iPon Hírek

A memória tartalmát is titkosíthatja az AMD Zen CPU

Dátum | 2016. 10. 14.
Szerző | J.o.k.e.r
Csoport | FŐ EGYSÉG

Az AMD Zen architektúrája köré épülő szerverprocesszorok meglehetősen érdekes termékeknek ígérkeznek, ugyanis képesek lesznek valami olyasmire, amire a konkurens megoldások nem: titkosítani tudják a rendszermemória tartalmát. Ezzel a lépéssel az AMD újra növelheti szerverpiaci részesedését, amely az elmúlt évek során egyre csak apadt, míg nem elérte a jelenlegi, igencsak alacsony szintet. Az új funkciót az ARM alapú AMD Secure Processor biztosíthatja, amely egyebek mellett már az üzleti szegmensbe szánt Bristol APU egységekben is jelen van, és a jelek szerint az üzleti Zen processzorok fedélzetén is helyet kap, méghozzá egy újabb szerepkörben. Mivel a szerverpiacon egyre komolyabb szerepet kapnak a felhő alapú szolgáltatások, így érdemes ezeket megfelelő módon kiszolgálni, hiszen az elemzők előrejelzései szerint óriási növekedés előtt áll a szegmens, így a befektetések busásan megtérülhetnek.
Valószínűleg erre gondolhattak az AMD illetékesei is, amikor új funkcióval egészítették ki Zen alapú szerverprocesszoraikat, ami lehetővé teszi, hogy a felhő alapú szolgáltatást használók adatai minden munkafolyamat során megfelelő védelmet kapjanak – még akkor is, ha a memóriába kerülnek. Erről az AMD Secure Processor két módszerrel gondoskodik, az egyik az SME (Secure Memory Encryption), a másik pedig az SEV (Secure Encrypted Virtualization) – mindkettő mögött hardveres SHA támogatás húzódik. Az AMD dokumentuma szerint az SME esetében a Secure Processor azonnal 128-bites AES titkosítással látja el az adatokat, amikor azokat a memóriába írja a rendszer, így nem egyszerűen kezelhető szövegként kerülnek a ideiglenes helyükre, ami egyre fontosabb szempont. Noha a klasszikus rendszermemória illékony, azaz a tápfeszültség megszűnése után a memóriachipek tartalma hamar „elillan”, az NVDIMM alapú megoldások terjedésével, amelyek már a tápfeszültség kiesése után is megőrzik tartalmukat, kiemelten fontos lesz, hogy egy modul eltávolításával ne lehessen a benne tárolt adatokhoz csak úgy hozzáférni vagy azokat klónozni. Az adatok titkosításához használt kulcsot minden egyes rendszer-újraindítást követően véletlenszerűen újra generálja a Secure Processor, ehhez a kulcshoz pedig egyetlen szoftver sem férhet hozzá, amely a „processzormagokon fut”. Az adattitkosítással járó erőforrás-igény nem gyakorol komolyabb negatív hatást a teljesítményre, még akkor sem, ha a teljes megcímezhető memória-területet titkosítják; a rendszer persze akár egyes kiválasztott memórialapok titkosítására is képes, nem kell a teljes memóriát titkosítani, így az erőforrás-igény még csekélyebb lehet.
A másik újítás, amely a SEV nevet viseli, már egy másik problémát orvosol, ami a tradicionális gyűrűs biztonsági rendszereket érinti, ahol az ügyfél kódja alacsonyabb jogosultsági szinten fut, mint maga a hypervisor. Ez – dióhéjban – azért probléma, mert ennek köszönhetően a hypervisor hozzáférhet a kliensek adataihoz, ami a biztonság szempontjából aggályos lehet. A SEV pont ezt akadályozza meg, méghozzá úgy, hogy elkülöníti egymástól a hypervisor és a kliens forrásait, csak úgy, ahogy egyéb kliensek munkafolyamatait is. A SEV gyakorlatilag annyit csinál, hogy megjelöli a különböző kliensekhez, illetve a hypervisorhoz tartozó adatokat, egymástól elkülönítve titkosítja őket, így csak az fér hozzájuk, akihez az adat tartozik, és aki a megfelelő titkosító kulccsal rendelkezik. Az SEV gyakorlatilag abban különbözik az SME-től, hogy ebben az esetben a hypervisornak együtt kell működnie a Secure Processorral: jeleznie kell, ha új VM (Virtual Machine) indul, így lezajlanak a szükséges folyamatok, amelyek végén egyedi AES kulcs töltődhet be.
Az új módszerek óriási jelentőséggel bírnak, ugyanis növelik a felhő alapú szolgáltatások biztonságát, így végső soron az ügyfelek beléjük vetett bizalmát is. Sokatmondó adat, hogy a 2016-os Global Cloud Data Security Study eredményei szerint az IT szakterületen dolgozó professzionális felhasználóknak mintegy 60%-a gondolja úgy, hogy a bizalmas vagy érzékeny adatokat sokkal nehezebb megvédeni, ha azok a felhőben helyezkednek el. A cégek persze már így is egyre nagyobb mértékben támaszkodnak a felhőre: globális szinten a cégek IT és adatfeldolgozási igényeinek mintegy 36%-át szolgálják ki a felhő alapú megoldások, ami meglepően nagy szám, és az előrejelzések szerint a következő két év folyamán ennek mértéke még tovább, 45% környékére növekedhet.
Új hozzászólás írásához előbb jelentkezz be!

