Índice de contenidos
Claves de la noticia
- Linux ha integrado Dynamic PAMT para su futura versión 7.4: permite asignar bajo demanda parte de los metadatos de las máquinas virtuales protegidas con Intel TDX.
- La reserva estática ronda el 0,4 % de la RAM del servidor; esa referencia equivale a unos 16,4 GiB en un equipo de 4 TiB, pero no representa un ahorro garantizado.
- El mismo paquete adapta el tamaño de las pruebas de atestación: preparar espacio para documentos mayores no significa activar automáticamente criptografía poscuántica.
Los servidores que mantienen Intel TDX disponible sin dedicar toda su memoria a máquinas virtuales confidenciales podrán reducir una reserva que hasta ahora debían asumir por adelantado. El cambio acaba de entrar en el árbol principal de Linux para el ciclo 7.4. Su valor depende del uso efectivo de TDX y de que el módulo del sistema admita la función.
Una integración nueva para una función ya propuesta
El registro del repositorio de Linus Torvalds sitúa la integración del paquete x86_tdx_for_7.4-rc1 el 20 de octubre a las 22:17:47 UTC: las 00:17 del 21 de octubre en Madrid. Es una distinción relevante porque la solicitud de Dave Hansen, ingeniero de Intel y mantenedor del kernel, se había enviado el día 19. La novedad de esta madrugada es su incorporación al árbol principal, no la invención de la técnica ni el lanzamiento de un procesador.
El paquete reúne Dynamic PAMT y cambios para gestionar pruebas de atestación de tamaño variable. Son mejoras incorporadas a una versión en desarrollo. No equivalen a una actualización estable disponible ya en todas las distribuciones. Como ocurre con otros cambios del kernel, su llegada a un servidor concreto dependerá del software que distribuya y mantenga su proveedor. El anterior repaso a las novedades de Linux 7.3 ayuda a situar este nuevo ciclo.
Los metadatos también ocupan memoria
TDX, las extensiones de dominios de confianza de Intel, aísla el estado de los registros y cifra la memoria de las máquinas virtuales confidenciales frente al anfitrión. Un módulo especial interviene entre el sistema que las aloja y los invitados. Para administrar esa separación necesita información sobre las páginas de memoria física: esa información se guarda en la tabla PAMT.
La documentación integrada explica que el gestor de máquinas virtuales debe proporcionar espacio para esa tabla al inicializar el módulo. Su consumo puede alcanzar aproximadamente el 0,4 % de la memoria del sistema. No es memoria que esté utilizando una aplicación invitada: es infraestructura necesaria para gestionar la protección.
Dynamic PAMT permite asignar dinámicamente la parte que registra páginas de 4 KB. El mensaje de integración describe la asignación de metadatos por tramos correspondientes a 2 MB de memoria del anfitrión. Esas dos magnitudes describen niveles diferentes de gestión; no significan que cada máquina virtual necesite solo 2 MB ni que desaparezca toda la tabla.
Cuánto representa el 0,4 % en un servidor
Un cálculo reproducible consiste en convertir la capacidad instalada a GiB y multiplicarla por 0,004. Permite dimensionar la reserva estática de referencia, sin atribuir a Intel una medición realizada con estos tres equipos hipotéticos.
| RAM instalada | Reserva de referencia |
|---|---|
| 1 TiB | 4,1 GiB |
| 2 TiB | 8,2 GiB |
| 4 TiB | 16,4 GiB |
Se usa 1 TiB = 1.024 GiB y se redondea a una cifra decimal. El porcentaje de partida es aproximado; por tanto, los resultados también lo son. La tabla muestra por qué una fracción pequeña puede importar en máquinas con mucha RAM: al pasar de 1 a 4 TiB, la reserva de referencia se cuadruplica.
Esos 16,4 GiB no son una promesa de memoria recuperada. La mejora hace variable parte del coste, pero los metadatos siguen siendo necesarios cuando las páginas se destinan a TDX. La comparación útil distingue capacidad instalada y memoria realmente asignada a estos invitados. Dos servidores con la misma RAM pueden obtener beneficios diferentes si uno mantiene pocas cargas confidenciales y el otro dedica gran parte de su capacidad a ellas.
La consecuencia para dimensionar infraestructura es concreta: la capacidad máxima deja de ser por sí sola una buena aproximación del coste efectivo de esa parte de PAMT. Antes de presupuestar más máquinas virtuales con la memoria recuperada, habrá que medir la reserva en el servidor y con la carga prevista. Este cambio no documenta por sí mismo más velocidad de ejecución ni una reducción equivalente en el precio del servicio.
La comprobación está en el anfitrión
La documentación indica que Dynamic PAMT se activa automáticamente si existe soporte y muestra el mensaje virt/tdx: Enable Dynamic PAMT en el registro del kernel, junto a la memoria asignada a PAMT y la inicialización del módulo. Esa señal permite comprobar la función de forma más precisa que el número de versión por sí solo.
Para quien alquila una máquina virtual, actualizar únicamente el kernel del invitado no demuestra que el anfitrión haya cambiado su gestión de metadatos. La función depende del soporte del módulo TDX y de la implementación del anfitrión. Tampoco debe confundirse el ejemplo de memoria del registro incluido en la documentación con un resultado universal de ahorro.
Más espacio para la atestación, sin prometer nuevos algoritmos
La otra parte del paquete aborda las quotes, pruebas que se intercambian durante la atestación. Este mecanismo permite verificar un invitado antes de entregarle secretos; por ejemplo, claves para abrir un volumen cifrado. Según Hansen, los búferes fijos de 128k resultan insuficientes para pruebas que crecen con la criptografía poscuántica.
El cambio conecta al kernel con la capacidad del módulo para enumerar los tamaños necesarios. Resuelve una limitación de espacio y de interfaz; no acredita que todos los componentes utilicen ya algoritmos poscuánticos. El paquete actúa así sobre dos costes distintos: evita reservar por adelantado parte de la memoria cuando TDX tiene poco uso y permite que las pruebas de confianza crezcan cuando lo requieran. Evaluar cada mejora por separado evita convertir una optimización concreta en una promesa general de rendimiento o seguridad.
Imagen: recreación conceptual generada por IA; no representa un servidor o procesador concreto.
