diff --git a/sig/Hygon Arch/assets/CSV/c86-4-control-enable-coco-fw.png b/sig/Hygon Arch/assets/CSV/c86-4-control-enable-coco-fw.png new file mode 100644 index 0000000000000000000000000000000000000000..59e08d6d21d72fe4cd4c745697219d5ac901b1db Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/c86-4-control-enable-coco-fw.png differ diff --git a/sig/Hygon Arch/assets/CSV/c86-4-control-smee-asid-space-limit.png b/sig/Hygon Arch/assets/CSV/c86-4-control-smee-asid-space-limit.png new file mode 100644 index 0000000000000000000000000000000000000000..f2c68b0839c0fb863636f5e9b751896c6463ed48 Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/c86-4-control-smee-asid-space-limit.png differ diff --git a/sig/Hygon Arch/assets/CSV/hag-platform_status-display-fw-supported-csv-types.png b/sig/Hygon Arch/assets/CSV/hag-platform_status-display-fw-supported-csv-types.png new file mode 100644 index 0000000000000000000000000000000000000000..fb3cd6e7a94f38926c8e57bff37228241799d4a1 Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/hag-platform_status-display-fw-supported-csv-types.png differ diff --git a/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-csv3-support-unavailable.png b/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-csv3-support-unavailable.png new file mode 100644 index 0000000000000000000000000000000000000000..d62e09a669dc1d7dfb00a215170315345d88d5a3 Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-csv3-support-unavailable.png differ diff --git a/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-dmesg-csv-1-2-3.png b/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-dmesg-csv-1-2-3.png new file mode 100644 index 0000000000000000000000000000000000000000..c96d1fc389ed689deac9dcb45a5f5a430909bc17 Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/linux-5.10-4.19-dmesg-csv-1-2-3.png differ diff --git a/sig/Hygon Arch/assets/CSV/linux-6.6-csv3-support-unavailable.png b/sig/Hygon Arch/assets/CSV/linux-6.6-csv3-support-unavailable.png new file mode 100644 index 0000000000000000000000000000000000000000..d5b319c91392aa34f40b0e8f3de1f2a0be11e265 Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/linux-6.6-csv3-support-unavailable.png differ diff --git a/sig/Hygon Arch/assets/CSV/linux-6.6-dmesg-csv-1-2-3.png b/sig/Hygon Arch/assets/CSV/linux-6.6-dmesg-csv-1-2-3.png new file mode 100644 index 0000000000000000000000000000000000000000..3275cf956a7e4d9a87a7cb1399d024051cad0fee Binary files /dev/null and b/sig/Hygon Arch/assets/CSV/linux-6.6-dmesg-csv-1-2-3.png differ diff --git "a/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/0-\345\256\211\345\205\250\345\212\237\350\203\275\351\205\215\347\275\256\350\246\201\346\261\202.md" "b/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/0-\345\256\211\345\205\250\345\212\237\350\203\275\351\205\215\347\275\256\350\246\201\346\261\202.md" index 65f891ed5d3d9a52aa2a119b0fbc4036b4c20ca3..cc1752d46a3d9dad4f7b1fe477caa598dd36afc4 100644 --- "a/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/0-\345\256\211\345\205\250\345\212\237\350\203\275\351\205\215\347\275\256\350\246\201\346\261\202.md" +++ "b/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/0-\345\256\211\345\205\250\345\212\237\350\203\275\351\205\215\347\275\256\350\246\201\346\261\202.md" @@ -19,9 +19,9 @@ | 配置 | CPU | BIOS | | --- | --- | --- | -| 1 |

海光2号

| #**要求1**#：

1.两种方法都可以确认bios是否支持相应的功能，方法如下
(1)PI版本为2.1.0.4或以上,通过机器型号和厂商沟通确认
(2)Bootloader 版本号为1.2.55 或以上，Bootloader 版本号可以通过bios 查看，方法在下面章节说明
2. 必须支持CSV、fTPM2.0、fTCM2.0、TPCM等安全功能
BIOS必须满足以上2点要求，如果不满足请直接联系整机厂商

| +| 1 |

海光2号

| #**要求1**#：

1. 两种方法都可以确认bios是否支持相应的功能，方法如下：
(1) PI版本 >= `2.1.0.4`，通过机器型号和厂商沟通确认
(2) Bootloader版本 >= `1.2.55`，Bootloader版本号可以通过bios查看，方法在下面章节说明
2. 必须支持CSV、fTPM2.0、fTCM2.0、TPCM等安全功能

