AMD Secure Encrypted Virtualization (SEV)

SEV est une solution d'informatique confidentielle basée sur une machine virtuelle ; elle protège les données en cours d'utilisation en créant un environnement d'exécution fiable, défini par les limites de la machine virtuelle confidentielle. SEV utilise une clé par machine virtuelle pour isoler les invités et l'hyperviseur les uns des autres. Les clés sont entièrement gérées par AMD Secure Processor. SEV nécessite une activation dans le système d'exploitation invité ainsi que dans l'hyperviseur. Les changements de l'invité permettent à la machine virtuelle d'indiquer quelles pages de la mémoire doivent être cryptées. Les modifications de l'hyperviseur s'appuient sur les instructions de virtualisation hardware et sur une communication avec AMD Secure Processor afin de gérer les clés appropriées au niveau du contrôleur mémoire. AMD a fait évoluer SEV à chaque génération de CPU pour serveur AMD EPYC afin d'y ajouter de nouvelles fonctionnalités et capacités, en réponse à l'évolution des menaces de sécurité. Ces améliorations sont décrites ci-dessous.

Encrypted State (ES) – anciennement appelé SEV-ES

SEV-ES crypte tout le contenu du registre CPU lorsqu'une machine virtuelle cesse de fonctionner. Cela empêche la fuite d'informations dans les registres CPU vers des composants tels que l'hyperviseur et peut même détecter des modifications malveillantes sur un état de registre CPU.

Secure Nested Paging (SNP) – anciennement appelé SEV-SNP

SEV-SNP ajoute de solides capacités de protection de l'intégrité de la mémoire pour éviter les attaques d'hyperviseur malveillant comme la reproduction de données, le nouveau mappage des données et plus encore, afin de créer un environnement d'exécution isolé. De plus, SEV-SNP introduit plusieurs améliorations de sécurité optionnelles visant à prendre en charge de nouveaux modèles d'utilisation des machines virtuelles, à renforcer la protection liée au comportement des interruptions et à offrir une protection accrue contre des attaques par canaux auxiliaires récemment identifiées.

E/S sécurisées (TIO) – anciennement appelé SEV-TIO

SEV-TIO étend l'environnement d'exécution de confiance (TEE) créé par SEV afin d'inclure les appareils PCIe (cartes réseau, accélérateurs, stockage), en s'appuyant sur le protocole de sécurité TEE Device Interface Security Protocol (TDISP) défini par le PCI-SIG. TDISP définit de nouveaux protocoles et fonctionnalités permettant aux appareils de s'authentifier, d'empêcher l'interception ou l'usurpation du trafic au sein du tissu PCIe, d'attester de leur configuration et d'isoler les charges de travail invitées des contrôles d'appareils accessibles aux pilotes hôtes.

AMD Transparent Secure Memory Encryption (TSME)

TSME utilise une clé unique pour crypter la mémoire système. La clé est gérée par AMD Secure Processor au démarrage. SME nécessite une activation dans le BIOS du système ou le système d'exploitation. Lorsqu'il est activé dans le BIOS, le cryptage de la mémoire est transparent et peut être exécuté avec n'importe quel système d'exploitation.