TDX的功能

堕落灬昆翎

于 2024-08-15 17:43:20 发布

阅读量454

点赞数 9

分类专栏：机密计算文章标签：网络网络安全

本文链接：https://blog.csdn.net/DLHKL/article/details/141227481

版权

机密计算专栏收录该内容

5 篇文章 0 订阅

订阅专栏

1.内存机密性和完整性

Intel TDX使用TME-MK引擎启用内存加密，并通过添加完整性保护模式对其进行增强。除了AESXTS 128位内存加密外，Intel TDX还可以在每个缓存行上使用基于SHA-3的MAC（28位）启用加密完整性保护模式。在这种模式下，SHA-3-256（KECCAK[512]）被用作MAC生成的底层函数，256b输出被截断为28b以进行存储和验证。为了帮助防止密文泄露，每个缓存行都维护一个1位TD所有权标签，以识别该行是否与分配给TD的内存页相关联。在这种模式下，TD所有权位包含在MAC中。可选地，可以使用逻辑完整性模式，该模式维护1位TD所有权标签，但是在逻辑完整性模型中，每个缓存行都没有维护加密MAC。

TME-MK支持的每个密钥都由KeyID或密钥标识符标识。CPU旨在提供一条PCONFIG指令，由Intel TDX模块使用，为每个KeyID编程一个CPU生成的、唯一的、短暂的AES-XTS 128位密钥。编程到TME-MK中的钥匙经过定制，无法通过软件或使用SOC的外部接口访问。

TME-MK支持的KeyID集可以分为两组KeyID——一组私有KeyID和一组共享KeyID。PCONFIG的设计仅允许在从SEAM模式调用时（即通过TDX-SEAM模块）使用密钥对私钥ID进行编程。

在TD创建时，该模块旨在为每个TD分配唯一的私有KeyID（图3）。

图三

CPU旨在禁止除Intel TDX模块和TD之外的软件使用私钥ID进行内存访问。尝试通过SEAM模式之外的软件访问私钥ID将导致页面错误异常（#PF）。同样，使用私钥ID的设备的DMA将被中止。

与存储器中的行关联的TD所有权位试图检测软件或设备试图使用共享KeyID读取用私钥ID加密的存储器，以揭示密文。对于这种无效访问，TME-MK返回一个固定模式，以帮助防止密文分析。

启用加密完整性保护后，MAC有助于确保TD读回上次写入其专用内存的相同数据。如果根据攻击模型侵犯了内存完整性，那么TD对损坏内存的后续访问将导致MAC验证失败。通过逻辑完整性，基于TD所有权位的访问控制的软件攻击也获得了类似的属性。

MAC验证或TD所有权检查失败对TD来说是致命的，并导致其终止，但其他TD和平台软件不会受到影响。TD专用内存的加密有助于防御某些类型的内存物理攻击（例如冷启动攻击）。加密完整性模式增加了加密防御，以防御软件篡改攻击（如rowhammer）和一些基于硬件的损坏攻击。相比之下，逻辑完整性模式旨在防止软件访问TD密文。当前一代针对Intel TDX的内存保护无法检测到或防止通过物理访问重放内存等复杂攻击。

2.CPU状态机密性和完整性

创建TD时，Intel TDX的模块将要求VMM提供一组内存页，用于托管虚拟机控制结构（VMCS）、TD的状态保存区等。该模块的目标是使用其页面分配跟踪器来强制VMM没有同时将这些页面分配给其他TD。然后，Intel TDX模块将使用TD分配的私钥初始化和配置这些结构，以帮助为TD-CPU状态提供加密机密性和完整性保护（图2）。