Leo en lwn:Las técnicas para aumentar la seguridad de los sistemas se están centrando en el acceso a la memoria. Un atacante que pueda leer o escribir en regiones arbitrarias de memoria será capaz de controlar el sistema competo y también el acceso a pequeñas regiones de memoria puede ser explotado. Una posible técnica defensiva podría ser cifrar el contenido de la memoria de modo que el atacante no pudiese hacer nada útil aunque tuviese acceso a ella. Este tipo de cifrado requiere soporte de hardware y tanto Intel como AMD lo están introduciendo en sus procesadores y ya han enviado parches para su soporte en el kernel linux. El enfoque de Intel,Intel Secure Guard Extensions (SGX), trata de definir enclaves de memoria, que consisten en rangos de memoria, que pueden contener tanto datos como código y que sólo puede ser accedido por código dentro del enclave. El código puede ser llamado desde fuera, pero sólo a través de puntos de entrada que se definen cuando se configura el enclave. En el parche para linux se observa como se puede configurar un enclave vía ioctl. El último paso requiere un hash de los datos del enclave y una firma apropiada. Esta forma apropiada es el mayor escollo para su inclusión dado que requiere la aprobación de Intel, lo que, según Ingo Molnar, «sólo permite la ejecución de blobs binarios estáticos bendecidos externamente». Por este motivo el parche esta a la espera de, como mínimo, tener soporte para enclaves firmados por entidades cualesquiera. El enfoque de AMD se llama Secure Memory Encryption (SME) (descripción por parte de AMD, en pdf). Este mecanismo es bastante más simple: permite marcar rangos de memoria o la memoria completa para su cifrado de modo que será el controlador de memoria el que cifrará los datos usando una clave generada en el encendido del chip. Esa clave no es accesible fuera del procesador y tienen un pequeño impacto en el rendimiento. No obstante, el mecanismo SME no protege de un atacante que ha comprometido el kernel; serviría para evitar ataques de arranque en frío, accesos al bus de memoria o la revelación de datos transitorios guardados en memoria persistente. SME además podrá ser usado como base para otra característica llamada Secure Encrypted Virtualization (SEV) en la cual cada máquina virtual posee su propia clave, protegiéndose así de accesos externos a la memoria, incluso del propio supervisor. El parche actual sólo incluye soporte para SME y aún está en fase de revisión. ¿Crees que se acabarán incluidos en el kernel? ¿Ves útiles los esfuerzos de los fabricantes de microprocesadores por cifrar la memoria?

Leo en lwn:Las técnicas para aumentar la seguridad de los sistemas se están centrando en el acceso a la memoria. Un atacante que pueda leer o escribir en regiones arbitrarias de memoria será capaz de controlar el sistema competo y también el acceso a pequeñas regiones de memoria puede ser explotado. Una posible técnica defensiva podría ser cifrar el contenido de la memoria de modo que el atacante no pudiese hacer nada útil aunque tuviese acceso a ella. Este tipo de cifrado requiere soporte de hardware y tanto Intel como AMD lo están introduciendo en sus procesadores y ya han enviado parches para su soporte en el kernel linux. El enfoque de Intel,Intel Secure Guard Extensions (SGX), trata de definir enclaves de memoria, que consisten en rangos de memoria, que pueden contener tanto datos como código y que sólo puede ser accedido por código dentro del enclave. El código puede ser llamado desde fuera, pero sólo a través de puntos de entrada que se definen cuando se configura el enclave. En el parche para linux se observa como se puede configurar un enclave vía ioctl. El último paso requiere un hash de los datos del enclave y una firma apropiada. Esta forma apropiada es el mayor escollo para su inclusión dado que requiere la aprobación de Intel, lo que, según Ingo Molnar, «sólo permite la ejecución de blobs binarios estáticos bendecidos externamente». Por este motivo el parche esta a la espera de, como mínimo, tener soporte para enclaves firmados por entidades cualesquiera. El enfoque de AMD se llama Secure Memory Encryption (SME) (descripción por parte de AMD, en pdf). Este mecanismo es bastante más simple: permite marcar rangos de memoria o la memoria completa para su cifrado de modo que será el controlador de memoria el que cifrará los datos usando una clave generada en el encendido del chip. Esa clave no es accesible fuera del procesador y tienen un pequeño impacto en el rendimiento. No obstante, el mecanismo SME no protege de un atacante que ha comprometido el kernel; serviría para evitar ataques de arranque en frío, accesos al bus de memoria o la revelación de datos transitorios guardados en memoria persistente. SME además podrá ser usado como base para otra característica llamada Secure Encrypted Virtualization (SEV) en la cual cada máquina virtual posee su propia clave, protegiéndose así de accesos externos a la memoria, incluso del propio supervisor. El parche actual sólo incluye soporte para SME y aún está en fase de revisión. ¿Crees que se acabarán incluidos en el kernel? ¿Ves útiles los esfuerzos de los fabricantes de microprocesadores por cifrar la memoria?