Os engenheiros de código aberto da Intel continuam trabalhando para obter o suporte Trust Domain Extensions (TDX) para o kernel Linux principal. Com o próximo ciclo do Kernel Linux 6.2, o driver convidado TDX agora está pronto.
De volta ao kernel Linux 5.19, o código do host em torno do Intel TDX foi mesclado no kernel , enquanto para o Kernel Linux 6.2, o driver convidado está definido para introdução.
As Intel Trust Domain Extensions são para máquinas virtuais isoladas por hardware, fornecendo proteção contra o VMM/hipervisor e outros softwares não pertencentes ao domínio confiável na plataforma. O TDX fornece um modo de arbitragem segura (SEAM), um mecanismo de criptografia de memória total com várias chaves, atestado remoto e outros recursos de segurança.
Mais informações técnicas sobre TDX estão disponíveis em Intel.com .
O driver convidado TDX expõe interfaces IOCTL para atender a solicitações específicas do usuário convidado TDX. Atualmente, ele é usado apenas para permitir que o usuário obtenha o TDREPORT para dar suporte ao atestado TDX.
Os detalhes sobre o processo de atestado TDX estão documentados em Documentation/x86/tdx.rst, e os detalhes IOCTL estão documentados em Documentation/virt/coco/tdx-guest.rst.
As operações como obter TDREPORT envolvem enviar um blob de dados como entrada e obter outro blob de dados como saída. Foi considerado o uso de uma interface sysfs para isso, mas não se encaixa bem no modelo sysfs padrão para configurar valores. Seria possível fazer leitura/gravação em arquivos, mas precisaria de vários descritores de arquivo, o que seria um pouco confuso. Os IOCTLs parecem ser o modelo mais adequado e simples para este caso de uso. O driver AMD sev-guest também usa a interface IOCTL para dar suporte ao atestado.
...
Atestado===========
O atestado é usado para verificar a confiabilidade do convidado TDX para outras entidades antes de fornecer segredos ao convidado. Por exemplo, um servidor de chaves pode querer usar o atestado para verificar se o convidado é o desejado antes de liberar as chaves de criptografia para montar os rootfs criptografados ou uma unidade secundária.
O módulo TDX registra o estado do convidado TDX em vários estágios do processo de inicialização do convidado usando o registro de medição de tempo de construção (MRTD) e os registros de medição de tempo de execução (RTMR). As medições relacionadas à configuração inicial do convidado e à imagem do firmware são registradas no registro MRTD. Medições relacionadas ao estado inicial, imagem do kernel, imagem do firmware, opções de linha de comando, initrd, tabelas ACPI, etc. são registradas em registradores RTMR. Para obter mais detalhes, como exemplo, consulte a especificação de design do TDX Virtual Firmware, seção intitulada "Medição TD". No tempo de execução do convidado TDX, o processo de atestado é usado para atestar essas medições.
O processo de atestado consiste em duas etapas: geração de TDREPORT e geração de cotações.
Nenhum comentário:
Postar um comentário