Virtualización cifrada segura (SEV) de AMD

SEV es una solución informática confidencial basada en máquinas virtuales. Protege los datos en uso mediante la creación de un entorno de ejecución de confianza, definido por los límites de la máquina virtual confidencial. SEV utiliza una clave por máquina virtual para aislar a los invitados y al hipervisor entre sí. AMD Secure Processor administra las claves. SEV requiere habilitación en el sistema operativo del invitado y en el hipervisor. Los cambios del invitado permiten que la máquina virtual indique qué páginas de la memoria se deben cifrar. Los cambios del hipervisor utilizan instrucciones de virtualización de hardware y comunicación con AMD Secure Processor para administrar las claves adecuadas en la controladora de memoria. AMD mejoró la SEV para agregar nuevas funciones y capacidades con cada generación de CPU para servidores AMD EPYC a fin de ayudar a abordar el cambiante panorama de la seguridad. Estas mejoras se describen a continuación.

Estado cifrado (ES), anteriormente SEV-ES

SEV-ES cifra todos los contenidos del registro de CPU cuando una máquina virtual deja de funcionar. Esto evita la fuga de información en los registros de CPU a componentes como el hipervisor e incluso puede detectar modificaciones maliciosas en un estado de registro de CPU.

Paginación anidada segura (SNP), anteriormente SEV-SNP

SEV-SNP aporta protección de la integridad de la memoria y ayuda a evitar ataques maliciosos basados en hipervisor, como la reproducción de datos, el remapeo de la memoria y otros métodos para crear un entorno de ejecución aislado. Además, SEV-SNP presenta varias mejoras de seguridad opcionales adicionales diseñadas para admitir modelos adicionales de uso de máquinas virtuales, ofrecer una protección más sólida en torno al comportamiento de interrupción y ofrecer una mayor protección contra ataques de canal lateral recientemente divulgados.

E/S de confianza (TIO), anteriormente SEV-TIO

SEV-TIO amplía el TEE (Trusted Execution Environment, entorno de ejecución de confianza) creado por SEV para incluir dispositivos PCIe (NIC, aceleradores, almacenamiento) mediante el TDISP (Device Interface Security Protocol, protocolo de seguridad de interfaz de dispositivo) en TEE definido por PCI-SIG. TDISP define nuevos protocolos y funciones de dispositivos que les permiten autenticarse, prevenir la interceptación o el enmascaramiento de tráfico en la estructura PCIe, certificar su configuración y aislar cargas de trabajo de invitados de los controles de dispositivos disponibles para los controladores del host.

Cifrado de memoria seguro transparente (TSME) de AMD

TSME utiliza una sola clave para cifrar la memoria del sistema. AMD Secure Processor genera la clave durante el arranque. SME requiere habilitación en el BIOS del sistema o en el sistema operativo. Cuando está activado en el BIOS, el cifrado de memoria es transparente y se puede ejecutar con cualquier sistema operativo.