Zen 6 : AMD prépare une protection matérielle du SMT
L'objectif est de sécuriser les machines virtuelles
AMD prépare le terrain à l’arrivée de ses processeurs de nouvelle génération. Une série de correctifs pour Linux débarque. Elles introduit la prise en charge d’une fonction baptisée Enhanced SMT Protection, ou ESMTP.
Elle renforce l’isolation entre les threads matériels lorsqu’une machine virtuelle protégée par SEV-SNP fonctionne sur un processeur AMD.
Empêcher un thread SMT non fiable de partager le même cœur
Avec la technologie SMT, deux threads logiques peuvent exploiter simultanément certaines ressources d’un même cœur physique. Si ce fonctionnement améliore les performances multithreads il augmente aussi la vulnérabilité face à certaines attaques par canaux auxiliaires lorsque deux environnements ne se font pas confiance.
L’Enhanced SMT Protection impose une règle beaucoup plus stricte lorsqu’une machine virtuelle SEV-SNP l’active. Pendant qu’un vCPU de cette VM fonctionne sur un cœur, le thread SMT voisin doit être soit inactif côté hôte soit utilisé par un autre vCPU (processeur virtuel) appartenant à cette machine virtuelle et surtout explicitement autorisé.
Du coup cette protection matérielle empêche un thread arbitraire de l’hôte ou une autre VM de venir partager simultanément les ressources de ce cœur.
A noter que Linux dispose déjà du core scheduling, capable d’organiser logiciellement les tâches afin d’éviter certaines cohabitations problématiques entre threads SMT. L’ESMTP va cependant plus loin puisqu’AMD effectue la vérification au niveau “matériel”.
Une protection qui aura un coût en performances
La firme ne cachent cependant pas une contrepartie ce qui explique probablement que l’Enhanced SMT Protection restera désactivé par défaut.
Les patches expliquent que VMRUN peut être retardé tant que le thread SMT voisin ne se trouve pas dans un état sûr. Cette attente entraîne un coût dans certains scénarios fortement virtualisés. En clair les performances peuvent diminuer.
Du coup cette avancée vise principalement les environnements où la sécurité prime sur les performances maximales. Ceci peut étre les clouds publics, les hébergements de VM appartenant à différents clients, les traitements de données sensibles ou encore les environnements exécutant du code non fiable.
Pour une machine classique ou une VM locale de confiance, son intérêt est plus limité.
Enfin la documentation AMD consacrée à Enhanced SMT Protection est disponible depuis mars 2026, mais elle ne cite pas Zen 6 ou EPYC Venice. Cependant sachant que ces correctifs Linux apparaissent alors qu’AMD déploie progressivement le support de sa génération EPYC 9006 « Venice » basée sur Zen 6, il est fort possible que l’ESMTP est une fonction des nouveaux EPYC Venice.
