AMD SEV-SNP doğrulama raporları Zig ile Linux üzerinde alınıyor
Öne çıkanlar
- SEV-SNP raporları, sanal makinenin başlatma imajını SHA-384 özetiyle kalıcı olarak kaydediyor.
- Linux üzerindeki /dev/sev-guest arayüzü ioctl komutlarıyla 1184 baytlık imzalı raporu çekiyor.
- Sanal makine ayrıcalık düzeyleri (VMPL), sanal TPM gibi kritik bileşenleri Linux çekirdeğinden bile yalıtıyor.
AMD Secure Encrypted Virtualization teknolojisinin en güncel sürümü SEV-SNP, sanal makinelerin belleğini hipervizörden gizlemekle kalmıyor, aynı zamanda bellek eşleme manipülasyonlarını da engelliyor. Sistem, konuk sanal makinenin AMD güvenli işlemcisi tarafından imzalanan bir durum raporu almasına imkan tanıyor. Bu rapor sanal makinenin ilk başlatma anındaki SHA-384 özetini, politika ayarlarını ve 64 baytlık özel çağrı verisini içeriyor. Uzaktan doğrulama süreçlerinde doğrulayıcı sistemler, bu raporu güvenilir kabul edilen imza ve özetlerle karşılaştırıyor.
Linux işletim sisteminde bu raporu almak için çekirdeğin sunduğu /dev/sev-guest aygıtı kullanılıyor. Geliştirilen Zig tabanlı zig-sev-guest kütüphanesi, SNP_GET_REPORT ioctl komutunu çağırarak doğrudan donanımla güvenli iletişim kuruyor. İstek sırasında 64 baytlık dinamik bir sınama verisi ve sanal makine ayrıcalık düzeyi (VMPL) çekirdeğe iletiliyor. Çekirdek düzeyindeki kullanıcılar en yetkili seviye olan VMPL0 seviyesinde bulunmayabiliyor; Coconut SVSM veya OpenHCL gibi modüller daha yüksek ayrıcalık düzeylerinde sanal TPM hizmetleri sunabiliyor.
Elde edilen 1184 baytlık ham rapor, AMD'nin kök sertifikalarına kadar uzanan ECDSA P-384 zinciri üzerinden OpenSSL yardımıyla doğrulanıyor. Doğrulama adımı yalnızca imzayı kontrol etmekle kalmıyor; başlatma ölçümünü, platform güvenlik sürümlerini ve hata ayıklama gibi güvenlik açıklarına yol açabilecek ilkeleri de denetliyor. Bu süreç, gizli bilgi işlem ortamlarında konuk sistemlerin bütünlüğünü korumaya yardımcı oluyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.