Virtualização criptografada segura (SEV) da AMD

A SEV é uma solução de computação confidencial baseada em máquina virtual. Ela protege os dados em uso criando um Ambiente de execução confiável, definido pelos limites da VM confidencial. A SEV usa uma chave por máquina virtual para isolar os sistemas convidados (guests) uns dos outros e do hipervisor. Essas chaves são gerenciadas pelo AMD Secure Processor. A SEV requer ativação no sistema operacional convidado e no hipervisor. As alterações no sistema convidado permitem que a VM indique quais páginas na memória devem ser criptografadas. As alterações no hipervisor usam instruções de virtualização de hardware e comunicação com o processador AMD Secure para gerenciar as chaves apropriadas no controlador de memória. A AMD desenvolveu a SEV para adicionar novos recursos e capacidades a cada geração de CPUs de servidor AMD EPYC para ajudar a lidar com o cenário de segurança em constante evolução. Esses aprimoramentos estão descritos abaixo.

Estado criptografado (ES) — anteriormente conhecido como SEV-ES

A SEV-ES criptografa todo o conteúdo do registro da CPU quando uma VM deixa de ser executada. Isso impede o vazamento de informações dos registradores da CPU para componentes como o hipervisor e pode até detectar modificações maliciosas no estado de um registrador da CPU.

Paginação aninhada segura (SNP) — anteriormente conhecida como SEV-SNP

A SEV-SNP adiciona uma sólida proteção de integridade de memória para ajudar a prevenir ataques mal-intencionados baseados em hipervisor, como repetição de dados, remapeamento de memória e muito mais, a fim de criar um ambiente de execução isolado. Além disso, a SEV-SNP introduz diversos aprimoramentos opcionais de segurança projetados para oferecer suporte a modelos adicionais de uso de VMs, oferecer proteção mais robusta para o comportamento de interrupções e aumentar a proteção contra ataques indiretos divulgados recentemente.

E/S confiável (TIO) — anteriormente conhecida como SEV-TIO

A SEV-TIO estende o Ambiente de execução confiável (TEE) criado pela SEV para incluir dispositivos PCIe (NICs, aceleradores, armazenamento) usando o TDISP (TEE Device Interface Security Protocol, Protocolo de segurança da interface de dispositivos TEE) definido pelo PCI-SIG. O TDISP define novos protocolos e funções para dispositivos, permitindo que eles se autentiquem, impeçam interceptação ou falsificação de tráfego na malha PCIe, atestem sua configuração e isolem cargas de trabalho de sistemas convidados dos controles de dispositivo disponíveis para os drivers do host.

Criptografia de memória segura transparente (TSME) da AMD

A TSME usa uma única chave para criptografar a memória do sistema. A chave é gerada pelo AMD Secure Processor na inicialização. A SME requer ativação no BIOS do sistema ou no sistema operacional. Quando ativada no BIOS, a criptografia de memória é transparente e pode ser executada com qualquer sistema operacional.