SEV安全加密虚拟化处于活动状态意味着系统正在运行一项由 AMD EPYC 处理器提供的硬件级安全技术用于加密虚拟机的内存将其与宿主机和其他虚拟机隔离。核心技术原理当 SEV 激活时每个虚拟机都会被分配一个独一无二的加密密钥并由 AMD 安全处理器专门管理。在这种状态下虚拟机内存中的数据即便被宿主机操作系统或管理程序访问也只会看到密文无法解读。这能有效防御来自其他租户或恶意管理程序的攻击非常适用于多租户的云计算环境。SEV 家族的演进SEV 技术包含多个演进版本每个版本都提供了更强的保护SEV (基础版)加密虚拟机内存保护数据不被其他虚拟机或宿主机访问。SEV-ES (加密状态)在 SEV 基础上更进一步当虚拟机被暂停如处理中断时其CPU寄存器内容也会被加密防止信息通过寄存器泄露给宿主机。SEV-SNP (安全嵌套分页)增加了强大的内存完整性保护能够防御数据重放、内存重映射等更高级的恶意管理程序攻击。如何判断 SEV 是否处于活动状态对于正在运行的虚拟机你可以通过以下方式确认查看内核日志在客户机Guest内执行dmesg | grep -i Memory Encryption如果看到类似Memory Encryption Features active: AMD SEV或AMD SEV SEV-ES的信息则表明功能已启用。检查内核配置在宿主机Host上可以查看内核是否包含CONFIG_AMD_MEM_ENCRYPT等编译选项。在arch/x86/kernel/sev_verify_cbit.S这样的内核源码中也能看到专门处理 SEV 状态下物理地址加密标志位C-bit验证的代码。简单来说SEV 活动状态就相当于为你的虚拟机加上了一层“硬件级装甲”让它在复杂的云环境中运行时数据依然能得到强有力的保护。/** Build early 4G boot pagetable*//** If SEV is active then set the encryption mask in the page tables.* This will ensure that when the kernel is copied and decompressed* it will be done so encrypted.*/xorl %edx, %edx#ifdef CONFIG_AMD_MEM_ENCRYPTcall get_sev_encryption_bitxorl %edx, %edxtestl %eax, %eaxjz 1fsubl $32, %eax /* Encryption bit is always above bit 31 */bts %eax, %edx /* Set encryption mask for page tables *//** Set MSR_AMD64_SEV_ENABLED_BIT in sev_status so that* startup32_check_sev_cbit() will do a check. sev_enable() will* initialize sev_status with all the bits reported by* MSR_AMD_SEV_STATUS later, but only MSR_AMD64_SEV_ENABLED_BIT* needs to be set for now.*/movl $1, rva(sev_status)(%ebp)1:#endif
