AMD SEV介绍

最新推荐文章于 2025-11-04 03:25:39 发布

原创

最新推荐文章于 2025-11-04 03:25:39 发布 · 1w 阅读

29 ·

CC 4.0 BY-SA版权

文章标签：

#linux #后端 #服务器 #云计算

本文介绍了AMD的Secure Memory Encryption (SME)和Secure Encrypted Virtualization (SEV)技术，详细阐述了它们的工作原理、使用场景及优势。SEV通过硬件加密保护虚拟机内存，防止物理和跨虚拟机攻击，尤其适用于云计算环境。SEV-ES进一步增强了安全性，保护了虚拟机的寄存器状态。此外，文章还提到了SEV-SNP技术，用于防止完整性攻击，确保内存一致性。

AMD EPYC(霄龙)处理器引入了两个硬件安全组件：

AES-128硬件加密引擎：嵌入在内存控制器内，用于对内存数据进行加解密。
AMD Secure Processor（AMD-SP）：负责安全密钥的生成和管理。

Secure Memory Encryption (SME)：AMD在DRAM的控制器中添加了加解密模块，用来控制内内存数据的加密和解密。

Secure Encrypted Virtualization (SEV) ：将主内存加密功能与现有的AMD-V虚拟化体系结构来支持加密的虚拟机。加密虚拟机不仅可以让虚拟机免受物理威胁，还可以免受其他虚拟机甚至是hypervisor本身。因此，SEV代表了一种新的虚拟化安全范例，特别适用于虚拟机不需要完全信任其主机的hypervisor和管理员的云计算系统。与SME一样，不需要修改应用程序软件即可支持SEV。

linux-4.16，Libvirt-4.5，qemu-2.12已经合入对SEV的支持。

SME介绍

每个内存控制器包含高性能的高Advanced Encryption Standard(AES)引擎，可在将数据写入DRAM时对其进行加密，并在读取时将其解密，如图1所示。数据加密使用了额外的基于物理地址的调整方式，以防止密文块移动攻击。

SME的AES引擎使用的加密密钥是在每次系统重置时随机生成的，并且对软件不可见。密钥由集成在AMD SOC上的微控制器AMD Secure Processor（AMD-SP）（32位ARM Cortex A5）进行管理。密钥是由板载的符合SP 800-90的硬件随机数生成器生成，并存储在专用的硬件寄存器中，永远不会暴露在SOC之外。与稍后描述的SEV模同，SME不需要软件参与密钥管理。

OS或者Hypervisor可以指定哪些页进行加密。启动内存加密后，物理地址的第47位（又名C-bit，C代表enCrypted）用于标记该页是否被加密，对加密页进行访问时，加密和解密将由AES引擎自动完成。