AMD SEV / SEV-SNP.

AMD Secure Encrypted Virtualization (SEV) verschlüsselt den Speicher jeder virtuellen Maschine mit einem VM-spezifischen Schlüssel, der vom On-Chip-AMD-Secure-Processor verwaltet wird. SEV-ES erweitert dies um die Verschlüsselung des Registerzustands bei VM-Austritten, und SEV-SNP (Secure Nested Paging), eingeführt mit EPYC 7003 Milan, ergänzt einen Speicherintegritätsschutz (Reverse Map Table, umgekehrte Zuordnungstabelle) gegen bösartiges Remapping, Replay und Aliasing durch den Hypervisor. SEV-SNP unterstützt die Remote-Attestierung der Gastmessung (VCEK/VLEK-Kette) für Confidential-Computing-Workloads. Es bildet die Grundlage für Azure Confidential VMs (DCasv5/ECasv5), an AWS Nitro Enclaves angelehnte Angebote sowie Google Cloud Confidential VMs und ermöglicht es Mandanten, unveränderte Linux-/Windows-Gäste mit kryptografischer Isolation gegenüber dem Cloud-Anbieter auszuführen.

Das Bedrohungsmodell ist bewusst stark — der Hypervisor wird als feindlich angenommen —, weshalb die Forschung seine Grenzen ausgelotet hat. CacheWarp (CVE-2023-20592), 2023 von CISPA, TU Graz und dem unabhängigen Forscher Youheng Lu offengelegt, ist ein Software-Fault-Injection-Angriff, mit dem ein bösartiger Hypervisor die Cache-Schreibvorgänge einer VM verwerfen kann, um den Speicher in einen veralteten Zustand zurückzusetzen und so die Integrität von SEV-ES/SEV-SNP auf EPYC der ersten bis dritten Generation (Naples, Rome, Milan) auszuhebeln. BadRAM (CVE-2024-21944), 2024 offengelegt, manipuliert den SPD-Chip eines DIMM mit Hardware für unter $10, um aliasierte „Geister"-Adressen zu erzeugen, die die Speicherschutzmechanismen von SEV-SNP umgehen. AMD hat Microcode- und Firmware-Gegenmaßnahmen veröffentlicht; Verteidiger sollten die Firmware des Secure Processor patchen und die gemeldete TCB-Version im Attestierungsbericht prüfen, bevor sie einem Gast vertrauen.

flowchart TB
  subgraph Untrusted
    HV[Hypervisor / Cloud-Administrator]
  end
  subgraph EPYC SoC
    ASP[AMD Secure Processor]
    ME[Speicherverschlüsselungs-Engine + RMP]
  end
  G[Speicher der Gast-VM] -->|VM-spezifischer verschlüsselter Schlüssel| ME
  ASP -->|verwaltet Schlüssel| ME
  HV -.->|kann keinen Klartext lesen| G
  ASP -->|signiert Messung| ATT[Attestierungsbericht VCEK/VLEK]
  ATT -->|prüft TCB & Messung| Tenant[Prüfende Partei]

Für Confidential Computing ist der Attestierungsschritt entscheidend: Ein Gast muss der prüfenden Partei nachweisen, dass er mit der erwarteten Messung auf echtem, aktuellem AMD-Silizium gebootet hat, bevor ihm ein Geheimnis (Datenträgerschlüssel, Workload-Daten) übergeben wird.