AMD SEV / SEV-SNP.

AMD Secure Encrypted Virtualization (SEV) chiffre la mémoire de chaque machine virtuelle avec une clé propre à la VM, gérée par l'AMD Secure Processor intégré à la puce. SEV-ES étend cette protection au chiffrement de l'état des registres lors des sorties de VM, et SEV-SNP (Secure Nested Paging), introduit avec EPYC 7003 Milan, ajoute la protection d'intégrité de la mémoire (Reverse Map Table, table de correspondance inverse) contre les remappages, rejeux et aliasings malveillants de l'hyperviseur. SEV-SNP prend en charge l'attestation distante de la mesure de l'invité (chaîne VCEK/VLEK) pour les charges de travail de confidential computing. Il alimente les Azure Confidential VMs (DCasv5/ECasv5), des offres voisines d'AWS Nitro Enclaves et les Google Cloud Confidential VMs, permettant aux locataires d'exécuter des invités Linux/Windows non modifiés avec un isolement cryptographique vis-à-vis du fournisseur cloud.

Le modèle de menace est délibérément fort — l'hyperviseur est supposé hostile —, si bien que la recherche en a sondé les limites. CacheWarp (CVE-2023-20592), divulgué en 2023 par le CISPA, TU Graz et le chercheur indépendant Youheng Lu, est une attaque par injection de fautes logicielle qui permet à un hyperviseur malveillant d'abandonner les écritures en cache d'une VM pour ramener la mémoire à un état périmé, mettant en échec l'intégrité de SEV-ES/SEV-SNP sur les EPYC de première à troisième génération (Naples, Rome, Milan). BadRAM (CVE-2024-21944), divulgué en 2024, manipule la puce SPD d'un DIMM avec moins de $10 de matériel pour créer des adresses « fantômes » aliasées qui contournent les protections mémoire de SEV-SNP. AMD a publié des mitigations de microcode et de firmware ; les défenseurs doivent corriger le firmware du Secure Processor et vérifier la version de TCB rapportée dans le rapport d'attestation avant d'accorder leur confiance à un invité.

flowchart TB
  subgraph Untrusted
    HV[Hyperviseur / Administrateur cloud]
  end
  subgraph EPYC SoC
    ASP[AMD Secure Processor]
    ME[Moteur de chiffrement mémoire + RMP]
  end
  G[Mémoire de la VM invitée] -->|clé chiffrée propre à la VM| ME
  ASP -->|gère les clés| ME
  HV -.->|ne peut pas lire le texte en clair| G
  ASP -->|signe la mesure| ATT[Rapport d'attestation VCEK/VLEK]
  ATT -->|vérifie le TCB et la mesure| Tenant[Partie vérificatrice]

Pour le confidential computing, l'étape d'attestation est essentielle : un invité doit prouver à la partie vérificatrice qu'il a démarré avec la mesure attendue sur du silicium AMD authentique et à jour avant que tout secret (clé de disque, données de la charge de travail) ne lui soit communiqué.