AMD prépare activement l’arrivée de sa nouvelle génération de processeurs basés sur l’architecture Zen 6 à travers une série de correctifs soumis au noyau Linux. Ces mises à jour introduisent la prise en charge d’une nouvelle fonctionnalité de sécurité baptisée Enhanced SMT Protection (ESMTP). Cette technologie vise à renforcer l’isolement des processeurs virtuels lors de l’utilisation de machines virtuelles sécurisées sur les futurs puces de la marque.
Une isolation matérielle renforcée pour le SMT
Le multithreading simultané, communément appelé SMT, permet d’exécuter deux threads logiques sur un unique cœur physique afin d’optimiser le rendement du processeur. Toutefois, ce partage de ressources matérielles crée une vulnérabilité face aux attaques par canaux auxiliaires lorsque des tâches d’origines différentes cohabitent sur le même cœur sans garantie de confiance.
Avec l’activation de l’Enhanced SMT Protection, AMD impose une règle d’isolation nettement plus stricte lorsqu’une machine virtuelle exploite la technologie de chiffrement SEV-SNP. Pendant qu’un processeur virtuel (vCPU) rattaché à cette machine s’exécute sur un cœur physique, le thread SMT voisin ne peut plus fonctionner librement. Il doit obligatoirement rester inactif au niveau de l’hôte ou être alloué à un autre vCPU explicitement autorisé appartenant à cette même machine virtuelle.
Cette barrière matérielle empêche totalement un thread arbitraire émanant du système hôte ou d’une machine virtuelle concurrente d’accéder aux ressources partagées du cœur pendant ces cycles de calcul.
Une vérification au niveau du processeur plutôt que du logiciel
Le noyau Linux disposait déjà d’un mécanisme d’ordonnancement appelé core scheduling, capable de gérer de manière logicielle la répartition des tâches afin de limiter les cohabitations risquées sur un même cœur. L’Enhanced SMT Protection va cependant un cran plus loin en confiant cette responsabilité directement au matériel.
En déplaçant cette vérification au niveau de la puce, AMD assure un contrôle plus rigoureux et difficile à contourner. Bien que la documentation de cette fonctionnalité ait été publiée par le constructeur en mars 2026 sans mentionner explicitement d’architecture spécifique, l’apparition des patchs Linux coïncide avec le déploiement du support pour la gamme EPYC 9006, connue sous le nom de code « Venice » et basée sur l’architecture Zen 6.
Un arbitrage entre sécurité renforcée et performances
Cette protection matérielle accrue implique une contrepartie directe sur les performances de calcul. D’après les détails fournis dans les patchs Linux, l’instruction VMRUN peut subir un temps d’attente supplémentaire tant que le thread SMT adjacent ne se trouve pas dans un état totalement sécurisé. Dans des configurations fortement virtualisées, ce délai d’attente se traduit par un coût en ressources et une baisse globale du rendement du processeur.
Pour cette raison, la fonction ESMTP restera désactivée par défaut sur les systèmes compatibles. Elle s’adresse en priorité à des cas d’usage spécifiques où les impératifs de sécurité prévalent sur la recherche de performances brutes :
- Les fournisseurs de services de cloud public gérant une cohabitation entre plusieurs clients distincts ;
- Les hébergements de machines virtuelles exécutant du code non vérifié ou potentiellement hostile ;
- Les infrastructures de traitement de données très sensibles exigeant un cloisonnement étanche.
À l’inverse, pour des machines de bureau classiques ou des serveurs locaux exécutant uniquement des environnements de confiance, l’intérêt de la fonction demeure très restreint face à la perte de performances qu’elle peut occasionner.