Una serie di patch per Linux propone di rimuovere i flush della cache eseguiti dal software durante le transizioni tra KeyID di Intel Trust Domain Extensions (Intel TDX). Phoronix riferì il 18 ottobre 2026 che la serie, datata 15 ottobre, era in attesa: il resoconto della proposta.
Che cosa propone la patch per Intel TDX
Secondo la spiegazione dell’ingegnere software Intel Rick Edgecombe, ripresa da Phoronix, l’hardware TDX è in grado di gestire le operazioni pertinenti senza assistenza software. La patch propone quindi di eliminare il codice del kernel che eseguiva quei flush nelle transizioni tra KeyID.
Che cosa protegge TDX e che cosa può osservare un VMM
Intel TDX protegge macchine virtuali riservate chiamate Trust Domain. Per cifrare la memoria, Multi-Key Total Memory Encryption (MKTME) assegna a ciascun Trust Domain una chiave AES univoca; il KeyID indica quale chiave usare per una richiesta di memoria.
La risposta è no: la proposta non significa che Intel TDX sia privo di rischi di side-channel della cache. Nell’avviso di sicurezza di Intel, l’azienda spiega che, in alcune configurazioni, un VMM non affidabile con privilegi sul sistema può osservare i pattern di accesso alla memoria fino alla granularità della singola linea di cache. Gli attacchi descritti rivelano i pattern, non direttamente i dati contenuti agli indirizzi coinvolti.
Intel raccomanda di evitare accessi alla memoria dipendenti da segreti. Avverte inoltre che il software non deve basare il proprio corretto funzionamento sulla presenza o sull’assenza degli attuali flussi di coerenza legati ai KeyID, perché questi possono cambiare nei processori futuri.
Che cosa si sa sulle prestazioni
Phoronix indica come obiettivo un codice del kernel più semplice e riferisce che i messaggi della patch non specificavano l’effetto atteso sulle prestazioni.
