平台的 TXT 软件开发与部署指南。
• Intel 64 和 IA-32 架构软件开发人员手册 · 第 1 卷和第 2 卷描述了指定名称的指令族和 CPUID；第 3 卷描述了状态、分页、VMX 和保护控制。架构文档并不代表对某一特定型号的支持。