Documentation/translations/zh_CN/security/snp-tdx-threat-model.rst

Source file repositories/reference/linux-study-clean/Documentation/translations/zh_CN/security/snp-tdx-threat-model.rst

File Facts

System
Linux kernel
Corpus path
Documentation/translations/zh_CN/security/snp-tdx-threat-model.rst
Extension
.rst
Size
12622 bytes
Lines
210
Domain
Support Tooling And Documentation
Bucket
Documentation
Inferred role
Support Tooling And Documentation: documentation
Status
atlas-only

Why This File Exists

Repository support layer: documentation, build tooling, samples, user-space helper tools, generated initramfs support, licenses, and validation utilities.

Dependency Surface

Detected Declarations

Annotated Snippet

.. SPDX-License-Identifier: GPL-2.0
.. include:: ../disclaimer-zh_CN.rst

:Original: Documentation/security/snp-tdx-threat-model.rst

:翻译:

 毛玉贤 Yuxian Mao <maoyuxian@cqsoftware.com.cn>

==========================
Linux中x86虚拟化的机密计算
==========================

.. contents:: :local:

By: Elena Reshetova <elena.reshetova@intel.com> and Carlos Bilbao <carlos.bilbao.osdev@gmail.com>

动机
====

在x86虚拟环境中从事机密计算工作的内核开发人员，是基于一组与传统Linux内核
威胁模型有所不同的假设条件下开展工作的。传统意义上，Linux威胁模型承认攻
击者可以存在于用户空间，以及一小部分能够通过各种网络接口或有限的硬件特定
暴露接口（如USB、Thunderbolt）与内核交互的外部攻击者。本文档的目的是解释
在机密计算领域中出现的额外攻击向量，并讨论为 Linux 内核提出的保护机制。

概述与术语
==========

机密计算（Confidential Computing，简称CoCo）是一个广泛的术语，涵盖了多种
旨在保护数据在使用过程中（与静态数据或传输数据相比）的机密性和完整性的安
全技术。从本质上讲，机密计算（CoCo）解决方案提供了一个受信任执行环境（TEE），
在该环境中可以进行安全的数据处理，因此，它们通常根据预期在TEE中运行的软件
来进一步划分为不同的子类型。本文档专注于一类针对虚拟化环境的机密计算技术
（Confidential Computing, CoCo），这些技术允许在可信执行环境
（Trusted Execution Environment, TEE）中运行虚拟机（VM）。从现在起，本文档
将把这一类机密计算（CoCo）技术称为“虚拟化环境（VE）中的机密计算（CoCo）”。

在虚拟化环境中，机密计算（CoCo）指的是一组硬件和/或软件技术，这些技术能够
为在CoCo虚拟机（VM）内运行的软件提供更强的安全保障。具体来说，机密计算允许
其用户确认所有软件组件的可信度，从而将其包含在精简的受信任计算基（TCB）中，
这是基于机密计算具备验证这些受信组件状态的能力。

虽然不同技术之间的具体实现细节有所不同，但所有现有机制都旨在为虚拟机的客户
内存和执行状态（vCPU寄存器）提供更高的机密性和完整性，更严格地控制客户中断
注入，并提供一些额外机制来控制客户与宿主机之间的页映射。有关x86特定解决方案
的更多细节，可以参考
:doc:`Intel Trust Domain Extensions (TDX) </arch/x86/tdx>` 和
`AMD Memory Encryption <https://www.amd.com/system/files/techdocs/sev-snp-strengthening-vm-isolation-with-integrity-protection-and-more.pdf>`_.

基本的机密计算（CoCo）客户布局包括宿主机、客户机、用于客户机与宿主机之间通信
的接口、能够支持CoCo虚拟机（VM）的平台，以及一个在客户VM和底层平台之间充当安
全管理员的可信中介。宿主机侧的虚拟机监视器（VMM）通常由传统VMM功能的一个子集
组成，并仍然负责客户机生命周期的管理，即创建或销毁CoCo虚拟机、管理其对系统资
源的访问等。然而，由于它通常不在CoCo VM的可信计算基（TCB）内，其访问权限受到
限制，以确保实现安全目标。

在下图中，"<--->" 线表示机密计算（CoCo）安全管理员与其余组件之间的双向通信通
道或接口，这些组件包括客户机、宿主机和硬件（数据流）::

    +-------------------+      +-----------------------+
    | CoCo guest VM     |<---->|                       |
    +-------------------+      |                       |
      | Interfaces |           | CoCo security manager |
    +-------------------+      |                       |
    | Host VMM          |<---->|                       |
    +-------------------+      |                       |
                               |                       |
    +--------------------+     |                       |
    | CoCo platform      |<--->|                       |

Annotation

Implementation Notes