BIOS必须满足以上2点要求，如果不满足请直接联系整机厂商

| | 2 |

海光C86-3G

| 同 #**要求1**# | -| 3 |

海光C86-4G

| #**要求2**#：

1. 两种方法都可以确认bios是否支持相应的功能，方法如下
(1)PI版本为4.2.0.0或以上,通过机器型号和厂商沟通确认
(2)Bootloader版本要求，lscpu \|grep Model 查看Model 对应的值，根据具体的值确认版本要求，版本要求如下
1)4: Bootloader版本为3.5.3.1或以上
2)6: Bootloader版本为 3.7.3.37或以上
Bootloader 版本号可以通过bios 查看，方法在下面章节说明
2. 必须支持CSV、fTPM2.0、fTCM2.0、TPCM等安全功能
BIOS必须满足以上2点要求，如果不满足请直接联系整机厂商


**注意：**
如果用户希望测试`CSV3`的远程认证、kernel启动hash验证、秘密注入等功能（CSV3密钥封印，CSV3全磁盘加密，CSV3机密容器 等依赖于这些功能），要求安全固件的版本号（即build id）>= `2200`。如果版本号 < `2200`，用户需要联系OEM厂商获取指定PI版本的BIOS，以`PI4.6.x`为前缀的PI版本要求>=`PI4.6.0.6`，以`PI4.2.x`为前缀的PI版本要求>=`PI4.2.0.10`。 | +| 3 |

海光C86-4G

| #**要求2**#：

1. 两种方法都可以确认bios是否支持相应的功能，方法如下：
(1) PI版本 >= `4.2.0.0`，通过机器型号和厂商沟通确认
(2) Bootloader版本要求需要根据CPU Model确认（通过`lscpu \|grep Model`可以查看CPU Model值），各CPU Model值对应的Bootloader版本要求如下：
1) **4**: Bootloader版本 >= `3.5.3.1`
2) **6**（面向74xx/54xx CPU）: Bootloader版本 >= `3.7.3.37`
3) **6**（面向34xx CPU）：Bootloader版本 >= `3.7.1.115`
Bootloader 版本号可以通过bios 查看，方法在下面章节说明
2. 必须支持CSV、fTPM2.0、fTCM2.0、TPCM等安全功能

