На мероприятии Security Day, которое прошло на неделе, Intel обсуждала свои планы по поводу введения тотального шифрования памяти TME (Total Memory Encryption). Наши коллеги ArsTechnica посетили Security Day и собрали интересную информацию. На данный момент Intel фокусируется на SGX (Software Guard Extensions), которые создают массив Secure Enclave с защищенным хранением данных.
Но в будущем Intel планирует усилить защиту, особенно с учетом опубликованных атак на SGX через уязвимости Plundervolt и Cache Out. У SGX есть и другие проблемы, которые касаются, главным образом, внедрения. SGX - проприетарный стандарт, он поддерживается только процессорами Intel. Кроме того, приложения, которые используют SGX, должны быть явно запрограммированы под данный стандарт. Поэтому не так просто защитить существующее приложение или данные через SGX.
Еще одно ограничение - аппаратное. Поддержка SGX доступна в процессорах Xeon начиная с архитектуры Skylake. Но на данный момент SGX поддерживается только на односокетных процессорах. Серверные системы с двумя или большим числом процессоров уже не могут работать с защищенным массивом Secure Enclave. Также на процессор доступно лишь 16 Мбайт Enclave Page Cache. Кэш совместно используется всеми приложениями, работающими на процессоре с использованием SGX.
В феврале 2019 Intel представила SGX Card. А именно карту расширения для облачных провайдеров Cloud Service Providers (CSP). На карте SGX Card установлены три процессора Xeon E3 на архитектуре Kaby Lake. Они обеспечивают поддержку SGX. Благодаря SGX Card можно добавить поддержку Software Guard Extensions к 12 серверным узлам - каждый CPU на карте SGX Card может защитить три процессора Xeon, что позволяет создавать массивы Secure Enclave и в мультисокетных системах.
Данное обходное решение уже не требуется в случае Cooper Lake. Данные процессоры поддерживают SGX в многосокетных системах - даже без карты SGX Card.
Данни Харник (Danny Harnik) провел тесты SGX в 2017 году и подверг критике низкую пропускную способность. Но эти тесты носили, главным образом, теоретический характер, поскольку измерения на серверных приложениях провести сложно. Скорее всего, чудес от SGX ждать не приходится, поскольку только Microsoft заявляет об их расширенном использовании на инстанциях Azure Cloud.
По следам AMD: Total Memory Encryption
Будущие процессоры Intel Xeon начнут поддерживать TME (Total Memory Encryption) или MKTME (Multi-Key Total Memory Encryption). Данные технологии уже доступны через расширение ядра Linux, но аппаратная поддержка пока отсутствует.
Ситуация в случае AMD совсем иная. Здесь поддерживаются SME (Secure Memory Encryption) и SEV (Secure Encrypted Virtualization). В случае SME можно шифровать любую область памяти. А технология TSME (Transparent Secure Memory Encryption) позволяет зашифровать всю системную память при загрузке системы. При этом программное обеспечение может и не знать о шифровании памяти, в отличие от SME.
Пока сложно сказать, какая часть серверных систем AMD использует SME или TSME. Тот же вопрос можно задать и Intel по поводу доли SGX или спросе на TME. Но тема защиты данных остается весьма важной, поэтому обойти ее не получится.
В любом случае, для Intel тема TME остается в фокусе. Но проблема наверняка еще и в том, что за последние недели и месяцы были обнаружены многочисленные уязвимости. И некоторые затрагивают SGX. Андервольтинг позволяет злоумышленнику добраться до защищенных областей памяти (Plundervolt), атаки CacheOut выполняются методом стороннего канала.
Пока не совсем понятно, когда именно процессоры Intel обзаведутся Total Memory Encryption. Определенные движения Intel в этом направлении заметны, но пока без конкретики.
Подписывайтесь на группы Hardwareluxx ВКонтакте и Facebook, а также на наш канал в Telegram (@hardwareluxxrussia).