Eddigi hozzászólások

23. domos
2016.10.14. 09:56
Kezd már unalmas lenni ez a sok "ilyen lehetNE a ZEN" szöveg az AMD-től... már rég meg kellett volna jelennie, ha tényleg olyan jó mint ahogy azt mondják.
 
Válasz írásához előbb jelentkezz be!
22. Derivel
2016.10.14. 10:07
Na, végre egy jó ötlet az AMD-től. Csak legyen is kész, mert az ígérgetésekből már eleget hallottunk.
 
Válasz írásához előbb jelentkezz be!
21. Hunger
2016.10.14. 10:35
"képesek lesznek valami olyasmire, amire a konkurens megoldások nem: titkosítani tudják a rendszermemória tartalmát."

Halkan szólok, hogy az Intel processzorokban ez már benne van a Skylake generáció óta az SGX kiterjesztés révén.

Az ARM processzorokban TrustZone néven van hasonló funkcionalitás, amelyet az Apple "Secure Enclave" néven használ is az iPhone, iPad termékeiben.

"a tápfeszültség megszűnése után a memóriachipek tartalma hamar „elillan” "

Nem olyan hamar, mint kellene. Lásd: Cold Boot Attack.
 
Válasz írásához előbb jelentkezz be!
20. Wines
2016.10.14. 10:38
Szóval lesz benne végre olyan funkció támogatva mikrokód szinten, mint amilyen az intelnél az évek óta meglévő AES-NI...
 
Válasz írásához előbb jelentkezz be!
19. ChoSimba
2016.10.14. 10:52
Na akkor a kék színű, asztal mögül okoskodóknak javaslom, hogy olvassák át még egyszer a cikket. Mert ilyet nem tud az Intel.
A SW oldali titkosítás egy szép dolog, de az AMD megoldásához nem kell a szoftverhez nyúlni, ugyanis a VM-en kívül dolgozik, "hardverből".
Az Intel SDK szinten nyújt csak támogatást a titkosításhoz, azt tehát bele kell építeni a programba.
Az más kérdés, hogy ez milyen teljesítmény csökkenéssel jár, erről nem szól a fáma, bár említik, hogy képes szelektíven is működni.
 
Válasz írásához előbb jelentkezz be!
18. Neuronetic Wines
2016.10.14. 11:05
Na azért egy kicsit jobban kellene informálódni mielőtt sárral dobálózunk. Az intel hardverikusan támogatja a sima szövegek titkosítását, amint te írsz egy olyan szoftvert ami ezt megteszi. Amúgy nem csinál semmilyen memória titkosítást sehogysem, nemhogy magától.
 
Válasz írásához előbb jelentkezz be!
17. Wines Neuro...
2016.10.14. 11:15
Azt írtam, "olyan funkció", nem azt, hogy ugyanaz a funkció.

De milyen jó lesz, amikor majd visszafejtik a mikrokódot, és egyszerre válik használhatatlanná az addig eladott összes Zen-ben a titkosítás.
 
