AMD 보안 암호 가상화(SEV)

SEV는 가상 머신 기반의 컨피덴셜 컴퓨팅 솔루션입니다. 컨피덴셜 VM의 경계 내에서 신뢰할 수 있는 실행 환경을 생성함으로써 사용 중인 데이터를 보호합니다. SEV는 가상 머신마다 하나의 키를 사용하여 게스트와 하이퍼바이저를 서로 격리합니다. 키는 AMD 보안 프로세서에 의해 관리됩니다. SEV는 게스트 운영 체제 및 하이퍼바이저에서 활성화가 필요합니다. 게스트 변경 사항을 통해 VM은 메모리 내에서 암호화할 페이지를 지정할 수 있습니다. 하이퍼바이저 변경은 하드웨어 가상화 명령어 및 AMD 보안 프로세서와의 통신을 사용하여 메모리 컨트롤러에서 적절한 키를 관리합니다. AMD는 각 세대의 AMD EPYC 서버 CPU에 새로운 기능이 추가되도록 SEV를 발전시킴으로써 진화하는 보안 환경에 대응할 수 있도록 지원합니다. 그러한 개선 사항이 아래에 설명되어 있습니다.

암호화된 상태(ES) – 이전 명칭은 SEV-ES

SEV-ES는 VM이 실행을 멈출 때 모든 CPU 레지스터 콘텐츠를 암호화합니다. 이렇게 하면 CPU 레지스터의 정보가 하이퍼바이저와 같은 구성 요소로 유출되는 것을 방지할 수 있으며, CPU 레지스터 상태에 대한 악의적인 수정도 감지할 수 있습니다.

보안 네스티드 페이징(SNP) – 이전 명칭 SEV-SNP

SEV-SNP는 데이터 재생, 메모리 리매핑 등 악성 하이퍼바이저 기반 공격을 방지하기 위해 강력한 메모리 무결성 보호 기능을 추가함으로써 격리된 실행 환경을 만듭니다. 또한 SEV-SNP는 추가적인 VM 사용 모델을 지원하고, 인터럽트 동작에 대한 강력한 보호 기능을 제공하고, 최근에 공개된 사이드 채널 공격에 대한 보호 기능을 강화하도록 설계된 몇 가지 추가적인 보안 개선 옵션을 제공합니다.

신뢰할 수 있는 I/O(TIO) – 이전 명칭 SEV-TIO

SEV-TIO는 SEV에 의해 생성된 신뢰받는 실행 환경(Trusted Execution Environment, TEE)을 확장하여 PCI-SIG 정의 TEE 장치 인터페이스 보안 프로토콜(TDISP)을 사용하는 PCIe 장치(NIC, 가속기, 스토리지)까지 포함하도록 만듭니다. TDISP는 스스로 인증하고, PCIe 패브릭에서 트래픽 가로채기 또는 위장을 방지하고, 구성에 대한 테스트를 수행하고, 호스트 드라이버에 사용할 수 있는 장치 제어로부터 게스트 워크로드를 격리할 수 있는 새로운 프로토콜과 장치 기능을 정의합니다.

AMD 투명 보안 메모리 암호화(TSME)

TSME는 단일 키를 사용하여 시스템 메모리를 암호화합니다. 키는 부팅 시 AMD 보안 프로세서에 의해 생성됩니다. SME는 시스템 BIOS 또는 운영 체제에서 활성화가 필요합니다. BIOS에서 활성화하면 메모리 암호화는 투명하게 작동하며 모든 운영 체제에서 사용할 수 있습니다.