Een Linux-patchreeks wil de softwarematige cacheflushes rond overgangen tussen KeyID’s in Intel TDX schrappen. Phoronix meldt op 18 oktober 2026 dat de reeks, gedateerd op 15 oktober, toen nog openstond. Het medium schrijft de onderbouwing toe aan Intel-software-engineer Rick Edgecombe: de definitieve TDX-hardware kan de betreffende taak zonder softwarehulp afhandelen.
Wat de patch wil veranderen
Intel TDX beschermt vertrouwelijke virtuele machines, die Trust Domains heten. De technologie gebruikt Multi-Key Total Memory Encryption (MKTME): het geheugen van elke Trust Domain wordt versleuteld met een eigen AES-sleutel. Een KeyID bepaalt welke sleutel bij een geheugenverzoek hoort. De voorgestelde wijziging schrapt softwarematige cacheflushes rond overgangen tussen zulke KeyID’s, omdat de definitieve hardware volgens Edgecombes uitleg het relevante werk zelf kan afhandelen. Phoronix schrijft over de patchreeks en Edgecombes uitleg.
Welk cache-sidechannelrisico Intel beschrijft
Los van de voorgestelde wijziging waarschuwt Intel voor een ander cachegedrag. In bepaalde configuraties kan een onbetrouwbare virtual-machine monitor (VMM) via KeyID-gerelateerde cachecoherentie geheugentoegangspatronen op cache-lineniveau waarnemen. Volgens Intels beveiligingsadvies over MKTME en TDX onthullen de beschreven aanvallen niet rechtstreeks de gegevens die op die adressen staan.
Intel raadt softwareontwikkelaars aan toegang tot geheugen niet afhankelijk te maken van geheimen. Software moet ook niet uitgaan van de aanwezigheid of afwezigheid van de huidige KeyID-gerelateerde coherentiestromen; die kunnen in toekomstige processors veranderen.
Wat er over prestaties bekend is
Phoronix noemt vereenvoudiging van de kernelcode als resultaat van de patchreeks. Het medium meldt geen verwacht prestatie-effect in de patchberichten en beschrijft geen gemeten prestatiewinst.