Válasz írásához előbb jelentkezz be!
16. danimisi Hunge...
2016.10.14. 11:35
Többször tapasztaltam nem is egy konfiguráción, hogy Linux Live rendszereket és telepített rendszereket egymás után bootolva, csak restarttal. Az előző rendszer asztal képe és bejelentkező képe, teljes képernyőt beterítőleg apró kockák képében jellenek meg egy pillanatra. Mintha egy összekevert puzzle kupacot látnánk.
Ugyan ez dualbootos win-linux konfigokra is igaz.
Egy ideje nem restartolok, hanem kikapcs és fél perc várakozás után start. Így nem tapasztalom.
Gondoltam már rá kérdek, de inkább hagytam.
Most, hogy így említetted ezt a dolgot a nem hirtelen kiürülő memória chipekről. Úgy voltam vele, megemlítem. Erre gondoltam én is amit mondassz, de nem tudom alátámasztani csak azzal, hogy várok félpercet a kikapcsolás után.
 
Válasz írásához előbb jelentkezz be!
15. hcsa
2016.10.14. 11:39
Szegény ZEN már annyi mindent tud, hogy lassan túlképzett lesz... aztán majd az olaszországi Bibione nevét úgy ejti ki hogy "Bájbájván" (copyright Hadházi László).

De most tényleg, vagy nagyot fog szólni az új proci, vagy elnéző félmosollyal átfordul a szakma a másik oldalára álmodozni még egy kicsit (mármint hogy lesz még valaha konkurense az Intelnek...)
 
Válasz írásához előbb jelentkezz be!
14. I.Jozsef83
2016.10.14. 12:38
Szóval lesz benne végre olyan funkció támogatva mikrokód szinten, mint amilyen az intelnél az évek óta meglévő

SME esetében a Secure Processor azonnal 128-bites AES titkosítással látja el az adatokat, amikor azokat a memóriába írja a rendszer, így nem egyszerűen kezelhető szövegként kerülnek a ideiglenes helyükre, ami egyre fontosabb szempont.


Ez egyértelműen csípőből való tüzelés . Nem utólag kell kimagyarázni amit egyszer kijelentünk .

Persze bármit is beismerni .... ugye nehéz ?

Bocsi , tényleg , ezt picit benéztem . Igazad , vagy igazatok van .

Nem így illene normáliséknál ?

Jók lesznek ezek a ZEN szerverprocesszorok .
 
Válasz írásához előbb jelentkezz be!
13. Hunger ChoSi...
2016.10.14. 15:21
AMD zealot detected.

Esetleg okoskodás helyett te olvass utána annak, amiket írtam...
 
Válasz írásához előbb jelentkezz be!
12. ncc1701 I.Joz...
2016.10.14. 15:22
Soha nem szokták leírni, h tévedtek, inkább terelnek, és csúsztatnak.

Amúgy ez marha jó funkció, kiváncsi leszek, h mennyire lassítja majd a memória műveleteket.
 
Válasz írásához előbb jelentkezz be!
11. Terror ncc17...
2016.10.14. 15:24
Titokban mind AMD-t veszünk, csak a fórumokon megy az arcoskodás.
 
Válasz írásához előbb jelentkezz be!
10. Hunger danim...
2016.10.14. 15:28
Fejreállított sürített levegős spay segítségével remekül lehet fagyasztani a DRAM chipeket és így az adatok akár percekig is megmaradnak, amennyi idő elég ahhoz, hogy eltávolítsa az ember az adott szerverből a modulokat és berakja egy sajátba, vagy egy DRAM dumpoló céleszközbe.
 
Válasz írásához előbb jelentkezz be!
9. otherl Hunge...
2016.10.14. 16:11
Szóval én beleolvastam a leírásokba, de nem látom, hogy az Intel vagy az ARM megoldása hogyan működik szoftveres változtatások nélkül (amit az AMD ígér ha jól értem). Kifejtenéd ezt kérlek?
 
Válasz írásához előbb jelentkezz be!
8. szabot0412 Wines
2016.10.14. 16:45
"De milyen jó lesz, amikor majd visszafejtik a mikrokódot, és egyszerre válik használhatatlanná az addig eladott összes Zen-ben a titkosítás."