BIOS必须满足以上2点要求，如果不满足请直接联系整机厂商


**注意：**
如果用户希望测试`CSV3`的远程认证、kernel启动hash验证、秘密注入等功能（CSV3密钥封印，CSV3全磁盘加密，CSV3机密容器 等依赖于这些功能），要求安全固件的版本号（即build id）>= `2200`。如果版本号 < `2200`，用户需要联系OEM厂商获取指定PI版本的BIOS，以`PI4.6.x`为前缀的PI版本要求 >= `PI4.6.0.6`，以`PI4.2.x`为前缀的PI版本要求 >= `PI4.2.0.10`。 | 表 3 机密计算硬件能力细分说明 @@ -53,6 +53,37 @@ Chipset -> PSP Firmware Versions 如下图： ![bootloader_info1](../../assets/bootloader_info_4.jpg) + +## BIOS机密计算功能确认方法 + +> 该节描述的是主流的BIOS配置路径，如遇找不到相关配置路径的情况，请联系OEM厂商。 + +### SMEE使能，ASID Space Limit为1 + +#### 海光2号和C86-3G + +BIOS设置中，在 *HYGON CBS -> Moksha Common Options* 中设置 *ASID Space Limit* 为 *1* ，设置 *SMEE Control* 为 *Enabled* 。 + +#### 海光C86-4G + +BIOS设置中，在 *Advanced -> HYGON CBS -> Core Common Options* 中设置 *ASID Space Limit* 为 *1* ，设置 *SMEE Control* 为 *Enabled* （如下图）。 + +![c86-4-control-smee-asid-space-limit](../../assets/CSV/c86-4-control-smee-asid-space-limit.png) + +### 机密计算安全固件使能 + +#### 海光2号和C86-3G + +> 有些OEM厂商的BIOS可能不提供这个BIOS配置选项，所以用户在使用时遇到海光机密计算功能不可用，及时联系OEM厂商获得解释。 + +BIOS设置中，在 *HYGON CBS -> Moksha Common Options* 中设置 *PSF Control* 为 *Enabled* 。 + +#### 海光C86-4G + +BIOS设置中，在 *Advanced -> HYGON CBS -> Core Common Options* 中设置 *Psp Secure Firmware Control* 为 *Enabled* （如下图）。 + +![c86-4-control-enable-coco-fw](../../assets/CSV/c86-4-control-enable-coco-fw.png) + ## 国产OS安全功能支持情况 > 您可根据表格中OS的版本，支持的CPU型号，及支持的安全功能；选择您需要的OS。推荐使用版本更高的OS，其支持的安全功能更为完善。 diff --git "a/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/2-\345\257\274\345\205\245\351\200\232\347\224\250\345\256\211\345\205\250\350\257\201\344\271\246.md" "b/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/2-\345\257\274\345\205\245\351\200\232\347\224\250\345\256\211\345\205\250\350\257\201\344\271\246.md" index 2e0e63e5832226bcbba70aae2076f0d3b63dd9b3..e6be443c435758d5f64d2da56d05b2f1d9d1afd2 100644 --- "a/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/2-\345\257\274\345\205\245\351\200\232\347\224\250\345\256\211\345\205\250\350\257\201\344\271\246.md" +++ "b/sig/Hygon Arch/content/1-\345\256\211\345\205\250\345\212\237\350\203\275\347\216\257\345\242\203\351\205\215\347\275\256/2-\345\257\274\345\205\245\351\200\232\347\224\250\345\256\211\345\205\250\350\257\201\344\271\246.md" @@ -1,3 +1,4 @@ +**使用海光安全功能必须导入通用安全证书，否则安全功能不工作。** 通用安全证书导入后，会写入安全flash，不重新烧录bios的情况下，无需重新导入。以下操作都无需重新导入证书：重启机器、升级安全固件。 diff --git "a/sig/Hygon Arch/content/2-CSV\346\265\213\350\257\225\346\226\207\346\241\243/1-\345\256\211\350\243\205CSV\350\275\257\344\273\266.md" "b/sig/Hygon Arch/content/2-CSV\346\265\213\350\257\225\346\226\207\346\241\243/1-\345\256\211\350\243\205CSV\350\275\257\344\273\266.md" index 935b902d35afe031da91c1a77032ad6ff7f6c543..cb7cedb9dc8ebcec44a9000c119e2be1c28948bb 100644 --- "a/sig/Hygon Arch/content/2-CSV\346\265\213\350\257\225\346\226\207\346\241\243/1-\345\256\211\350\243\205CSV\350\275\257\344\273\266.md" +++ "b/sig/Hygon Arch/content/2-CSV\346\265\213\350\257\225\346\226\207\346\241\243/1-\345\256\211\350\243\205CSV\350\275\257\344\273\266.md" @@ -66,3 +66,55 @@ $ sudo qemu-system-x86_64 -name csv-vm --enable-kvm -cpu host -m 6114 -hda /opt/ # ./vm_kernel_install.sh # poweroff ``` + +## 安装后确认主机支持的机密计算类型 + +### hag确认海光安全固件支持的机密计算类型 + +在物理主机上执行hag工具可以查看主机是否支持**CSV1、CSV2、CSV3**。 + +```shell +sudo /opt/hygon/bin/hag csv platform_status +``` + +展示效果如下图： + +![hag-check-supported-csv-types](../../assets/CSV/hag-platform_status-display-fw-supported-csv-types.png) + +### dmesg确认主机Linux支持运行的机密计算虚拟机类型 + +在物理主机上执行dmesg可以查看Linux内核是否支持**CSV1、CSV2、CSV3**。 + +```shell +dmesg | grep CSV +``` + +#### Linux 6.6内核 + +下图是**支持CSV1、CSV2、CSV3**时看到的dmesg信息： + +![linux-6.6-dmesg-csv-1-2-3](../../assets/CSV/linux-6.6-dmesg-csv-1-2-3.png) + +* dmesg信息如果包含“CSV3 support unavailable”，则表示主机内核不能启动/运行CSV3虚拟机： + +![linux-6.6-csv3-support-unavailable](../../assets/CSV/linux-6.6-csv3-support-unavailable.png) + +* 关于显示“reuse ASID is unavailable”的说明： + +``` +在Linux 6.6内核中，编译内核时需要打开CONFIG_KVM_SUPPORTS_CSV_REUSE_ASID=y才能支持Reuse ASID功能，但是这个内核编译配置依赖于CONFIG_CGROUP_MISC=n。如果用户希望在Linux 6.6内核中使用Reuse ASID功能，请注意编译的内核需配置： + CONFIG_CGROUP_MISC=n + CONFIG_KVM_SUPPORTS_CSV_REUSE_ASID=y + +其他内核的Reuse ASID不受此限制。 +``` + +#### Linux 5.10 / 4.19内核 + +下图是**支持CSV1、CSV2、CSV3**时看到的dmesg信息： + +![linux-5.10-4.19-dmesg-csv-1-2-3](../../assets/CSV/linux-5.10-4.19-dmesg-csv-1-2-3.png) + +* dmesg信息如果包含“CSV3 support unavailable”，则表示主机内核不能启动/运行CSV3虚拟机： + +![linux-5.10-4.19-csv3-support-unavailable](../../assets/CSV/linux-5.10-4.19-csv3-support-unavailable.png) \ No newline at end of file