A jó titkosítás nem a kód titokban tartásán múlik (Az egy rossz titkosítás ami csak így tud biztonságos maradni). A jelenleg használt titkosító algoritmusok nagy része teljesen publikus, a velük titkosított adat visszafejtése mégsem lehetséges.
Sőt ki sem kell szedni a kódot a prociból le van írva a cikkben 128 AES a titkosítás, de ettől az információtól nem lett kevésbé biztonságos.
 
Válasz írásához előbb jelentkezz be!
7. Bloodx szabo...
2016.10.14. 17:09
+1

Kerckhoffs's principle/2

https://en.wikipedia.org/wiki/Kerckhoffs%27s_principle
 
Válasz írásához előbb jelentkezz be!
6. ianbrenner Wines
2016.10.15. 09:00
Néha egy egy hozzászólóról nem tudom eldönteni, hogy csak hülyéskedik, vagy tényleg ennyire hü... nem ért hozzá?
 
Válasz írásához előbb jelentkezz be!
5. 5hR3kY Hunge...
2016.10.15. 09:27
Az Intelnél az SGX csak egy utasításkészlet. Azaz ha titkosítani akarsz akkor már van nekik rá specifikus utasításkészletük, de a titkosítással a processzort terheled. Ezzel szemben az AMD-nél hardver van a CPU-ban a titkosításra, így az nem terhel semmit. Az ARM TrustZone az már ténylegesen hardveres megoldás, de ők nincsenek benne az x86 architektúrás szerverpiacban.

Szerk.: Mire te odaérsz a szerverhez, leveszed az oldalát és elkezded fagyasztgatni a chipeket, meg utána dumpolni, kényesebb helyeken 5-10x lelőnek minimum.
 
Válasz írásához előbb jelentkezz be!
4. Hunger 5hR3k...
2016.10.15. 22:40
Szép játék a szavakkal. Egyik esetben a processzort terheled, a másik esetben a processzor megoldja...

Az overheadről az AMD esetén semmit nem tudunk, mert az egész egyelőre csak papíron létezik. Intel esetén pedig konkrétan kipróbálható és nem a titkosítás okoz igazából terhelést, hanem annak van túl nagy késleltetése, ha valaki folyamatosan ki-be akar lépkedni ezekben a létrehozott biztonságos enklávékban. Ahogy a kernel-userspace, valamint a VM context switching is mindig okozni fog valamennyi látenciát. Ebben viszont az AMD sem lesz jobb.

De persze lehet hogy igaz, hogy nem összehasonlítható a kettő, mert az AMD könnyen lehet, hogy még ezeket a secure enclave funkciókat sem fogja tudni támogatni, csak a titkosítást, amely Intelnél csak egy része az SGX-nek.

Szerk.: szervernél való lelövésről meg csak annyit, hogy túl sok akciófilmet nézel.
 
Válasz írásához előbb jelentkezz be!
3. Hunger other...
2016.10.15. 22:53
Ez csak értelmezés kérdése. Azzal az Intel SGX és ARM TrustZone esetén sem kell szoftveresen külön foglalkozni, hogy az enklávéban futó kód és az adatok automatikusan titkosításra kerüljenek a fizikai RAM-ban a processzor által. Ezt a CPU ebben a biztonsági kontextusban mindenképp elvégzi. Ahhoz viszont szoftverre van szükség, hogy a processzor ebbe a kontextusba lépjen.
 
Válasz írásához előbb jelentkezz be!
2. djwolf
2016.10.16. 14:42
Mikor jönnek ki a ZEN-ek?
 
Válasz írásához előbb jelentkezz be!
1. 5hR3kY
2016.10.17. 08:06
Hunger: Egyik esetben egy speciális paranccsal a CPU erőforrásait terheled, a másik esetben egy a processzorban lévő dedikált hardver kapja az utasítást, ami különálló blokk egy tokozáson belül, így semmilyen formában nem terheli le a processzor szabad erőforrásait.
Akciófilmet te nézel sokat, te akarod fagyasztgatni a memória IC-ket és adatokat lopkodni belőle.

barbik: Az az x év az a jövőre.
 
Válasz írásához előbb jelentkezz be!